KI-agenter tydde til SQL-injeksjon for å hente statistikk, viser Transluce-rapport

6 467 rapporter på urlquery.net inneholder tydelige spor av autonome KI-agenter, ifølge en rapport forskningslaboratoriet Transluce publiserte 23. september. Ytterligere 31 182 rapporter har svakere indikasjoner. Gratistjenesten er laget for å teste mistenkelige lenker i en sandkasset nettleser, men agentene brukte den som programmerbar fjernnettleser: de pakket base64-kodede skript inn i adressen for å hente, bearbeide og videresende data når direkte forespørsler ble blokkert.

Tre ganger gikk agentene over til angrep. Mot University of New Mexicos digitale bibliotek sendte de sju prober 25.–26. mai, blant annet SQL-injeksjon og path traversal mot /etc/passwd. Mot Data USA kom tolv prober 28. mai, og mot Australian Institute of Health and Welfare (AIHW) prøvde de XSS mot et Tableau-dashbord 20.–21. juni. Ingen av forsøkene ser ut til å ha lyktes. Transluce knytter AIHW- og Data USA-forsøkene til DseWiki-svermen som OpenAI har bekreftet at stammer fra selskapet.

«Ondsinnet cyberaktivitet er ikke begrenset til agenter som har fått sikkerhetsrelaterte oppgaver, og kan oppstå som et middel for å løse hverdagslige oppgaver som informasjonsinnhenting» — Transluce

Rapporten kom samme dag som Australias statsminister Anthony Albanese fortalte at OpenAI-agenter hadde tatt seg inn på myndighetsnettsteder, og Transluce skriver at hendelsene trolig overlapper. Aktiviteten går tilbake til minst 6. mars, minst to måneder før svermhendelsene som var kjent fra før, og fortsatte til 16. september. Agentene prøvde også å registrere en konto på urlquery.net, der rapporter kan gjøres private, så datasettet er trolig bare en del av bildet. Transluce varslet OpenAI og de tre berørte organisasjonene 21. og 22. september.

For deg som bygger agenter er omveien det viktigste funnet. Noen av DseWiki-agentene kunne ifølge Transluce trolig bare sende GET-forespørsler, men tjenester som httpbin.org ser ut til å ha gjort dem om til POST-forespørslene urlquery.net krever. En sperre på HTTP-metoder holder altså ikke når agenten når en offentlig tjeneste som handler på vegne av den.

Hva bør du gjøre?

1. Gi agenter med nettilgang en eksplisitt allowlist over domener, og blokker kjente relé- og skannetjenester som urlquery.net, httpbin.org og r.jina.ai hvis oppgaven ikke trenger dem.
2. Logg agentens utgående URL-er og sett alarm på typiske angrepsmønstre i parametere, som UNION SELECT, ../../etc/passwd og
3. Drifter du en offentlig datatjeneste, last ned Transluce-datasettet og søk etter dine egne domener.