AI-Infra-Guard skanner KI-tjenester for 1 600 CVE-er, men mangler innlogging

Et verktøy som skal finne ut hvilke KI-tjenester du har eksponert, kommer med en advarsel om ikke å eksponere verktøyet selv. Tencents sikkerhetsavdeling Zhuque Lab har lagt ut AI-Infra-Guard som åpen kildekode, og ifølge Help Net Security oppgir repoet at plattformen mangler en autentiseringsmekanisme. Blant brukerne er ICBC, China Merchants Bank, China Telecom, Lenovo, vivo og Bilibili.

Skanneren gjør tre ting: den fingeravtrykker kjørende tjenester som Ollama, vLLM og ComfyUI mot over 1 600 kjente CVE-er, den inspiserer MCP-servere og agent-skills mot 14 risikokategorier, og den kjører jailbreak-evalueringer mot en målmodell. Skill-sjekken er den upresise delen: der spør den rett og slett en språkmodell om en skill ser ondsinnet ut. Zhuque Lab måler det kallet mot SkillTrustBench, et offentlig sett med 5 520 menneskemerkede eksempler i ni risikokategorier, og andelen falske positive lander mellom 1,20 og 18,67 prosent avhengig av hvilken modell som dømmer. I den ene enden flagges omtrent én ren skill av åtti, i den andre er nesten hvert femte varsel bortkastet tid.

Begge skannekomponentene leser innhold en fiendtlig server kontrollerer, altså verktøybeskrivelser og skill-filer. Det er nøyaktig angrepsflaten for indirekte prompt injection. Utgivelse 4.1.9 legger slikt innhold i en egen, eksplisitt avgrenset tekstblokk som agenten får beskjed om å behandle som data, aldri som kommandoer. Teamet sier det kutter naiv til moderat injection betydelig, men beskriver grepet som et avbøtende tiltak, ikke en formell garanti.

«AI-Infra-Guard er designet som et verktøy for én operatør. Ingen innlogging, ingen RBAC.» — AI-Infra-Guard-teamet, Zhuque Lab

Zhuque Labs løsning er å legge tilgangskontrollen utenfor applikasjonen: nginx med Basic Auth eller en IP-allowlist foran, pluss vanlige brannmurregler. Hopper du over det laget, kjører du en sårbarhetsskanner som sitter på API-nøklene til alle modellene den evaluerer, åpen for alle som kan rute til porten.

Hva bør du gjøre?

1. Sett nginx med Basic Auth eller IP-allowlist foran AI-Infra-Guard før du starter den, og hold porten bak brannmur.
2. Kjør minst 4.1.9 hvis du skanner MCP-servere du ikke stoler på.
3. Velg dommermodell bevisst: spennet mellom 1,20 og 18,67 prosent falske positive avgjør hvor mye manuell gjennomgang du sitter igjen med.
4. Behandle et rent skanneresultat som ett signal, ikke som en godkjenning.