Stjålet API-nøkkel hos METR brente KI-kreditt for 600 000 dollar

METR, som evaluerer frontmodeller for evnen til å utføre lange, agentiske oppgaver, har offentliggjort to sikkerhetshendelser der eksterne aktører forsøkte å skaffe seg uautorisert tilgang. Stiftelsen mener ingen sensitiv informasjon ble hentet ut, og ingen av angrepene er tilskrevet en kjent aktør. Ingen av dem involverte KI-agenter som brøt seg ut av evalueringene, skriver The Hacker News.

Marsangrepet er det lærerike. En forsker uten sensitiv tilgang kjørte agenter på en personlig EC2-instans som med vilje var gjort offentlig tilgjengelig bak Google-pålogging. Instansen inneholdt en API-nøkkel til METRs konto for åpne modeller. Appen var «vibe-kodet», og den hadde en fail open-sårbarhet som stille slo av autentiseringen. Dashbordet for agentorkestrering lå dermed åpent på internett i flere dager.

Måten instansen ble funnet på bør bekymre alle som har deployet noe raskt. METR antar at angriperen lette gjennom nyregistrerte nettsteder, for eksempel i certificate transparency-lister, etter vibe-kodede sider med nøkkelord knyttet til LLM-er eller agenter, nettopp for å høste eksponerte API-nøkler. Da instansen var funnet, ba angriperen agenten direkte om å røpe API-nøkkelen, la inn en SSH-nøkkel for varig tilgang og brukte legitimasjonen i tre uker.

At det tok tid å oppdage, skyldes at METR kjører storskala evalueringer som normalt bruker enorme mengder tokens, og at det ikke fantes tak på forbruket. Regningen ville landet på rundt 600 000 dollar hvis ikke modellleverandøren hadde gitt kredittene gratis til stiftelsen. Leverandøren er ikke navngitt.

I mai fulgte en vedvarende kampanje fra en trolig økonomisk motivert aktør, med tung bruk av agenter til å automatisere sårbarhetsjakt: credential stuffing mot autentiseringsleverandører, forsøk på OAuth-token-tildelinger, skanning av nye tjenester og phishing mot ansatte. Samtidig eksponerte METR uforvarende en skrivebeskyttet SQL-spørring i sin offentlige transkripsjonsviser, som på grunn av en feil kunne gitt tilgang til upubliserte evalueringsdata. En uavhengig sikkerhetsforsker meldte fra, og API-et ble tatt ned.

Hva bør du gjøre?

1. Sett forbrukstak og forbruksvarsler på hver eneste API-nøkkel. METR oppdaget ikke tyveriet fordi høyt tokenforbruk er normalen deres, og det manglet tak.
2. Behandle certificate transparency som en angrepsflate. Et nytt domene med «agent» eller «llm» i navnet er synlig for alle i det sekundet sertifikatet utstedes.
3. Test at autentiseringen faktisk feiler lukket. En fail open-bug i en app du prompt-genererte gir ingen feilmelding, den slipper bare alle inn.