Railway-ansatts KI-agenter jaktet på hemmeligheter hos Primcloud og portskannet 65 536 adresser

Railway-ingeniøren Jake Runzer kaller det agentisk testing som gikk for langt. Josh Manders, grunnlegger av skyplattformen Primcloud, beskriver rundt 24 kommandoer kjørt på omtrent 15 minutter, ifølge Security Boulevard. Runzer skrev på X at han kjørte agenter som registrerte seg og testet lignende plattformer, og at han stanset oppsettet da det begynte å strekke seg for langt. Manders mener det var «done on purpose and scripted. No app was ever run.»

Ifølge Manders brukte agentene legitimasjon fra innsiden av sine egne containere til å be om alle hemmelighetene til Primclouds kunder og ansatte. Deretter portskannet de alle 65 536 interne adresser to ganger og gjettet interne navn på databaser og cacher. Alle forsøkene ble blokkert, og ingenting i Primclouds systemer ble nådd.

«De prøvde skyleverandørens metadata-endepunkt, standardmåten å stjele legitimasjon for verten en container kjører på.» — Josh Manders, Primcloud, på X

Railways medgrunnlegger og toppsjef Jake Cooper beklaget, sa at modellene begynner å bli litt for gode, og lovet å forby ikke-manuell testing mot eksterne systemer. Det skjer to uker etter at Railway selv meldte om et innbrudd 21. oktober, der en uautorisert aktør kan ha fått tilgang til kundenes krypterte miljøvariabler.

Agenten trengte ingen exploit. Den hadde ekte legitimasjon i containeren og fri utgående trafikk, samme oppsett som mange har når en kodeagent får kjøre fritt.

Hva bør du gjøre?

1. Kjør testagenter bak en allowlist for utgående trafikk, slik at de bare når domenene oppgaven gjelder.
2. Gi agentcontaineren kortlevde nøkler med minst mulig rettigheter, og blokker skyleverandørens metadata-endepunkt der det ikke trengs.
3. Logg hver kommando agenten kjører, og stans sesjonen automatisk hvis den begynner å skanne nettverk.