Az AI-ügynökök biztonsága annál kezdődik, amit betöltenek

A modell csak az egyik kockázati réteg

Az Anaconda 2026. október 14-én közzétett elemzése szerint egy AI-ügynök nem pusztán egy modellből áll. A rendszerhez tartoznak a feladatokat megtanító képességek, a Model Context Protocol, vagyis MCP-szerverek, valamint a Python-csomagok függőségi fája is. Minden betöltött elem támadási felületet jelent, miközben a biztonsági jóváhagyás gyakran csak egyszer, a telepítéskor történik meg.

A modellek kockázata mérhető, de modellenként eltérő. Az Anaconda Enkrypt AI szolgáltatása által közzétett LLM Safety Leaderboard 300 modellt rangsorol a feltörési kísérletekkel szembeni sebezhetőség, az elfogultság, a rosszindulatú programok és a mérgező tartalom kockázata alapján. A vállalat példája szerint 18 százalékos jailbreakérték azt jelenti, hogy a támadások 18 százaléka átjutott a vizsgálaton. Emiatt egy modell cseréje biztonsági változásnak számít, és az új modellt ismét tesztelni kell.

A képességek és az MCP-szerverek rejtett veszélyei

Az ügynökképességek a böngészőbővítményekhez hasonlóan utasítások és szkriptek csomagjai. Az ügynök jogosultságaival futnak, és egyes rendszerekben telepítési kérdés, felülvizsgálat vagy jóváhagyási napló nélkül is hozzáadhatók.

Az Enkrypt AI Skill Scan Hub 2026. szeptember 30-ig 99 643, GitHubról származó képességet vizsgált meg. Ezek 4,25 százaléka, 4231 képesség kapott nem biztonságos minősítést, 10,5 százalékuknál, 10 467 esetben pedig legalább egy megállapítást találtak. A kategorizált problémák 59,1 százalékát a jogosulatlan eszközhasználat tette ki. Ezt a képességfelderítés visszaélése követte 16,4 százalékkal, a rosszindulatú programok 11,7 százalékkal, a tranzitív bizalommal való visszaélés pedig 4,6 százalékkal.

Az MCP-szervereknél az ügynök elolvassa a csatlakoztatott eszközök leírását és utasításait, a felhasználó azonban jellemzően nem. Az Anaconda egy 2025. szeptemberi esetet említ, amikor egy támadó hamis, Postmarkot utánzó npm-csomagot tett közzé. A csomag 15 tiszta verzió után a 1.0.16-os kiadásban minden e-mailt titokban másolatban továbbított a támadónak. Az Enkrypt AI két hónap alatt több mint 268 000 eszközt vizsgált meg 25 000 MCP-szerveren, és több mint 143 000 sérülékenységet talált. Ezek a szerverek 73 százalékát érintették.

A függőségek és a folyamatos ellenőrzés szerepe

A Python-csomagok kockázatát egy 2026. március 24-i PyPI-incidens is megmutatta. Támadók ellopott közzétételi hitelesítő adatokkal két rosszindulatú LiteLLM-verziót, az 1.82.7-et és az 1.82.8-at publikálták. A GitHubon található kód közben nem változott, így a forráskód ellenőrzése nem fedte volna fel a problémát. A PyPI körülbelül 40 perccel a feltöltés után karanténba helyezte a csomagokat, egy automatizált folyamat azonban ennél hamarabb is letölthette az új kiadást.

Az Anaconda szerint a kódot előállító modellek által kitalált csomagnevek további veszélyt jelentenek. Egy USENIX Security 2025 tanulmányban a kereskedelmi modellek átlagosan legalább 5,2 százalékos, a nyílt forráskódú modellek legalább 21,7 százalékos arányban hallucináltak csomagneveket. Ha egy kódoló ügynök automatikusan telepíti, amit a modell javasol, támadó által előre lefoglalt csomag is bekerülhet a rendszerbe.

A vállalat az ügynökök teljes leltározását, a képességek futtatás előtti vizsgálatát, a verziók rögzítését és a hash-ek ellenőrzését javasolja. Minden változást újra jóvá kell hagyni, az új kiadásokkal pedig érdemes várni. A Skill Sentinel nyílt forráskódú eszközként CI-folyamatba illeszthető, az MCP-átjáró pedig működés közben engedélyezheti, módosíthatja vagy blokkolhatja az eszközhívásokat, miközben naplót vezet.