AI代理技能安全漏洞:26000用户遭遇隐蔽攻击的启示
近期一项研究揭示,一个经过安全扫描的AI代理技能通过Instagram传播,影响26000用户,暴露企业级AI工具的潜在风险。本文深入分析该事件的技术细节、安全漏洞及企业应对策略。
在人工智能技术快速发展的今天,AI代理技能正成为企业数字化转型的重要工具。然而,近期一项研究揭示,一个经过多重安全扫描的AI代理技能成功绕过所有检测机制,通过Instagram传播,最终影响了26000名用户。这一事件不仅暴露了当前AI技能安全审查的局限性,也为企业级AI工具的安全管理提出了新的挑战。 该研究由安全公司AIR进行,其核心发现是一个名为brand-landingpage的技能,表面上是帮助用户使用Google Stitch设计工具构建登录页面的工具。研究人员选择这一用例,因为它能够吸引非技术型企业用户,包括市场营销人员、销售人员和设计师。为了使该技能看起来可信,研究人员采取了两项关键措施:利用GitHub的声誉和通过安全扫描的安全评估。
首先,研究人员将技能提交到一个流行的开源代理仓库,该仓库拥有约36000个GitHub星标和156个技能。经过几天后,该技能的拉取请求被合并。然后,研究人员通过Instagram广告推广该技能,吸引用户安装和运行。 该恶意技能的关键技术手段并不在于提交的文件中包含可疑代码,而是指示代理通过stitch-design.ai域名下载和安装Stitch SDK。这个域名由AIR控制,最初会重定向到Google的真实Stitch网站stitch.withgoogle.com。这种设计使得静态审查无法发现问题,因为技能在提交时看起来是安全的。
AIR公司测试了该技能对Cisco、Nvidia和skills.sh等多个安全扫描器的表现,结果所有扫描器都将brand-landingpage标记为安全。然而,一旦技能获得了分发,AIR改变了假Stitch文档页面的内容,指示代理下载并运行一个脚本。在AIR的测试中,该脚本仅收集用户的电子邮件地址,但公司指出,相同的方法可以用于破坏运行代理的机器。 这一事件揭示了AI代理技能的一个关键安全漏洞:技能在审批或安装时的静态扫描无法保证其长期安全性。因为技能可以在获得信任后改变行为。这意味着企业需要将AI技能视为企业软件供应链的一部分,而不仅仅是简单的提示或文本文件。
安全研究人员Devashri Datta指出,将代理技能视为简单的文本或提示是一种根本性的架构误解。实际上,它们是可执行的指令捆绑包,指导代理如何操作、与企业系统交互以及路由数据。因此,它们必须像第三方开源包或SaaS集成一样严格管理。 Confidis创始人兼CEO Keith Prabhu表示,AI代理技能应该被视为"活跃的第三方依赖项",而不仅仅是静态插件。他强调,一次性的安全扫描已经不再足够,企业需要持续验证和严格的运行时控制。这意味着企业需要建立一个全面的AI技能库,使安全团队能够清晰地了解每个技能的所有权记录、外部连接和允许的数据流。
Datta进一步指出,企业应该要求任何获取外部指令或软件组件的技能进行版本固定和不可变引用跟踪。此类内容应该被本地化,与加密哈希绑定,并托管在企业控制的环境中。此外,安全团队还应该在代理级别上实施最小特权原则,以防止技能继承运行它的用户的全部数据访问权限。 Prabhu建议,安全领导者应该在整个生命周期内评估AI代理技能,而不仅仅是在最初批准时。企业应该将员工限制在批准的市场和预批准的技能上,验证这些技能引用的外部URL,并在部署前在沙箱中测试安装行为。在运行时,网络调用应该被限制在批准的域名上,并监控异常活动。
这一层次至关重要,因为一个在安装时看起来安全的技能可能在获得信任后改变行为。 这一事件的教训是,企业需要重新评估其AI技能的安全策略。传统的静态扫描方法已经无法应对动态变化的AI环境。企业需要采用更全面的方法,包括持续监控、运行时检查和严格的访问控制,以确保AI代理技能的安全性。 随着AI技术的不断发展,企业必须保持警惕,采取积极的安全措施,以应对不断演变的威胁。通过采用上述策略,企业可以更好地保护其系统和数据,确保AI技能的安全使用。
。
