Експерти б'ють на сполох: нова атака змушує ШІ Google працювати на хакерів

Фахівці з Pillar Security виявили перший у світі метод атаки "агент проти агента" в репозиторії Google ADK. Він дозволяє низькопривілейованому ШІ маніпулювати ботом із високими правами.

Про це інформує The Register.

Фахівець з безпеки Дан Лісічкін, який виявив прогалину, зазначив, що поява таких атак демонструє "суттєве розширення поверхонь загроз."

За його словами, у "доагентну" епоху подібні вектори атак просто не існували, а отже, керівникам із інформаційної безпеки (CISO) необхідно терміново переглянути власні моделі запобігання загрозам. 

Механіка атаки через межу довіри 

Проблема виникла через некоректну ізоляцію двох класів автоматизованих ШІ-агентів із різними рівнями доступу, які використовували спільну межу довіри.

Схема виглядала так:

• Публічний агент з низькими привілеями запускався щоразу, коли будь-який користувач створював Pull Request (PR) або відкривав Issue в репозиторії.
• Внутрішній агент із високими привілеями мав доступ до розширених функцій і міг виконуватися лише від імені мейнтейнерів.

За допомогою технології prompt injection (впровадження зловмисних інструкцій у текст - ред.) хакер міг змусити публічного бота згенерувати спеціальний тег службової команди, наприклад, @gemini-cli.

Оскільки публічний бот був сприйнятий системою як обліковий запис із правами Collaborator, цей тег трактувався як легітимний запит від розробника.

Це активувало високопривілейованого бота для виконання дій у середовищі CI/CD (зокрема, зчитування токенів доступу та видозміни коментарів).

Схема атаки, описана Даном Лісічкіним (джерело: Pillar Security)

Позиція Google та рекомендації з безпеки 

Американський техногігант вже усунув виявлену вразливість у своєму репозиторії, однак відмовився виплачувати винагороду за програмою Bug Bounty.

У компанії пояснили це тим, що для успішної реалізації атаки зловмиснику все одно потрібні елементи соціальної інженерії та фінальне підтвердження змін людиною (мейнтейнером).

З усім тим, експерти Pillar Security наголошують, що проста ізоляція середовищ виконання асистентів більше не є достатньою.

Кожен ШІ-агент повинен мати власну строго обмежену цифрову ідентичність (Agent Identity) та чітко розмежовані права доступу до ресурсів.

Ціль - унеможливити використання бота для обходу авторизації.