Turvariskid ilmnevad, kuna AI-agendid saavad MCP-protokolli kaudu edastada pahatahtlikke käske

Pilt: Illustrative image · INSA - Information Network Security Agency - Government of Ethiopia · Public domain · Allikas

Uurijad demonstreerivad, kuidas kompromiteeritud AI-agendid võivad MCP protokolli abil levitada kahjulikke juhiseid ettevõttevõrkudes, paljastades sisealad rünnakute ohtudele ning rõhutades nullusaldus-põhiste turvamudelite vajalikkust.

AI-agentide kiire omaksvõtt ettevõttekeskkondades on toonud kaasa uue küberturvalisuse haavatavuse, mis on seotud nende süsteemide kasutatavate suhtlusprotokollidega. Sõltumatu turvaekspert Syed Anas Mohiuddin on näidanud, et üks kompromiteeritud AI-agent võib edastada pahatahtlikke käske teistele agentidele Multi-Channel Protocol’i (MCP) kaudu, mis on suhtlusstandard, mis võimaldab AI-rakendustel ühendada erinevate tööriistadega ja andmeid jagada. See agentidevaheline usaldus võib olla ärakasutatav rünnakute eskaleerimiseks organisatsiooni võrgustikes.

Mohiuddini uurimus näitas neid haavatavusi mitmete suuremate platvormide puhul, mis on seotud Google’i, JPMorgan Chase’i, Weaviate'i, Rapid7, Prantsusmaa valitsuste digitaalses teenistuses ning USA föderaalvalitsuses. Rünnakumeetodiks on kahjulike juhiste peitmine sisusse või ülesannetesse, mis antakse ühele agendile. Selle asemel, et käske tagasi lükata, edastab kompromiteeritud agent neid teistele agentidele kui legitiimseid töövoo ülesandeid. Kuna vastuvõtjad usaldavad oma siseagente, täidavad nad need juhised, mida välised süsteemid oleksid võinud keelata.

Selle ärakasutamise kriitiliseks mõjuks on Server-Side Request Forgery (SSRF) rünnakute hõlbustamine. SSRF olukordades võib kompromiteeritud agent sundida serverit tegema päringuid peidetud sisemistele võrguteenustele, mis väljastpoolt pole ligipääsetavad. See ketijärgne reaktsioon võib põhjustada volitamata ligipääsu tundlikele teenustele ja konfidentsiaalsele teabele.

Turvaeksperdid kirjeldavad seda ärakasutust kui "protokolli pöörlemist", kus pahatahtlikud käsud liiguvad ühe kommunikatsiooniprotokolli kaudu, et seejärel ära kasutada teise protokolli usaldusmehhanisme. X41 D-Seci esindaja Markus Vervier rõhutab, et need rünnakud sarnanevad sisuliselt käivitussõnumite süstimisega – kahjulike käskude peitmist AI süsteemidele sisestatavatesse andmetesse.

Hiljuti tuvastati ja parandati kaks märkimisväärset haavatavust. Rapid7 tööriistas oli probleem, mille tõsidus oli hinnatud 2,7 punkti 10-st ja see parandati septembris, samas kui Google’i MCP Toolbox for Databases'ile leiti tõsisem viga, mille hinnang oli 8 punkti 10-st. Viimane võimaldas HTTP kliendil järgida sisemiste IP-aadresside suunamisi ilma piisava kontrollita, mis võis võimaldada volitamata juurdepääsu sisemisele võrgule. Google lahendas selle, rakendades lubatud IP-vahemike valgelisti ja blokeerides ebaturvalised aadressid.

Need leiud rõhutavad vajadust järgida nullusalduslikku turvapoliitikat AI-infrastruktuurides. Usaldust ei tohiks automaatselt laiendada sisemistele agentidele ilma kontrollita. Kõiki AI-agentide vahel edastatavaid juhiseid tuleb põhjalikult kontrollida võimalike pahatahtlike sisude suhtes, et vältida kaskaadseid turvaintsidente ettevõtte ökosüsteemides. AI integreerumise süvenedes muutuvad tugevad kaitsed selliste multi-agendil põhinevate ärakasutuste vastu organisatsioonide küberturvalisuseks hädavajalikuks.