Turvallisuusriskejä ilmenee, kun tekoälyagentit voivat välittää haitallisia käskyjä MCP-protokollan kautta

Kuva: Illustrative image · INSA - Information Network Security Agency - Government of Ethiopia · Public domain · Lähde

Tutkijat osoittavat, miten kompromettoidut tekoälyagentit voivat hyödyntää MCP-protokollaa levittääkseen haitallisia ohjeita yritysverkossa, paljastaen sisäiset palvelut hyökkäyksille ja korostaen tarpeellisuutta nollaluottamus-suojausmalleille.

Tekoälyagenttien nopea käyttöönotto yritysympäristöissä on tuonut mukanaan uuden kyberturvallisuusuhkan, joka liittyy järjestelmien käyttämiin viestintäprotokolliin. Riippumaton turvallisuusasiantuntija Syed Anas Mohiuddin on demonstroinut, että yksi kompromettoitunut tekoälyagentti voi välittää haitallisia käskyjä muille agenteille Multi-Channel Protocolin (MCP) kautta, joka on kommunikointistandardi, joka mahdollistaa tekoälysovellusten yhdistämisen erilaisiin työkaluihin ja datan jakamisen. Tämä agenttien välinen luottamus voidaan hyväksikäyttää hyökkäysten eskaloimiseen organisaatioiden verkoissa.

Mohiuddinin tutkimus havainnollisti näitä haavoittuvuuksia useilla suurilla alustoilla, jotka liittyvät Googleen, JPMorgan Chaseen, Weaviateen, Rapid7:ään, Ranskan ministeriöiden digitaaliset palveluun ja Yhdysvaltojen liittovaltion hallintoon. Hyökkäysmenetelmä sisältää haitallisten ohjeiden sisällyttämisen yhden agentin saamaan sisältöön tai tehtäviin. Sen sijaan, että agentti hylkäisi nämä käskyt, kompromettoitunut agentti välittää ne muille agenteille laillisina työnkulun tehtävinä. Koska vastaanottavat agentit luottavat sisäisiin kollegoihinsa, ne suorittavat nämä ohjeet, jotka ulkoiset järjestelmät olisivat voineet hylätä.

Tämän hyväksikäytön kriittinen vaikutus on mahdollisuus Server-Side Request Forgery (SSRF) -hyökkäyksiin. SSRF-tilanteissa kompromettoitunut agentti voi pakottaa palvelimen tekemään pyyntöjä piilotettuihin sisäverkon resursseihin, jotka ovat muuten ulkoisesti saavuttamattomia. Tämä ketjureaktio voi johtaa luvattomaan pääsyyn arkaluontoisiin palveluihin ja luottamuksellisiin tietoihin.

Turvallisuustutkijat kuvaavat tätä hyödyntämistä "protokollan kiertämisenä", jossa haitalliset ohjeet kulkevat yhden viestintäprotokollan kautta ja hyödyntävät toisen protokollan luottamusmekanismeja. X41 D-Secin Markus Vervier korostaa, että nämä hyökkäykset muistuttavat pohjimmiltaan kehotteen injektointia (prompt injection) – haitallisten komentojen upottamista tekoälyjärjestelmien käsittelemiin syötteisiin.

Kaksi huomattavaa haavoittuvuutta tunnistettiin ja korjattiin äskettäin. Rapid7:n työkalussa havaittu haavoittuvuus sai 2,7 pistettä kymmenestä ja se korjattiin syyskuussa, kun taas Googlen MCP Toolbox for Databases -työkalun vakavampi puute arvioitiin arvosanalla 8 kymmenestä. Jälkimmäinen salli HTTP-asiakkaan seurata uudelleenohjauksia sisäisiin IP-osoitteisiin riittämättömällä varmennuksella, mikä saattoi tarjota luvattoman pääsyn sisäverkkoon. Google korjasi tilanteen toteuttamalla hyväksyttyjen IP-osoitteiden valkokohtaisen listauksen ja estämällä epäluotettavat osoitteet.

Nämä löydökset korostavat nollaluottamusperiaatteen tärkeyttä tekoälyinfrastruktuureissa. Luottamusta ei pitäisi antaa automaattisesti sisäisille agenteille ilman asianmukaista varmennusta. Kaikki tekoälyagenttien väliset käskyt on tarkistettava mahdollisten haitallisten sisältöjen varalta, jotta ketjureaktiomaisia tietoturvaloukkauksia ei pääse syntymään yritysten ekosysteemeissä. Kun tekoäly integroidaan yhä syvällisemmin, vankat suojaukset tällaisia moniagenttien hyväksikäyttöjä vastaan ovat välttämättömiä organisaatioiden kyberturvallisuuden varmistamiseksi.