Ryzyko bezpieczeństwa pojawia się, gdy agenci AI mogą przekazywać złośliwe polecenia za pomocą protokołu MCP

Image: Illustrative image · INSA - Information Network Security Agency - Government of Ethiopia · Public domain · Source

Badacze pokazują, jak przejęci agenci AI mogą wykorzystywać protokół MCP do propagowania szkodliwych instrukcji w sieciach korporacyjnych, narażając wewnętrzne usługi na ataki i podkreślając potrzebę modelu bezpieczeństwa zero-trust.

Szybka adopcja agentów AI w środowiskach korporacyjnych wprowadziła nową lukę w cyberbezpieczeństwie związaną z protokołami komunikacyjnymi używanymi przez te systemy. Niezależny ekspert ds. bezpieczeństwa Syed Anas Mohiuddin wykazał, że pojedynczy przejęty agent AI może przekazywać złośliwe polecenia do innych agentów za pośrednictwem Multi-Channel Protocol (MCP), standardu komunikacyjnego pozwalającego aplikacjom AI na łączenie się z różnymi narzędziami i wymianę danych. To zaufanie między agentami można wykorzystać do eskalacji ataków wewnątrz sieci organizacyjnych.

Badania Mohiuddina ukazały te luki bezpieczeństwa na kilku głównych platformach powiązanych z Google, JPMorgan Chase, Weaviate, Rapid7, francuską międzyresortową służbą cyfrową oraz rządem federalnym USA. Metodologia ataku polega na osadzeniu szkodliwych instrukcji w treści lub zadaniach przekazywanych jednemu agentowi. Zamiast odrzucać takie polecenia, przejęty agent przekazuje je innym agentom jako prawidłowe zadania robocze. Ponieważ odbiorcy ufają swoim wewnętrznym partnerom, wykonują te instrukcje, których zewnętrzne systemy mogłyby odmówić.

Krytycznym skutkiem tego wykorzystania jest umożliwienie ataków typu Server-Side Request Forgery (SSRF). W scenariuszach SSRF przejęty agent może zmusić serwer do wysyłania zapytań do ukrytych wewnętrznych zasobów sieciowych, które normalnie są niedostępne z zewnątrz. Ten łańcuch reakcji może prowadzić do nieautoryzowanego dostępu do wrażliwych usług i poufnych danych.

Badacze bezpieczeństwa opisują tę eksploatację jako formę „pivotowania protokołu”, gdzie złośliwe instrukcje przechodzą przez jeden protokół komunikacyjny, aby wykorzystać mechanizmy zaufania innego. Markus Vervier z X41 D-Sec podkreśla, że te ataki zasadniczo przypominają iniekcję promptów — osadzanie szkodliwych poleceń w danych wejściowych przetwarzanych przez systemy AI.

W ostatnim czasie odkryto i załatano dwie istotne luki. Problem w narzędziu Rapid7 otrzymał ocenę 2,7 na 10 pod względem powagi i został naprawiony we wrześniu, podczas gdy poważniejsza wada w Google MCP Toolbox dla Baz Danych została oceniona na 8 na 10. Ta druga pozwalała klientowi HTTP podążać za przekierowaniami do wewnętrznych adresów IP bez odpowiedniej weryfikacji, co mogło umożliwić nieautoryzowany dostęp do wewnętrznej sieci. Google załagodziło to poprzez wdrożenie białej listy dozwolonych zakresów IP oraz blokowanie niebezpiecznych adresów.

Wyniki te podkreślają znaczenie przestrzegania zasad bezpieczeństwa zero-trust w infrastrukturze AI. Zaufanie nie powinno być automatycznie udzielane agentom wewnętrznym bez weryfikacji. Wszystkie instrukcje przekazywane między agentami AI muszą być analizowane pod kątem potencjalnej złośliwości, aby zapobiec kaskadowym naruszeniom bezpieczeństwa w ekosystemach korporacyjnych. W miarę pogłębiania się integracji AI, solidne zabezpieczenia przeciwko takim atakom wieloagentowym stają się kluczowe dla bezpieczeństwa organizacji.