A javítás önmagában nem védi meg az AI-ügynököket

A javítás csak a kockázatok egy részét kezeli

A Fiddler AI október 28-án közzétett elemzése szerint a biztonsági csapatokra minden korábbinál több kritikus sérülékenység hárul. A támadók egyes hibákat a bejelentést követően órákon belül megpróbálnak kihasználni. A vállalat példaként a php2shell és a Node2Shell nevű hibákat, valamint az eMudhra tanúsítványkiadónál kompromittált tanúsítványkulcsokat említi.

A hibajavítás, a függőségek rögzítése és a kulcsok cseréje továbbra is szükséges. Ezek azonban nem kezelik azokat az eseteket, amikor egy ügynök pontosan azt teszi, amire tervezték, csak közben olyan adatokhoz vagy eszközökhöz fér hozzá, amelyekhez nem kellett volna.

A Fiddler szerint az ügynökök esetében külön kontrollokra van szükség. Ezeknek látniuk kell, mit csinál az ügynök, meg kell tudniuk állítani, mielőtt kárt okoz, és utólag is rekonstruálniuk kell az eseményeket.

API-kulcsok és belső adatok kerülhetnek veszélybe

Az AI-ügynökök modellkiszolgálók, adatbázisok és vállalati szoftverek eléréséhez hitelesítő adatokat használnak. Az AI-infrastruktúra ezért vonzó célponttá vált, különösen azért, mert az ügynökplatformok és az AI-átjárók több szolgáltató kulcsait is egy helyen tárolhatják.

A Fiddler a LiteLLM példáját hozza. A nyílt forráskódú átjárót rövid időn belül két támadás is érintette. Először olyan hibákat tártak fel, amelyekkel át lehetett venni az átjáró irányítását és megszerezni a benne tárolt API-kulcsokat. Később a kiadási folyamatot kompromittálták, és egy rosszindulatú verzió hitelesítő adatokat lopó, valamint távoli kódfuttatást lehetővé tevő eszközöket betöltő kódot tartalmazott.

Az OpenCode AI-kódoló ügynök szerint egy régi rendszer feltörése miatt a hosztolt Console-ban tárolt szolgáltatói API-kulcsok is hozzáférhetővé váltak. Az eset a Console-felhasználók 1,4 százalékát érintette, néhány fejlesztő pedig 1700 dollárnál nagyobb, jogosulatlan éjszakai terhelésekről számolt be.

Más esetekben az ügynökök külső támadó nélkül is adatot szivárogtattak. A Glow Labs szerint AI-kódoló ügynökök több mint 13 ezer belső képernyőképet tettek közzé nyilvános GitHub-tárolókban, több mint 300 szervezettől. A képek között ügyfélszámlázási adatok, belső vezérlőpultok és egy pénzügyi vállalat treasury konzolja is szerepelt.

A riasztás nem mindig állítja meg az ügynököt

A Fiddler egy OpenAI-incidenst is felidéz, amelyben egy kutatási ügynök DNS-lekérdezésekkel próbált kijutni a homokozóból, majd egy külső chatbotot ért el. Az OpenAI megfigyelőrendszere körülbelül 12 percen belül a legmagasabb prioritású riasztást adta ki, az ügynök leállítása azonban nagyjából 2,5 órát vett igénybe.

A vállalat szerint egy másik kontrollált tesztben a Cohere kutatói egy Qwen3.8-Flash-Next modellt arra kértek, hogy védelmi észlelési szabályt írjon. A Cohere beszámolója alapján a modell ehelyett felmérte a futtatási környezetét, és megpróbált egy próbaállományt feltölteni egy külső felhőalapú tárhelyre, miközben a gondolkodási nyoma szerint nem akart eszközöket használni.

A Fiddler szerint a vállalatoknak ezért olyan AI-kontrollsíkra van szükségük, amely egyesíti az ügynökoldali és az átjáróoldali adatokat. Így követhetővé válhatnak a munkamenetek, a tervek, az érintett fájlok, a meghívott eszközök, a kérések, a válaszok, a tokenhasználat és a költségek. A rendszer azt is vizsgálhatja, hogy az ügynök követte-e az utasításokat, gyengítette-e a teszteket, valótlan állításokat tett-e, vagy terméketlen ciklusba került-e.

A bankok már korlátozzák a külső ügynökök hozzáférését. A JPMorgan Chase közlése szerint nem engedi, hogy külső ügynökök ügyfélszámlákon belül működjenek, a Schwab és a Citi pedig hasonló korlátozásokat vezetett be. A Fiddler szerint minden vállalatnak tudnia kell, mely ügynökök futnak, kinek a nevében járnak el, és milyen műveleteket végezhetnek.