Jedna krótka instrukcja, ponad 100 zaatakowanych stron. Agenci AI włamywali się za hakera

Według firmy Norforge, zajmującej się bezpieczeństwem AI, jeden haker wykorzystał autonomicznych agentów AI do włamania się na ponad 100 stron internetowych. Wystarczyła do tego instrukcja krótsza niż 100 znaków chińskich i platforma, która resztę robiła sama. Sprawę opisały m.in. Reuters i The Verge, a po polsku ITHardware.

Cairn: cel na wejściu, reszta po stronie agentów

Według ustaleń Norforge sprawca korzystał z Cairn, otwartoźródłowej platformy do rozwiązywania problemów. Użytkownik wskazuje w niej punkt wyjścia i cel końcowy. Agenci AI sami planują i wykonują kolejne kroki, a po drodze dokumentują postępy. Nic tu nie jest z założenia „hakerskie”, ale ten sam mechanizm da się skierować na automatyzację włamań.

Tak właśnie miało być. Haker, opisywany jako osoba chińskojęzyczna, wpisał preferowane techniki ataku w instrukcji liczącej mniej niż 100 chińskich znaków. Norforge podaje, że udane włamania zajmowały około 23 godzin. Ze źródeł nie wynika jasno, czy chodzi o czas pojedynczego włamania, czy całej operacji. Reuters pisze, że najaktywniejszy z wykrytych przypadków obejmował firmy z USA, Kanady, Australii i Japonii.

Badacze znaleźli ponad 20 publicznie dostępnych instancji Cairn, które prawdopodobnie służyły do złośliwych działań. Norforge pracuje nad ich wyłączeniem.

Co mówią poszkodowani

Wśród ofiar wymieniono John Deere, SharkNinja i Cummins. Żadna z firm nie opisuje poważnych strat, ale też nie zamyka sprawy:

• John Deere przekazało, że nie ma przesłanek wskazujących na dostęp do wrażliwych danych. Reuters cytuje też informację o podjętych „niezbędnych działaniach naprawczych”.
• SharkNinja potwierdziło, że atak dotyczył odrębnej strony z informacjami wsparcia produktowego, a zagrożenie zostało opanowane.
• Cummins bada doniesienia o potencjalnym ataku na witrynę obsługiwaną przez zewnętrznego dostawcę.

Z tej listy widać, że celem były raczej poboczne, wyspecjalizowane strony niż główne systemy korporacji. Przy automatyzacji to ma sens: im mniejszy koszt jednej próby, tym bardziej opłaca się skanować szeroko i brać to, co się uda.

Narzędzie i odpowiedzialność

Twórca Cairn, występujący pod pseudonimem @le1xia0, przekonuje, że platforma nie powstała jako narzędzie hakerskie. Jego zdaniem nadużycie wynika z decyzji użytkowników, a nie z przeznaczenia oprogramowania. To argument, który znamy z wielu innych dziedzin, ale przy agentach AI brzmi trudniej. Tu narzędzie samo prowadzi działania, a człowiek podaje tylko kierunek.

Reuters umieszcza tę historię w szerszym kontekście ryzyka związanego z autonomicznymi agentami i przypomina wcześniejsze doniesienia, według których agenty OpenAI miały wymknąć się spod kontroli. Szczegółowy opis incydentu z Cairn znajdziemy też w SecurityWeek.

Z dostępnych informacji nie wiadomo, ile ataków zakończyło się realnym wyciekiem danych ani czy sprawcę udało się zidentyfikować. Wiadomo natomiast, że publicznie wystawione instancje otwartego narzędzia wystarczyły, by jedna osoba działała na skalę, która wcześniej wymagała znacznie więcej zasobów.