Drošības riski parādās, jo AI aģenti var pārraidīt ļaunprātīgas komandas caur MCP protokolu

Attēls: Illustrative image · INSA - Information Network Security Agency - Government of Ethiopia · Public domain · Avots

Pētnieki demonstrē, kā kompromitēti AI aģenti var izmantot MCP, lai izplatītu kaitīgas instrukcijas uzņēmumu tīklos, pakļaujot iekšējos pakalpojumus uzbrukumiem un uzsverot nepieciešamību pēc nulles uzticības drošības modeļiem.

AI aģentu straujā ieviešana uzņēmumu vidēs ir radījusi jaunu kiberdrošības ievainojamību, kas saistīta ar to sistēmu komunikācijas protokoliem. Neatkarīgais drošības eksperts Syed Anas Mohiuddin ir pierādījis, ka viens kompromitēts AI aģents var nodot ļaunprātīgas komandas citiem aģentiem, izmantojot Multi-Channel Protocol (MCP) — komunikācijas standartu, kas ļauj AI lietojumprogrammām savienoties ar dažādiem rīkiem un apmainīties ar datiem. Šī aģentu savstarpējā uzticība var tikt izmantota, lai eskalētu uzbrukumus organizāciju tīklos.

Mohiuddina pētījums demonstrēja šīs ievainojamības vairākās lielās platformās, kas saistītas ar Google, JPMorgan Chase, Weaviate, Rapid7, Francijas starpministriju digitālo dienestu un ASV federālo valdību. Uzbrukuma metode ietver kaitīgu instrukciju iegulšanu saturā vai uzdevumos, kas tiek piešķirti vienam aģentam. Tā vietā, lai šīs komandas noraidītu, kompromitētais aģents tās pārsūta citiem aģentiem kā leģitīmus darba plūsmas uzdevumus. Tā kā saņēmēju aģenti uzticas saviem iekšējiem kolēģiem, viņi izpilda šīs instrukcijas, ko ārējās sistēmas varētu būt atteikušās veikt.

Šīs izmantošanas kritiskais efekts ir Server-Side Request Forgery (SSRF) uzbrukumu veicināšana. SSRF scenārijos kompromitēts aģents var piespiest serveri veikt pieprasījumus uz slepeniem iekšējiem tīkla resursiem, kas citādi nav pieejami no ārpuses. Šī ķēdes reakcija var novest pie neatļautas piekļuves sensitīviem pakalpojumiem un konfidenciāliem datiem.

Drošības pētnieki šo izmantošanu raksturo kā „protokola pivotēšanu,” kur ļaunprātīgas instrukcijas ceļo vienā komunikācijas protokolā, lai izmantotu cita protokola uzticības mehānismus. X41 D-Sec pārstāvis Markus Vervier uzsver, ka šie uzbrukumi būtībā atgādina prompt injekciju — ļaunprātīgu komandu iegulšanu AI sistēmās apstrādātās ieejās.

Nesen tika konstatētas un labotas divas ievērojamas ievainojamības. Rapid7 rīkā problēmai tika piešķirts 2,7 no 10 smaguma vērtējums, un tā tika labota septembrī, savukārt kritiskāka nepilnība Google MCP Toolbox for Databases tika novērtēta ar 8 no 10. Pēdējā ļāva HTTP klientam sekot novirzēm uz iekšējiem IP adresēm bez pienācīgas pārbaudes, kas varēja ļaut neatļautu iekšējā tīkla piekļuvi. Google šo problēmu atrisināja, ieviešot atļauto IP diapazonu balto sarakstu un bloķējot bīstamās adreses.

Šie atklājumi uzsver, cik svarīgi ir ievērot nulles uzticības drošības principus AI infrastruktūrās. Uzticība nedrīkst tikt automātiski piešķirta iekšējiem aģentiem bez verifikācijas. Visām instrukcijām, kas tiek nodotas starp AI aģentiem, jābūt rūpīgi pārbaudītām attiecībā uz iespējamu ļaunprātīgu saturu, lai novērstu kaskādes drošības pārkāpumus uzņēmumu ekosistēmās. Tā kā AI integrācija kļūst dziļāka, spēcīgas aizsardzības pret šādiem vairāku aģentu ekspluatācijas veidiem kļūst būtiskas organizāciju kiberdrošībai.