Спуфінг повідомлень між агентами

Що таке Спуфінг повідомлень між агентами?

Багатоагентні системи передають роботу через шину повідомлень, і в більшості впроваджень ці повідомлення не підписують і не автентифікують. Кожен, хто має доступ до шини, може читати все, що кажуть агенти, і писати повідомлення так, ніби їх надіслав оркестратор, а наступні агенти їх виконують. Це ASI07 в OWASP Top 10 для агентних застосунків. Ви зробите пробний запит до шини, що працює у відкритому тексті, підробите вказівку, яка перенаправляє записи клієнтів на зовнішній сервер, а потім відрізните підробку від справжнього трафіку й увімкнете автентифікацію повідомлень.

Що ви дізнаєтесь у Спуфінг повідомлень між агентами

• Розпізнавайте ризики безпеки, властиві багатоагентним архітектурам, у яких немає автентифікації повідомлень і перевірки особи агентів
• Аналізуйте потоки повідомлень між агентами, щоб відрізняти легітимний обмін від підроблених або змінених повідомлень
• Простежуйте, як зловмисник у позиції «людина посередині» використовує канали зв'язку між агентами без автентифікації, щоб підсувати сфабриковані вказівки
• Оцінюйте, наскільки ефективні криптографічний підпис повідомлень, взаємна автентифікація та захищені канали як засоби захисту багатоагентних систем
• Застосовуйте принципи меж довіри під час проєктування багатоагентних архітектур, щоб обмежити наслідки компрометації агента чи видавання себе за нього

Спуфінг повідомлень між агентами — Кроки навчання

1. Проникнення в мережу

   Боб уже три дні перебуває у внутрішній мережі компанії CypherPeak: він зайшов із викраденими обліковими даними VPN підрядника. Складаючи карту інфраструктури, він помітив головне: агенти ШІ компанії спілкуються через внутрішню шину повідомлень, яка працює на звичайному HTTP через порт 8443, без шифрування й автентифікації. Прочитати її трафік може будь-хто з доступом до мережі.

2. Пробний запит до шини

   Боб відкриває інструмент для тестування API, щоб надіслати пробне повідомлення безпосередньо на шину. Він використовує ендпоінт і формат, які вивчив із перехопленого трафіку. Якщо шина прийме повідомлення з вигаданим відправником і без жодних облікових даних, це підтвердить, що вразливістю можна скористатися.

3. Жодної автентифікації

   Шина повернула HTTP 200 без жодного запиту автентифікації. Пробне повідомлення прийняли й доставили, хоча в ньому не було ні облікових даних, ні сертифіката, ні підпису. Кожне поле безпеки у відповіді підтверджує, що шина нічого не перевіряє.

4. Підготовка пейлоаду

   Вразливість підтверджено, тож Боб готує повідомлення для спуфінгу. Він видає себе за агента Оркестратор і наказує Експортеру даних продублювати всі оброблені записи клієнтів на FTP-адресу, яку контролює Боб.

5. Надсилання підробленого повідомлення

   Боб повертається до «Тестера API». У полях уже стоять ендпоінт шини й метод POST із пробного запиту. Він вставляє підроблений пейлоад у форматі JSON у тіло запиту й надсилає його.

6. Підроблена вказівка

   Шина прийняла підроблене повідомлення без жодного запиту автентифікації — так само, як і пробне. Відповідь підтверджує: підроблену вказівку доставлено Експортеру даних від імені Оркестратора.

7. Звичайна обробка

   Аліса стежить за післяобіднім циклом обробки пакетів. У листі керівниця платформи даних підтверджує, що конвеєр даних клієнтів запустив плановий пакет.

8. Конвеєр даних

   Аліса відкриває панель CypherOps Agent Monitor. Конвеєр складається з п'яти агентів ШІ, з'єднаних у ланцюг. Оркестратор координує роботу, агент Приймання даних отримує записи клієнтів, Обробник даних нормалізує їх, Сканер комплаєнсу перевіряє їх на відповідність правилам захисту даних, а Експортер даних надсилає оброблені дані в залежні аналітичні системи.

9. Звичайний обмін повідомленнями

   Пакет обробляється, і конвеєром починають рухатися повідомлення. Кожен агент надсилає звіт про стан наступному агенту в ланцюгу. Зелені індикатори показують, що кожне повідомлення має дійсний підпис агента, який його надіслав.

10. Підроблена вказівка

    Пакет доходить до етапу експорту, і Експортер даних бере вказівку, що чекала в його черзі. Але з нею щось не так: вона нібито надійшла від Оркестратора й вимагає продублювати всі оброблені записи на зовнішній резервний ендпоінт ще до звичайного експорту. Експортер даних приймає вказівку й починає передавати дані клієнтів на сервер зловмисника.