Sikkerhetsrisikoer oppstår når AI-agenter kan formidle skadelige kommandoer via MCP-protokollen

Bilde: Illustrative image · INSA - Information Network Security Agency - Government of Ethiopia · Public domain · Kilde

Forskere viser hvordan kompromitterte AI-agenter kan utnytte MCP for å spre skadelige instrukser på tvers av bedriftsnettverk, noe som utsetter interne tjenester for angrep og understreker behovet for nulltillit-sikkerhetsmodeller.

Den raske adopsjonen av AI-agenter i bedriftsmiljøer har introdusert en ny cybersikkerhetssårbarhet knyttet til kommunikasjonsprotokollene disse systemene bruker. Den uavhengige sikkerhetseksperten Syed Anas Mohiuddin har demonstrert at en enkelt kompromittert AI-agent kan formidle skadelige kommandoer til andre agenter gjennom Multi-Channel Protocol (MCP), en kommunikasjonsstandard som gjør det mulig for AI-applikasjoner å koble seg til ulike verktøy og dele data. Denne tilliten mellom agenter kan utnyttes for å eskalere angrep innen organisasjonsnettverk.

Mohiuddins forskning viste disse sårbarhetene på flere store plattformer knyttet til Google, JPMorgan Chase, Weaviate, Rapid7, den franske interministerielle digitale tjenesten og den amerikanske føderale regjeringen. Angrepsmetodikken innebærer å legge inn skadelige instrukser i innholdet eller oppgavene som gis til én agent. I stedet for å avvise slike kommandoer videresender den kompromitterte agenten dem til andre agenter som legitime arbeidsflytoppgaver. Fordi mottakeragentene stoler på sine interne kolleger, utfører de disse instruksjonene, som eksterne systemer ellers kanskje hadde avvist.

En kritisk konsekvens av denne utnyttelsen er muliggjøringen av Server-Side Request Forgery (SSRF)-angrep. I SSRF-scenarier kan en kompromittert agent tvinge en server til å gjøre forespørsler til skjulte interne nettverksressurser som ellers ikke er tilgjengelige eksternt. Denne kjedereaksjonen kan føre til uautorisert tilgang til sensitive tjenester og konfidensielle data.

Sikkerhetsforskere beskriver denne utnyttelsen som en form for «protokollpivotering», der skadelige instrukser går gjennom én kommunikasjonsprotokoll for deretter å utnytte tillitsmekanismene i en annen. Markus Vervier fra X41 D-Sec fremhever at disse angrepene i sin kjerne ligner promptinjeksjon — å legge inn skadelige kommandoer i input som AI-systemer behandler.

To bemerkelsesverdige sårbarheter ble nylig identifisert og utbedret. Et problem i Rapid7s verktøy fikk 2,7 av 10 i alvorlighetsgrad og ble oppdatert i september, mens en mer kritisk feil i Googles MCP Toolbox for Databases ble vurdert til 8 av 10. Sistnevnte tillot en HTTP-klient å følge omdirigeringer til interne IP-adresser uten tilstrekkelig verifisering, noe som potensielt muliggjorde uautorisert intern nettverkstilgang. Google avhjelpet dette ved å implementere hvitelisting av tillatte IP-områder og blokkerte usikre adresser.

Disse funnene understreker viktigheten av å følge sikkerhetsprinsipper med null tillit i AI-infrastrukturer. Tillit bør ikke automatisk gis til interne agenter uten verifisering. Alle instruksjoner som sendes mellom AI-agenter må granskes for potensielt skadelig innhold for å forhindre kaskader av sikkerhetsbrudd i bedriftsmiljøer. Etter hvert som AI-integrasjonen dypner, blir robuste sikkerhetstiltak mot slike multi-agent-utnyttelser avgjørende for organisasjonens cybersikkerhet.