あるAIエージェントが別のAIエージェントにハッカーコマンドの実行を説得 — Google SDKで危険な攻撃スキーム発見

GoogleのPython開発キットのリポジトリにおいて、Pillar Securityの研究者Dan Lisichkin氏は、悪意のあるリクエストを低権限の公開AIエージェントに送信し、それを介して高権限のAIエージェントを操作することで、サプライチェーンレベルでソフトウェアを侵害する可能性がある脆弱性を発見しました。この攻撃手法は、AIエージェント間の相互作用メカニズムを悪用します。Googleのリポジトリには、2つのエージェントがあります。1つ目は公開エージェントで、ユーザーの問い合わせや新しいマージリクエストを分析します。2つ目はプロジェクトメンテナーのみがアクセスでき、より広範な権限を持ちます。1つ目は2つ目にタスクを委任でき、この転送は信頼されたものと見なされます。攻撃を実行するために、攻撃者はまず無害なコードフラグメントを提出し、信頼を獲得してAIエージェントレベルで特定のプロセスを実行する能力を得ます。第2段階では、公開エージェント用の説明に悪意のある指示を埋め込んだ別のマージリクエストを提出します。公開エージェントはそれを自身のタスクの一部として解釈し、特権のあるAIエージェントを呼び出し、信頼されたメッセージを渡します。その後、2つ目のエージェントは、通常のユーザーが直接実行できないアクションを実行する能力を得ます。これは従来の意味でのソフトウェア脆弱性ではなく、エージェント間の信頼チェーンの問題です。GitHub Actionsのメカニズムは公開されており、誰でもそれらの相互作用を分析できます。しかし、Googleは研究者に報奨金を支払うことを拒否し、'pull-requests: write'権限を持つトークンがあっても、コードは自動的に組み込まれるのではなく、人間のメンテナーの意思によって組み込まれると主張しました。同社はワークフローの保護を強化し、研究者を修正の共著者としてリストしました。研究者は、Googleは脆弱性の実装の1つを修正しただけで、根本的な問題は解決していないと主張しています。ワークフローを強化したり、AIエージェントを相互に隔離したりするだけでは不十分です。エージェントは識別され、人間のアクセス制御と同様に固定された権限セットを持つ必要があります。彼は、AIエージェントをワークフロー内の潜在的な攻撃者として脅威モデルに含めることを求めています。