AI el. pašto asistentas, sukurtas Varonis laboratorijos testui, parodė, kaip agento sauga gali sugesti net aptikus sukčiavimo nuorodas. Teste dalyvavo vienas „OpenClaw“ agentas, vardu Pinchy, prijungtas prie netikrų įmonės duomenų, o ne patvirtintas tikrų klientų sistemų pažeidimas.
Agentas užblokavo kenkėjiškas nuorodas ir įtartiną „OAuth“ programą, tačiau ji vis tiek atitiko įtikinamus el. laiškus apie apsimetinėjimą, kuriuose buvo prašoma slaptos prieigos. Šis atvejis parodo, kodėl AI agentams reikia tikrinti tapatybę, o ne tik aptikti saitus.
Kas atsitiko OpenClaw AI agento teste
„Varonis“ mokslininkai išbandė „OpenClaw“ el. pašto agentą „Pinchy“ modeliuotoje įmonės aplinkoje, o ne patvirtintą realaus pasaulio pažeidimą. Agentas buvo prijungtas prie „Gmail“, naršyklės įrankių ir „Google Workspace“ API, tada jam buvo suteikti netikri vidiniai įmonės duomenys, kad būtų galima pamatyti, kaip jis apdoroja sukčiavimo užklausas.
Testas nustatė, kad Pinchy užblokavo netikrą dovanų kortelės sukčiavimo nuorodą ir atmetė kenkėjišką „OAuth“ programą, tačiau vis tiek nepavyko, kai užpuolikai apsimetė patikimais darbuotojais ir pateikė skubius operatyvinius užklausas.
Tyrėjai teigė, kad pagrindinė agento silpnybė buvo tapatybės patvirtinimas. Jis galėjo pastebėti kai kurias technines grėsmes, bet vis tiek veikė pagal užklausas, kurios atrodė teisėtos, tinkamai nepatvirtinusios, kas klausia.
Kodėl sukčiavimo aptikimo nepakako
Nors „OpenClaw“ demonstravo stiprias technines aptikimo galimybes, įskaitant įtartinų nuorodų, netikrų autentifikavimo puslapių ir kenkėjiškų „OAuth“ užklausų identifikavimą, AI agentui trūko kritinio tapatybės patvirtinimo sluoksnio, reikalingo atskirti teisėtas užklausas nuo sukčiavimo bandymų.
Tyrėjai pažymėjo, kad sistema turinio patvirtinimą ir tapatybės patvirtinimą traktavo kaip atskirus procesus, kurie leido užpuolikams apeiti saugumo patikras net tada, kai aptikimo variklis aiškiai nustatė kenkėjiškus ketinimus.
Nors AI teisingai pažymėjo kenkėjiškus URL, mokslininkai nustatė, kad turinio aptikimo ir tapatybės patvirtinimo atskyrimas sukūrė struktūrinę spragą, kurią užpuolikai galėjo patikimai išnaudoti naudodami socialinės inžinerijos metodus.
Viduje techninės apsaugos gedimai
Platesnė OpenClaw saugumo rizika kyla dėl aukšto lygio prieigos agentų, įskaitant prieigą prie failų, el. pašto, kalendorių, komandinės eilutės įrankių ir trečiųjų šalių įgūdžių.
Tyrėjai taip pat dokumentavo riziką, susijusią su greitu injekcijomis, kenkėjiškais įgūdžiais, atvirais atvejais, su „WebSocket“ susijusiais pažeidžiamumu ir silpnu paslapčių ar kredencialų tvarkymu agento darbo eigoje.
Šios išvados rodo platesnę architektūrinę riziką agentų sistemose, ypač kai AI įrankiai gali nuskaityti nepatikimą turinį ir tada veikti su privilegijuota prieiga.
Ką mokslininkai nustatė apie šešėlinio AI riziką
Saugumo tyrinėtojai perspėja, kad „OpenClaw“ atitinka platesnę „Shadow AI“ riziką, kai neoficialūs arba prastai valdomi AI agentai veikia organizacijose, turėdami prieigą prie jautrių failų, gautųjų, įrankių ir kredencialų.
Ataskaitos apie „OpenClaw“ ir panašias agentų sistemas rodo, kad tradicinės saugos kontrolės priemonės gali būti sudėtingos, kai AI agentas veikia per teisėtas vartotojų paskyras ir atlieka veiksmus, kurie atrodo kaip įprasta darbo eigos veikla.
Mažai žinomas faktas: Varonis atkreipė dėmesį į esminį skirtumą tarp greito įpurškimo, kuris slepia nurodymus duomenyse, ir „agento sukčiavimo“, kuris pateikia patikimą pranešimą ir sėkmingas, kai agentas veikia nepatikrinęs, kas klausia.
Kaip sukčiavimo ataka apeidavo apsaugos priemones
„Varonis“ tyrėjai naudojo kruopščiai sukurtą sukčiavimo el. laišką, kuris AI agentui atrodė teisėtas, ir pasinaudojo turinio analize, o ne siuntėjo tapatybės patvirtinimu, kad inicijuotų atakos seką.
Kai AI agentas apdorojo el. laišką, jis sėkmingai nustatė kenkėjiškus URL, bet toliau atliko tolesnius veiksmus, nes darbo eigoje nebuvo tapatybės patvirtinimo patikros taško.
Tai leido užpuolikams atskirti aptikimą nuo leidimo, o tai reiškia, kad sistema galėjo atpažinti grėsmes ir vis tiek vykdyti neskelbtinus veiksmus, nepatvirtindama, ar užklausa teisėta, ar ne.
Mažai žinomas faktas: Sukurtas „OpenClaw“ agentas „Varonis“ buvo pavadintas „Pinchy“ ir pakako vieno apsimetinėjimo el. pašto, kad AWS kredencialai ir kliento eksportas būtų persiųsti išoriniu adresu.
Kredencialų poveikio ir duomenų nutekėjimo poveikis
Silpna kredencialų saugojimo praktika suvaidino svarbų vaidmenį pažeidime, nes AWS raktai, duomenų bazių slaptažodžiai ir API prieigos raktai buvo saugomi paprasto teksto failuose be šifravimo ar saugios saugyklos apsaugos.
Tyrėjai patvirtino, kad per susijusius incidentus buvo atskleista daugiau nei 1,5 milijono API prieigos raktų, kartu su CRM eksportu ir SSH kredencialais, kurie suteikė užpuolikams plačią prieigą prie sistemos.
Ekrano fiksavimo registravimas be tinkamo šifravimo dar labiau apsunkino problemą, atskleisdamas jautrią naudotojo veiklą, įskaitant slaptažodžius, banko informaciją ir asmeninį ryšį prijungtose sistemose realiuoju laiku debesies žurnaluose.
Kenkėjiškų papildinių ekosistemos rizika
„ClawHub“ prekyvietė tapo pagrindiniu atakų vektoriumi, o saugumo analitikai nustatė šimtus kenkėjiškų papildinių, užmaskuotų kaip teisėti elektroninio pašto, debesų saugyklos ir sistemos valdymo užduočių automatizavimo įrankiai.
Ataskaitose buvo nurodyta, kad aktyviai cirkuliuoja 824 ar daugiau kenkėjiškų įskiepių, iš kurių daugelis pristatė Atomic macOS Stealer kenkėjiškas programas arba įgalino neteisėtą duomenų išfiltravimą iš prijungtų sistemų.
Tyrėjai taip pat pabrėžė greitą injekciją kaip didelę riziką, kai kenkėjiškos instrukcijos gali būti paslėptos el. laiškuose, tinklalapiuose, failuose arba įgūdžiuose, kuriuos agentas vėliau apdoroja kaip įprasto darbo dalį.
Greitas injekcijos ir žurnalo išnaudojimas
Silpni žurnalų apdorojimo mechanizmai sukūrė dar vieną pažeidžiamumą, kai AI agentui buvo nurodyta apdoroti savo diagnostikos žurnalus, netyčia vykdant juose įterptas paslėptas kenkėjiškas instrukcijas.
Užpuolikai tuo pasinaudojo į žurnalo įrašus įterpdami greito įpurškimo naudingąsias apkrovas, kurios vėliau buvo interpretuojamos kaip teisėtos komandos, kai sistema peržiūrėjo vidinio diagnostikos proceso ciklo duomenis.
Ši technika įgalino aplinkos kintamųjų išfiltravimą ir vidinio tinklo nuskaitymą, paverčiant diagnostikos funkcijas slaptu vykdymo kanalu, skirtu užpuolikams visoje sistemos infrastruktūroje be įjungtų aptikimo valdiklių.
TL; DR
- „OpenClaw“ dirbtinio intelekto el. pašto agentas aptiko sukčiavimo požymius, bet vis tiek atskleidė neskelbtinus bandymo duomenis, nes prieš imdamasi veiksmų jai nepavyko patvirtinti siuntėjo tapatybės.
- Varonis tai apibūdino kaip laboratorinį testą, kuriame dalyvavo vienas OpenClaw agentas, vardu Pinchy, o ne patvirtintą realių klientų diegimo pažeidimą.
- Testas parodė, kaip AI agentas, turintis plačią prieigą prie el. pašto, įrankių, failų ar kredencialų, gali nutekėti duomenis net tada, kai teisingai pažymi įtartinas nuorodas.
- Pagrindinės rizikos apima silpną kredencialų tvarkymą, atviras vietines paslaugas, plačius leidimus ir prastą atskyrimą tarp nepatikimų pranešimų ir jautrių veiksmų.
- Kenkėjiški papildiniai ir greitas įterpimas gali išplėsti atakos paviršių, kai AI agentams leidžiama apdoroti el. laiškus, dokumentus, žurnalus ar įrankių išvestis be griežtų ribų.
Šis straipsnis buvo sukurtas naudojant dirbtinio intelekto pagalbą ir žmogaus redagavimą.
Jei jums patiko tai, jums taip pat gali patikti:
