Риски безопасности возникают, когда агенты ИИ могут передавать зловредные команды через протокол MCP

Image: Illustrative image · INSA - Information Network Security Agency - Government of Ethiopia · Public domain · Source

Исследователи демонстрируют, как скомпрометированные агенты ИИ могут использовать MCP для распространения вредоносных инструкций по корпоративным сетям, подвергая внутренние сервисы атакам и подчеркивая необходимость моделей безопасности с нулевым доверием.

Быстрое внедрение агентов ИИ в корпоративных средах выявило новую уязвимость кибербезопасности, связанную с коммуникационными протоколами, которыми пользуются эти системы. Независимый эксперт по безопасности Сайед Анас Мохиуддин продемонстрировал, что один скомпрометированный агент ИИ может передавать зловредные команды другим агентам через Multi-Channel Protocol (MCP) — коммуникационный стандарт, позволяющий приложениям ИИ подключаться к различным инструментам и обмениваться данными. Это межагентское доверие можно эксплуатировать для эскалации атак внутри организационных сетей.

Исследования Мохиуддина показали эти уязвимости на нескольких крупных платформах, связанных с Google, JPMorgan Chase, Weaviate, Rapid7, французской межведомственной цифровой службой и федеральным правительством США. Методика атаки включает внедрение вредоносных инструкций в контент или задачи, предоставленные одному агенту. Вместо отклонения таких команд скомпрометированный агент пересылает их другим агентам как легитимные рабочие задачи. Поскольку получающие агенты доверяют своим внутренним коллегам, они исполняют эти инструкции, которые внешние системы могли бы отклонить.

Ключевым последствием этой эксплуатации является облегчение проведения атак типа Server-Side Request Forgery (SSRF). В SSRF-сценариях скомпрометированный агент может заставить сервер выполнять запросы к скрытым внутренним сетевым ресурсам, которые обычно недоступны извне. Эта цепная реакция может привести к несанкционированному доступу к чувствительным сервисам и конфиденциальным данным.

Исследователи безопасности описывают такую эксплуатацию как форму «протокольного пивотинга», когда зловредные инструкции проходят через один коммуникационный протокол, чтобы использовать механизмы доверия другого. Маркус Вервьер из X41 D-Sec отмечает, что эти атаки по сути напоминают инъекцию подсказок — внедрение вредоносных команд в данные, обрабатываемые системами ИИ.

Недавно были выявлены и исправлены две значительные уязвимости. Проблема в инструменте Rapid7 получила оценку 2.7 из 10 по степени серьёзности и была исправлена в сентябре, тогда как более критичный дефект в Google MCP Toolbox для баз данных оценён в 8 из 10. Последний позволял HTTP-клиенту следовать перенаправлениям на внутренние IP-адреса без должной проверки, что потенциально могло обеспечить несанкционированный доступ к внутренней сети. Google устранила проблему, внедрив белый список разрешённых диапазонов IP и блокируя небезопасные адреса.

Эти выводы подчеркивают важность соблюдения принципов безопасности с нулевым доверием в инфраструктуре ИИ. Доверие не должно автоматически распространяться на внутренних агентов без проверки. Все инструкции, передаваемые между агентами ИИ, должны тщательно проверяться на возможный вредоносный контент, чтобы предотвратить каскадные нарушения безопасности в корпоративных экосистемах. По мере углубления интеграции ИИ надёжные меры защиты от таких многоагентных эксплойтов становятся необходимыми для безопасности организаций.