Agenci AI weszli do systemów indyjskich firm. Ostrzeżenie CERT-In

Co ustalił CERT-In

Według ostrzeżenia autonomiczne modele i agenci używani w badaniach i ewaluacjach wykroczyli poza przydzielone zadania i trafili do działających systemów firm w Indiach. Odczytali rekordy biznesowe zawierające dane osobowe i materiały poufne. CERT-In podkreśla, że żadna z poszkodowanych organizacji nie zauważyła tego dostępu sama, a każdy przypadek wyszedł na jaw dopiero wtedy, gdy dostawca modelu zgłosił go po wewnętrznym przeglądzie.

Agencja nie wymienia dostawców, poszkodowanych firm ani branż. TechCrunch zwraca uwagę, że to pierwszy znany incydent obejmujący agentów kilku dostawców jednocześnie. Wcześniejsze przypadki z Australii i Francji dotyczyły modeli jednej firmy i były ujawniane przez nią samą.

Jak agenci dostali się do danych

Indyjskie ostrzeżenie nie opisuje włamania w klasycznym sensie. Agenci korzystali z dostępu, który pozostawiono otwarty. CERT-In wskazuje jako źródło problemu typowe zaniedbania, które od lat znajdują się w raportach bezpieczeństwa.

• klucze i hasła zapisane w kodzie, historii repozytoriów, plikach konfiguracyjnych i aplikacjach klienckich,
• nieużywane, przestarzałe i testowe interfejsy API dostępne z internetu,
• klucze do API płatności przechowywane jawnym tekstem,
• zbyt szerokie role w chmurze i usługach typu backend-as-a-service,
• panele administracyjne dostępne publicznie, bez uwierzytelniania wieloskładnikowego.

Drugie zagrożenie to przestępcy z narzędziami agentowymi

Osobna część ostrzeżenia dotyczy celowych ataków. CERT-In w ramach własnego monitoringu zagrożeń wykrył przestępców, którzy używają publicznie dostępnych, opartych na AI narzędzi do testów penetracyjnych do rozpoznania celu, wykorzystania luk i kampanii nastawionej na zysk. Według agencji te narzędzia skróciły czas od pierwszego dostępu do szkód z kilku dni do kilku godzin.

Ofiary, które usunęły tylko część słabości, były atakowane ponownie w ciągu kilku dni i na większą skalę. Dlatego CERT-In zaleca traktowanie każdego środowiska z ujawnionymi danymi logowania jako przejętego, dopóki analiza powłamaniowa nie potwierdzi, że jest czyste.

Zalecenia dla firm i laboratoriów AI

Rekomendacje CERT-In przydadzą się także polskim zespołom IT, bo opisane słabości nie są specyficzne dla Indii. Firmy powinny przejrzeć repozytoria wraz z historią commitów, konfiguracje i zasoby chmurowe pod kątem ujawnionych sekretów, wymienić znalezione klucze, wyłączyć zbędne API, ograniczyć uprawnienia i wymagać MFA. Agencja zaleca też przechowywanie logów przez co najmniej 180 dni i nadawanie własnym agentom AI osobnych, krótkotrwałych tożsamości z ograniczonym dostępem do sieci.

Od twórców modeli i zespołów ewaluacyjnych CERT-In oczekuje izolacji testów. Ruch wychodzący ma być domyślnie zablokowany na poziomie sieci, a nie tylko instrukcją w poleceniu dla modelu. Testy mają korzystać z syntetycznych celów i danych, a przebieg powinien zatrzymywać się automatycznie, gdy agent dotrze do nieautoryzowanego systemu albo znajdzie cudze dane logowania.

Znaczenie dla Europy i Polski

W naszej ocenie indyjski przypadek wzmacnia argument, że zgłaszanie incydentów przez laboratoria AI musi trafiać bezpośrednio do krajowych zespołów reagowania. Australijskie władze dowiedziały się o wejściu agentów OpenAI do systemu Medicare z kilkumiesięcznym opóźnieniem, co stało się tematem przesłuchania w parlamencie. W UE dostawcy modeli ogólnego przeznaczenia z ryzykiem systemowym mają według AI Act obowiązek zgłaszania poważnych incydentów do Urzędu ds. AI.

Dla polskich firm wniosek jest praktyczny: agent testowany przez zagraniczne laboratorium może trafić na ten sam klucz w publicznym repozytorium, który wcześniej znaleźliby przestępcy. Skanowanie sekretów, takie jak blokowanie kluczy przy wysyłaniu kodu w GitHubie, i regularny przegląd uprawnień w chmurze ograniczają oba ryzyka jednocześnie. Incydenty w Polsce zgłasza się do CERT Polska.