Инструмент ИИ-агента
Оригинал: AI Agent Tool
Злоумышленники могут нацеливаться на инструменты ИИ-агентов как на способ компрометации цепочки поставок ИИ организации-жертвы. Инструменты добавляют ИИ-агентам возможности, позволяя им взаимодействовать с другими сервисами, подключаться к источникам данных, обращаться к интернет-ресурсам, запускать системные инструменты и выполнять код. Они являются привлекательной целью для злоумышленников, поскольку компрометация ИИ-агента может предоставить им широкие доступы и права в системе жертвы через другие инструменты агента.
Отравленные инструменты агентов (см. отравление инструментов ИИ-агента) могут содержать вредоносный код или промпт-инъекции в LLM, которые манипулируют поведением агента и даже изменяют порядок вызова других инструментов. Злоумышленники уже успешно использовали отравленный MCP-сервер для эксфильтрации приватных пользовательских данных [[koi]].
Инструменты агентов резко выросли в популярности: тысячи MCP-серверов доступны публично [[glama]]. Их часто публикуют в репозиториях ПО с открытым исходным кодом, таких как GitHub, индексируют в специализированных хабах MCP-серверов [[mcp-hub]][[mcp-server-hub]] и размещают в реестрах пакетов, таких как NPM. ИИ-агенты также могут подключаться к удаленно размещенным инструментам [[remote-mcp]]. Это создает среду, в которой вредоносные инструменты могут быстро распространяться, а защитные меры часто отсутствуют.
Тактики
Родительская техника
Другие подтехники родителя
Примеры процедур из кейсов
Пользователи скачивали отравленный навык из ClawdHub. При этом ClawdHub показывает не все файлы навыка, поэтому пользователям трудно проверить навык перед скачиванием.
AML.CS0053Эксфильтрация писем через отравленный MCP-сервер PostmarkКогда организации обновляли `postmark-mcp` до версии `1.0.16`, они получали вредоносную версию инструмента через скомпрометированную цепочку поставок.
AML.CS0054Эксфильтрация данных через удаленный отравленный MCP-инструментИсследователи разместили отравленный MCP-инструмент, где вредоносные инструкции были скрыты в docstring-описании этого инструмента.