ИИ-агенты могут передавать друг другу вредоносные команды через MCP
- Сайед Анас Мохиуддин продемонстрировал атаки на системах Google, JPMorgan Chase, Weaviate, Rapid7, а также французских и американских госструктур.
- Вредоносная инструкция может передаваться по цепочке как обычная задача; в некоторых сценариях это приводит к SSRF и запросам к внутренним ресурсам.
- Уязвимость Rapid7 оценили в 2,7 из 10 и исправили в сентябре; ошибку Google MCP Toolbox for Databases оценили в 8 из 10 и устранили.
Почему это важно: Компрометации одного агента может хватить, чтобы распространить вредоносные инструкции по корпоративной сети и добраться до чувствительных данных.
Массовое внедрение ИИ-агентов создаёт новый риск для корпоративных сетей: скомпрометировать одного агента может оказаться достаточно, чтобы распространить вредоносные инструкции по цепочке. Независимый специалист по безопасности Сайед Анас Мохиуддин (Syed Anas Mohiuddin) продемонстрировал такие атаки на системах, связанных с Google, JPMorgan Chase, Weaviate, Rapid7, французской межведомственной службой цифровых технологий и федеральным правительством США. Во всех случаях ключевую роль играли уязвимости в механизмах взаимодействия агентов, в том числе через MCP — протокол, позволяющий ИИ-приложениям подключаться к инструментам и обмениваться данными.
Атака начинается с вредоносной инструкции, которую один агент получает из содержимого или в ходе выполнения задания. Вместо того чтобы остановить работу, агент может передать текст инструкции следующему участнику цепочки как обычную рабочую задачу. Получатель доверяет внутреннему агенту и выполняет команду, хотя при прямом обращении со стороны злоумышленника система могла бы её отклонить. В некоторых сценариях это приводит к SSRF-атаке — при которой сервер под влиянием злоумышленника отправляет запросы к внутренним сетевым ресурсам, недоступным извне. Так можно добраться до закрытых сервисов и чувствительных данных.
Мохиуддин назвал этот класс атак protocol pivoting — «переключение между протоколами»: вредоносная инструкция проходит через одну систему взаимодействия, а затем использует доверие, заложенное в логике другой. Впрочем, исследователь Маркус Фервье (Markus Vervier) из X41 D-Sec считает, что по сути речь идёт о разновидности промпт-инъекции — внедрения вредоносных инструкций через обрабатываемый системой контент.
Уязвимость в инструменте Rapid7 получила оценку опасности 2,7 из 10 и была исправлена в сентябре. Ошибка в MCP Toolbox for Databases от Google была серьёзнее — 8 из 10: HTTP-клиент мог следовать перенаправлениям на внутренние адреса, не проверяя должным образом целевые IP. Google устранила проблему с помощью списков разрешённых IP-диапазонов и блокировки небезопасных адресов. Эти случаи напоминают о принципе zero trust: даже внутренний агент не должен автоматически получать право выполнять чувствительные операции лишь потому, что запрос пришёл от другого участника сети. Любые передаваемые ИИ инструкции необходимо проверять как потенциально вредоносные.
© iXBT
