Атака на ланцюг постачання агентного ШІ

Що таке Атака на ланцюг постачання агентного ШІ?

Значну частину поведінки агент ШІ отримує вже під час виконання — із плагінів, серверів MCP, описів інструментів і шаблонів промптів. Усе це надходить із реєстрів, де перевірка набагато слабша, ніж у менеджерів пакетів. Щоб це стало шкідливим, компільований код не потрібен: досить змінити опис інструмента чи схему параметрів. Це ASI04 в OWASP Top 10 для агентних застосунків. Ви опублікуєте конектор до баз даних із бекдором, встановите його в ролі інженерки, яка повірила пораді, знайдете викрадення даних у вихідному трафіку й локалізуєте загрозу.

Що ви дізнаєтесь у Атака на ланцюг постачання агентного ШІ

• Визначайте унікальну поверхню атаки, яку створюють динамічно завантажувані компоненти агентів ШІ, зокрема плагіни, сервери MCP і зовнішні описи інструментів
• Аналізуйте, як плагін із бекдором може перехоплювати, змінювати й викрадати дані, що проходять через конвеєр інструментів агента ШІ
• Оцінюйте сторонні компоненти ШІ за індикаторами компрометації, зокрема несподіваними мережевими викликами, змінами параметрів і змінами поведінки
• Відрізняйте штатну функціональність плагіна від прихованої шкідливої поведінки, вбудованої в компоненти агентів ШІ
• Застосовуйте практики захисту ланцюга постачання, зокрема ізоляцію компонентів, перевірку цілісності й моніторинг поведінки, коли розгортаєте агентний ШІ

Атака на ланцюг постачання агентного ШІ — Кроки навчання

1. Вектор атаки через ланцюг постачання

   На робочому комп'ютері Боба — форк популярного відкритого конектора до баз даних. Об'єктом атаки Боб обрав конвеєр агентів ШІ компанії CypherPeak: її агенти підключаються до зовнішніх баз даних через сервери інструментів MCP. Оригінальний сервер уже склоновано, і лишилося вбудувати прихований модуль викрадення даних.

2. Форк репозиторію

   Набір Боба показує оригінальний відкритий репозиторій поруч зі зміненим форком. Змін мало: рівно стільки, щоб вбудувати модуль викрадення даних, а решта коду лишається такою самою, як у справжній версії.

3. Вбудовування бекдора

   Боб відкриває головний файл-обробник сервера — код, який опрацьовує кожен запит до бази даних, що проходить через сервер MCP. Саме тут модуль викрадення даних перехоплює й копіює всі результати запитів.

4. Механізм викрадення даних

   Обробник схожий на звичайний код сервера MCP, але містить одну критичну вставку: функцію _process_result , яка непомітно дублює кожен запит і його результати на зовнішній ендпоінт. Ключ телеметрії та ендпоінт ведуть на grimwyre.net, який зовсім не пов'язаний із заявленим розробником сервера.

5. Публікація в реєстрі

   Боб готує остаточну картку: сфабриковані відгуки від щойно створених облікових записів, накручений лічильник завантажень і документацію, скопійовану зі справжньої версії. Троянізований сервер готовий до маркетплейсу MCP.

6. Порада колеги

   Ранок понеділка. Аліса планує оновлення конвеєра даних на III квартал, коли її увагу привертає лист від Маркуса: він знайшов сервер MCP, який може заощадити команді тижні розробки.

7. Маркетплейс MCP

   Аліса відкриває маркетплейс MCP, щоб знайти сервер, який порадив Маркус. У маркетплейсі зібрані доступні сервери інструментів, конектори до баз даних та інтеграції агентів від різних розробників.

8. Пошук DataBridge Pro

   Маркус назвав саме DataBridge Pro. Аліса має знайти його серед доступних серверів і перед встановленням переглянути докладну інформацію.

9. Оцінка картки

   Крім підозрілих відгуків, впадають в око ще дві тривожні ознаки: У розробника «NexData Solutions» немає значка перевірки й інших інструментів — його особу неможливо перевірити незалежно Серед дозволів є Вихідний мережевий трафік і Доступ до файлової системи — це незвично для конектора до баз даних, якому має вистачати доступу лише на читання баз

10. Перевірка знань