Istoricul de Conversații al Agentului Tău Ops este o Suprafață de Atac: Prompt Injection a Devenit o Problemă de Infrastructură

Preocuparea principală de securitate ridicată este că agenții AI, în special cei cărora li s-au acordat credențiale cloud pentru a gestiona infrastructura, sunt susceptibili la atacuri de prompt injection care devin efectiv execuție de cod la distanță (RCE) pe sistemele subiacente. Spre deosebire de prompt injection-ul tradițional al chatbot-urilor, care ar putea duce la scurgeri jenante sau răspunsuri incorecte, prompt injection-ul unui agent de operațiuni poate declanșa acțiuni distructive precum terminarea instanțelor, exfiltrarea datelor sensibile sau deschiderea grupurilor de securitate. Acest lucru se datorează faptului că permisiunile agentului, adesea gestionate prin roluri IAM, sunt legitime pentru sarcinile sale operaționale, iar LLM-ul în sine nu poate distinge între instrucțiunile autentice ale operatorului și textul malițios încorporat în fereastra sa de context.

Suprafața de atac pentru acești agenți de operațiuni este semnificativ mai mare și mai insidioasă decât se înțelege în mod obișnuit. Dincolo de interfața directă de chat, prompt injection poate fi realizat prin diverse surse de date cu care agentul interacționează în timpul operațiunilor sale. Aceasta include tag-uri și nume de resurse, linii de log generate de aplicații, metadate ale resurselor cloud, mesaje de commit, descrieri de pull request, corpuri de tichete, mesaje de eroare de la API-uri terțe, etichete de imagini container și adnotări Kubernetes. Mai mult, apariția memoriei persistente în agenți înseamnă că o instrucțiune otrăvită poate rămâne eficientă pe parcursul mai multor sesiuni, creând un vector de atac persistent. Modelul de amenințare trebuie să treacă de la a considera doar intrarea directă de chat la recunoașterea oricărui text pe care agentul îl ingerează ca fiind potențial adversarial.

Apărările existente, cum ar fi sanitizarea intrărilor, IAM cu privilegii minime și aprobarea umană, sunt insuficiente în sine. Ambiguitatea inerentă a limbajului natural face extrem de dificilă sanitizarea fiabilă pentru conținutul instrucțiunilor, iar permisiunile legitime ale unui agent sunt exact ceea ce îl face periculos. Atenuarea eficientă necesită o strategie de apărare în profunzime, inclusiv execuția în două etape (propunere cu credențiale doar pentru citire, execuție cu credențiale de scriere), politici la nivel de acțiune cu bugete de rază de explozie și verificarea independentă a stării pentru a detecta rapid deviațiile. Aceste abordări stratificate sunt cruciale pentru reducerea razei de explozie a atacurilor inevitabile de prompt injection.