Säkerhetsrisker uppstår när AI-agenter kan vidarebefordra illvilliga kommandon via MCP-protokollet

Bild: Illustrative image · INSA - Information Network Security Agency - Government of Ethiopia · Public domain · Källa

Forskare visar hur komprometterade AI-agenter kan utnyttja MCP för att sprida skadliga instruktioner över företagsnätverk, vilket exponerar interna tjänster för attacker och understryker behovet av säkerhetsmodeller med nollförtroende.

Den snabba anpassningen av AI-agenter i företagsmiljöer har introducerat en ny sårbarhet inom cybersäkerhet som rör de kommunikationsprotokoll dessa system använder. Den oberoende säkerhetsexperten Syed Anas Mohiuddin har visat att en enda komprometterad AI-agent kan vidarebefordra illvilliga kommandon till andra agenter via Multi-Channel Protocol (MCP), en kommunikationsstandard som tillåter AI-applikationer att kopplas till olika verktyg och dela data. Detta inter-agent-förtroende kan utnyttjas för att eskalera attacker inom organisationsnätverk.

Mohiuddins forskning demonstrerade dessa sårbarheter över flera stora plattformar kopplade till Google, JPMorgan Chase, Weaviate, Rapid7, den franska interministeriella digitala tjänsten och den amerikanska federala regeringen. Attackmetodiken involverar att bädda in skadliga instruktioner i innehållet eller uppgifterna som ges till en agent. Istället för att avvisa sådana kommandon vidarebefordrar den komprometterade agenten dem till andra agenter som legitima arbetsflödesuppgifter. Eftersom mottagaragenterna litar på sina interna kollegor utför de dessa instruktioner, vilka externa system annars kan ha nekat.

En kritisk effekt av denna exploatering är underlättandet av Server-Side Request Forgery (SSRF)-attacker. I SSRF-scenarier kan en komprometterad agent tvinga en server att göra förfrågningar till dolda interna nätverksresurser som annars är otillgängliga externt. Denna kedjereaktion kan leda till obehörig åtkomst till känsliga tjänster och konfidentiell data.

Säkerhetsforskare beskriver denna exploatering som en form av "protokollpivotering", där illvilliga instruktioner passerar ett kommunikationsprotokoll för att sedan utnyttja förtroendemekanismer i ett annat. Markus Vervier från X41 D-Sec framhåller att dessa attacker i grunden liknar promptinjektion — att inbädda skadliga kommandon i inputs som AI-system bearbetar.

Två betydande sårbarheter identifierades och åtgärdades nyligen. Ett problem i Rapid7s verktyg fick 2,7 av 10 i allvarlighetsgrad och patchades i september, medan en mer kritisk brist i Googles MCP Toolbox for Databases bedömdes till 8 av 10. Den senare tillät en HTTP-klient att följa omdirigeringar till interna IP-adresser utan tillräcklig verifiering, vilket potentiellt möjliggjorde obehörig intern nätverksåtkomst. Google åtgärdade detta genom att införa vitlistning av tillåtna IP-intervall och blockering av osäkra adresser.

Dessa fynd understryker vikten av att följa säkerhetsprinciper med nollförtroende i AI-infrastrukturer. Förtroende bör inte automatiskt ges till interna agenter utan verifiering. Alla instruktioner som skickas mellan AI-agenter måste granskas för potentiellt skadligt innehåll för att förhindra kaskadliknande säkerhetsöverträdelser inom företagsmiljöer. När AI-integrationen fördjupas blir robusta skydd mot sådana multi-agentangrepp avgörande för organisations cybersäkerhet.