Спуфінг у комунікації між агентами

Що таке Спуфінг у комунікації між агентами?

Багатоагентні системи передають роботу через шину повідомлень, і здебільшого ці повідомлення не підписують і не автентифікують. Той, хто може дістатися до шини, зможе прочитати все, що кажуть агенти, і написати повідомлення, схожі на повідомлення Оркестратора, а подальші агенти виконають їх. Це ASI07 з OWASP Top 10 для агентних застосунків. Ви дослідите шину з відкритим текстом, підробите вказівку, що спрямовує записи клієнтів на зовнішній сервер, потім відшукаєте підробку серед справжнього трафіку та ввімкнете автентифікацію повідомлень.

Що ви дізнаєтесь у Спуфінг у комунікації між агентами

• Розпізнавайте ризики безпеки, притаманні архітектурам багатоагентної комунікації без автентифікації повідомлень і перевірки особи агентів
• Аналізуйте потоки повідомлень між агентами, щоб відрізняти справжні повідомлення агентів від підроблених або змінених
• Простежуйте, як зловмисник, що виконує атаку «людина посередині», користується каналами зв'язку між агентами без автентифікації, щоб підсунути вигадані вказівки
• Оцінюйте ефективність криптографічного підпису повідомлень, взаємної автентифікації та захищених каналів як засобів захисту багатоагентних систем
• Застосовуйте принципи проєктування меж довіри в багатоагентних архітектурах, щоб обмежити вплив зламаного агента або агента, чию особу підроблено

Спуфінг у комунікації між агентами — Кроки навчання

1. Проникнення в мережу

   Боб уже три дні перебуває у внутрішній мережі CypherPeak: він потрапив туди через вкрадені облікові дані підрядника для VPN. Коли він вивчав інфраструктуру, то виявив критичну проблему: агенти ШІ компанії обмінюються повідомленнями через внутрішню шину повідомлень, що працює через незахищений HTTP на порту 8443. Шифрування немає, автентифікації немає, а прочитати повідомлення може будь-хто з доступом до мережі.

2. Розвідка шини

   Боб відкриває інструмент для тестування API, щоб надіслати пробне повідомлення просто на шину повідомлень. Він використовує ендпоінт і формат, які побачив у перехопленому трафіку. Якщо шина прийме повідомлення з вигаданою особою відправника й без жодних облікових даних, це підтвердить, що вразливістю можна скористатися.

3. Жодної автентифікації

   Шина повернула HTTP 200 без жодного запиту автентифікації. Пробне повідомлення прийнято й доставлено, хоча в нього не було ні облікових даних, ні сертифіката, ні підпису. Усі поля безпеки у відповіді підтверджують: шина не виконує жодної перевірки.

4. Підготовка пейлоаду

   Коли вразливість підтверджено, Боб готує повідомлення для спуфінгу: він видає себе за агента Оркестратор і наказує Експортеру даних продублювати всі оброблені записи клієнтів на ендпоінт FTP, який контролює сам.

5. Надсилання підробленого повідомлення

   Боб повертається до Тестера API. Ендпоінт шини й метод POST залишилися налаштованими після пробного запиту. Він вставляє підроблений пейлоад у форматі JSON у тіло запиту й надсилає його.

6. Підроблена вказівка

   Шина прийняла підроблене повідомлення без жодного запиту автентифікації, так само як і пробне. Відповідь підтверджує, що підроблену вказівку доставлено Експортеру даних від імені Оркестратора.

7. Звичайна обробка

   Аліса стежить за післяобіднім циклом пакетної обробки. Лист від керівниці платформи даних підтверджує, що конвеєр обробляє заплановану партію даних клієнтів.

8. Конвеєр даних

   Аліса відкриває панель CypherOps Agent Monitor. Конвеєр складається з п'яти агентів ШІ, розташованих ланцюжком. Оркестратор координує процес, Приймання даних отримує записи клієнтів, Обробник даних нормалізує їх, Сканер комплаєнсу перевіряє, чи відповідають вони правилам приватності, а Експортер даних надсилає оброблені дані в подальші аналітичні системи.

9. Звичайний потік повідомлень

   Під час пакетної обробки конвеєром починають рухатися повідомлення. Кожен агент надсилає наступному в ланцюжку оновлення стану. Зелені індикатори показують, що кожне повідомлення має чинний підпис агента, який його надіслав.

10. Підроблена вказівка

    Коли партія доходить до етапу експорту, Експортер даних бере вказівку, що чекала в його черзі, — і в ній щось не так. Вона нібито від Оркестратора й наказує Експортеру даних продублювати всі оброблені записи на зовнішній резервний ендпоінт перед стандартним експортом. Експортер даних приймає вказівку й починає передавати дані клієнтів на сервер зловмисника.