एक एआई एजेंट ने दूसरे को हैकर कमांड निष्पादित करने के लिए राजी किया — Google SDK में खतरनाक हमला योजना मिली

Google के Python डेवलपमेंट किट के रिपॉजिटरी में, Pillar Security के शोधकर्ता Dan Lisichkin ने एक ऐसी कमजोरी खोजी है जो एक काल्पनिक हमलावर को दुर्भावनापूर्ण अनुरोधों के माध्यम से कम विशेषाधिकार वाले सार्वजनिक AI एजेंट को हेरफेर करके उच्च-विशेषाधिकार वाले AI एजेंट से समझौता करने की अनुमति देती है, जिससे सॉफ्टवेयर सप्लाई चेन स्तर पर समझौता हो सकता है। यह हमला AI एजेंटों के बीच परस्पर क्रिया तंत्र का दुरुपयोग करता है। Google की रिपॉजिटरी में दो एजेंट हैं: पहला, सार्वजनिक, उपयोगकर्ता पूछताछ और नए मर्ज अनुरोधों का विश्लेषण करता है; दूसरा, केवल प्रोजेक्ट मेंटेनर्स के लिए सुलभ, व्यापक अनुमतियाँ रखता है। पहला दूसरे को कार्य सौंप सकता है, और यह स्थानांतरण विश्वसनीय माना जाता है। हमले को अंजाम देने के लिए, हमलावर पहले एक हानिरहित कोड खंड प्रस्तुत करता है ताकि विश्वास हासिल कर सके और AI एजेंट स्तर पर कुछ प्रक्रियाएँ चलाने की क्षमता प्राप्त कर सके। दूसरे चरण में, वे सार्वजनिक एजेंट के लिए विवरण में दुर्भावनापूर्ण निर्देशों के साथ एक और मर्ज अनुरोध प्रस्तुत करते हैं। सार्वजनिक एजेंट उन्हें अपने कार्य का हिस्सा मानता है और विशेषाधिकार प्राप्त AI एजेंट को बुलाता है, उसे एक विश्वसनीय संदेश भेजता है। फिर दूसरा एजेंट ऐसे कार्य करने में सक्षम हो जाता है जो एक सामान्य उपयोगकर्ता सीधे कभी नहीं चला सकता। यह पारंपरिक अर्थों में एक सॉफ्टवेयर कमजोरी नहीं है, बल्कि एजेंटों के बीच विश्वास श्रृंखला की समस्या है: GitHub Actions तंत्र सार्वजनिक हैं, और कोई भी विश्लेषण कर सकता है कि वे कैसे परस्पर क्रिया करते हैं। हालाँकि, Google ने शोधकर्ता को इनाम देने से इनकार कर दिया, यह तर्क देते हुए कि 'pull-requests: write' अनुमतियों वाले टोकन के साथ भी, कोड स्वचालित रूप से शामिल नहीं होता है, बल्कि एक मानव मेंटेनर की इच्छा से होता है। कंपनी ने वर्कफ़्लो सुरक्षा को मजबूत किया और शोधकर्ता को फिक्स के सह-लेखक के रूप में सूचीबद्ध किया। शोधकर्ता जोर देकर कहता है कि Google ने कमजोरी के केवल एक कार्यान्वयन को बंद किया है, अंतर्निहित समस्या को नहीं। वर्कफ़्लो को कठोर बनाना या AI एजेंटों को एक-दूसरे से अलग करना पर्याप्त नहीं है: एजेंटों की पहचान होनी चाहिए और उनके पास निश्चित अनुमतियों के सेट होने चाहिए, जैसे मनुष्यों के लिए पहुँच नियंत्रण। वह AI एजेंटों को खतरे के मॉडल में शामिल करने पर जोर देते हैं, क्योंकि वे वर्कफ़्लो में संभावित हमलावर हैं।