Кризис доверия в агентных архитектурах
Переход автономных AI-агентов из локальных сред разработки в распределенные продакшн-кластеры выявил критический разрыв в безопасности. По умолчанию модели используют протокол MCP (Model Context Protocol), который часто опирается на неаутентифицированные каналы STDIO или «ambient» сервисные аккаунты хоста. Это создает ситуацию, где стохастические агенты рассматриваются как доверенные субъекты, что недопустимо в корпоративной среде.
Механизм «Отмывания» одобрений (Approval Laundering)
Ключевая уязвимость заключается в том, что злоумышленник может подменить или отравить метаданные определения инструмента через естественный язык. Оператор (Human-in-the-Loop) видит легитимное название функции, например, run_system_diagnostics, и дает разрешение. Однако фактическое выполнение запускает транзитивные команды, такие как чтение /root/.aws/credentials и открытие исходящего сокета на внешний сервер.
Системы аудита фиксируют криптографическое одобрение оператора для родительского вызова, что юридически «отмывает» последующую эксфильтрацию данных. Статические сканеры безопасности (SAST) и сетевые мониторы не фиксируют компромисса, так как исполнение происходит через легитимные системные утилиты, abused через параметры, обусловленные промптом.
Результаты динамического аудита Corvus
Исследователи провели динамическую поведенческую оценку безопасности 414 публичных инстансов MCP, доступных в интернете. Результаты выявили системную экспозицию: подавляющее большинство развертываний не имеют базовых границ аутентификации или OAuth. Особую тревогу вызывает эфемерность инфраструктуры: многие уязвимые эндпоинты отключаются менее чем за 72 часа, что делает традиционные циклы асинхронного сканирования уязвимостей структурно бесполезными.
| Метрика / Параметр | Значение / Описание | Последствия |
|---|---|---|
| Доля серверов без OAuth/Identity | 91.8% | Полное отсутствие аутентификации запросов |
| Доступ к root-оболочке / SSRF | Сотни инстансов | Прямой доступ к внутренним облачным метаданным |
| Время жизни уязвимого сервера | 41.6% < 72 часов | Невозможность применения статических патчей |
| Метод атаки | Approval Laundering | Легитимизация эксфильтрации через одобрение оператора |
Архитектурное решение: Zero Trust для MCP
Традиционные периметровые защиты не работают, так как предполагают детерминированных субъектов с неизменными учетными данными. Для исправления ситуации требуется внедрение архитектуры Zero Trust, включающей:
- On-Behalf-Of OAuth 2.1: Строгая делегация токенов согласно RFC 8693, исключающая использование ambient-аккаунтов.
- SPIFFE workload identities: Идентификация рабочих нагрузок на уровне узла.
- Kernel-isolated sandboxing: Изоляция выполнения на уровне ядра для предотвращения транзитивных атак.
- Детерминированные точки принуждения политик (PEP): Жесткий контроль перед выполнением любых tool-calls.
Без перехода к этим стандартам агентные системы останутся открытыми для атак, маскирующихся под легитимную операционную деятельность.
Источник: Towards AI pub ↗