Saugumo rizikos kyla, kai AI agentai gali perduoti kenkėjiškas komandas per MCP protokolą

Vaizdas: Illustrative image · INSA - Information Network Security Agency - Government of Ethiopia · Public domain · Šaltinis

Tyrėjai parodė, kaip pažeidžiami AI agentai gali panaudoti MCP protokolą plisti kenksmingoms instrukcijoms organizacijų tinkluose, atskleidžiant vidines paslaugas atakoms ir pabrėžiant būtinybę taikyti nulio pasitikėjimo saugumo modelius.

Greitas AI agentų diegimas verslo aplinkoje atvėrė naują kibernetinio saugumo spragą, susijusią su komunikacijos protokolais, kuriuos naudoja šios sistemos. Nepriklausomas saugumo ekspertas Syed Anas Mohiuddin įrodė, kad vienas pažeistas AI agentas gali perduoti kenkėjiškas komandas kitiems agentams per Daugiakanalį protokolą (Multi-Channel Protocol, MCP), komunikacijos standartą leidžiantį AI programoms jungtis prie įvairių įrankių ir dalytis duomenimis. Šis tarpinio agentų pasitikėjimo mechanizmas gali būti išnaudojamas tam, kad eskaluotų atakas organizacijų tinkluose.

Mohiuddino tyrimas atskleidė šias spragas keliuose svarbiuose platformose, susijusiose su Google, JPMorgan Chase, Weaviate, Rapid7, Prancūzijos tarpinstitucine skaitmenine tarnyba ir JAV federaline vyriausybe. Atakos metodika apima kenksmingų nurodymų įterpimą į turinį ar užduotis, pateikiamas vienam agentui. Vietoj to, kad komandas atmestų, pažeistas agentas perduoda jas kitiems agentams kaip teisėtas darbo srauto užduotis. Kadangi gavėjų agentai pasitiki vidiniais kolegomis, jie vykdo šias instrukcijas, kurias išorinės sistemos galbūt būtų atmetusios.

Svarbi šio išnaudojimo pasekmė – galimybė vykdyti Server-Side Request Forgery (SSRF) atakas. SSRF atveju pažeistas agentas gali priversti serverį atlikti užklausas į vidines tinklo resursus, kurie iš išorės būtų neprieinami. Toks grandininis reiškinys gali sukelti neteisėtą prieigą prie jautrių paslaugų ir konfidencialių duomenų.

Saugumo tyrėjai šį išnaudojimą apibūdina kaip „protokolo persilenkimą“, kai kenkėjiškos komandos keliauja per vieną komunikacijos protokolą ir pasinaudoja kito protokolo pasitikėjimo mechanizmais. Markus Vervier iš X41 D-Sec pažymi, kad šios atakos iš esmės primena "prompt injection" – kenkėjiškų komandų įterpimą į AI sistemų apdorojamus įvesties duomenis.

Neseniai buvo identifikuoti ir pataisyti du reikšmingi pažeidžiamumai. Problema Rapid7 įrankyje buvo įvertinta 2,7 balo iš 10 ir ištaisyta rugsėjį, o kritiškesnė klaida Google MCP Toolbox for Databases gavo 8 balus iš 10. Pastaroji leido HTTP klientui sekti peradresavimus į vidinius IP adresus be pakankamo patikrinimo, kas galėjo suteikti neleistiną prieigą prie vidinio tinklo. Google sumažino riziką įdiegdama leidžiamų IP diapazonų baltąjį sąrašą ir blokuodama nesaugias adresus.

Šie atradimai pabrėžia nulio pasitikėjimo saugumo principų svarbą AI infrastruktūroje. Pasitikėjimas neturėtų būti suteikiamas vidiniams agentams automatiškai be patikrinimo. Visos komandos, perduodamos tarp AI agentų, turi būti kruopščiai tikrinamos dėl galimai kenkėjiško turinio, kad būtų išvengta saugumo pažeidimų grandinės įmonių ekosistemose. Didėjant AI integracijai, tvirti apsaugos mechanizmai nuo tokių daugiagentinių išnaudojimų tampa būtini organizacijų kibernetiniam saugumui užtikrinti.