Tenet Security продемонстрировала цепочку атак «GhostJacking» 9 августа на главной сцене DEF CON 34. Запрос, заблокированный Cloudflare, был записан в лог с отравленным заголовком User-Agent, созданным атакующим. ИИ-агент для написания кода, анализировавший эти данные, принял текст атакующего за инструкцию и с ранее предоставленными компанией учетными данными изменил DNS. В тесте Tenet Claude Code on Sonnet 4.6 следовал этой инструкции в девяти из 10 попыток в рекомендованной конфигурации Cloudflare.
Во время атаки межсетевой экран сработал, однако агент мог читать данные, доступные атакующим, а также вносить изменения в системы, на которые указывали эти данные. Tenet обнаружила общедоступные свидетельства существования такой конфигурации в 48 организациях, включая шесть подтвержденных компаний из списка Fortune 500. SecurityWeek также сообщила о подобных цепочках в Datadog и Sentry.
Стив Уилсон, соруководитель проекта OWASP Top 10 for LLM Applications, предложил установить за пределами модели шлюз авторизации. Агент должен иметь возможность предлагать изменения, но не должен самостоятельно подтверждать операции с высокой степенью воздействия; неясные операции следует направлять на одобрение человека. По словам Уилсона, правила безопасности, прописанные в запросах, могут направлять поведение, но не являются реализуемыми средствами контроля безопасности. В демонстрации использовались Cursor, интеграция GraphQL и Cloudflare API.
Почему это важно
Этот вывод показывает, что одного межсетевого экрана может быть недостаточно для обеспечения безопасности в AI-агентах для написания кода: агент способен не только читать записи, к которым получил доступ злоумышленник, но и выполнять операции в системах, на которые эти записи указывают. Это напрямую касается организаций, которые предоставляют агенту заранее определённые учётные данные и доступы к API, поскольку вредоносное содержимое может быть воспринято как доверенная внутренняя инструкция. То, что общедоступные доказательства указывают на схожие конфигурации в разных организациях, свидетельствует о том, что проблему нельзя свести к одному продукту или одному эксперименту. Ключевой открытый вопрос заключается в том, на каком уровне технической авторизации следует отделить изменения с высокой степенью воздействия от агента. Без одобрения человека и реализуемых средств контроля правила безопасности в запросах сами по себе не обеспечивают достаточной защиты.