Zombie Agent – nowy typ ataku na systemy AI

Luty przyniósł kolejną aktualizację wyników indeksów CASI (Comprehensive AI Security Index) i ARS (Agentic Resistance Score), którymi F5 Labs mierzy zarówno możliwości modeli AI, jak i ich odporność na ataki. Wnioski są jednoznaczne: wysoki wynik w jednej kategorii nie przekłada się automatycznie na dobry wynik w drugiej.

Przykładem tej rozbieżności jest model GLM-4.7 firmy Z.ai. W kategorii możliwości uplasował się tuż za Claude Opus – ale w zakresie bezpieczeństwa uzyskał zaledwie 43,8 punktów w indeksie CASI. W lutowej edycji badań pojawił się też Gemini Flash 3 z wynikiem CASI na poziomie 52 punktów, a MinMax M2 po dodatkowych testach awansował do pierwszej dziesiątki zestawienia.

Kiedy klasyczna podatność zamienia się w coś gorszego

Szczególnie istotne staje się bezpieczeństwo agentów AI – systemów, które nie tylko analizują dane, ale też samodzielnie wykonują zadania. W takich środowiskach nawet znana klasa podatności może mieć poważniejsze skutki niż w tradycyjnych systemach.

Przykład pochodzi ze stycznia: w platformie AI Agent firmy ServiceNow ujawniono podatność BodySnatcher. Błąd w mechanizmie uwierzytelniania pozwalał podszyć się pod dowolnego użytkownika – w tym administratora – przy użyciu samego adresu e-mail.

„W tradycyjnych systemach taka podatność mogłaby oznaczać dostęp do części danych" – wyjaśnia Marcin Sawczuk, Solution Engineer w F5. „W systemach opartych na agentach AI kompromitacja może przekształcić się w automatyczny mechanizm wykonywania poleceń i pozwalać na przykład na tworzenie kont z dostępem administracyjnym, modyfikowanie ustawień bezpieczeństwa czy eksport danych."

Zombie Agent – atak, który czeka

Jednym z bardziej złożonych scenariuszy opisanych przez F5 Labs jest tzw. atak Zombie Agent. Wykorzystuje on długoterminową pamięć agentów AI: pojedyncza interakcja – złośliwy e-mail lub dokument – może prowadzić do zapisania ukrytych instrukcji w pamięci systemu. Od tego momentu agent wykonuje je przy każdym kolejnym kontakcie z użytkownikiem, stopniowo zbierając i przesyłając wrażliwe dane. Całość dzieje się wewnątrz infrastruktury chmurowej dostawcy AI, co sprawia, że tradycyjne narzędzia monitoringu mogą tego nie zauważyć.

Ollama bez zabezpieczeń, 175 tysięcy serwerów

Analiza zwraca uwagę na rosnącą skalę tzw. shadow AI infrastructure – niezarządzanych instalacji systemów AI, które działają poza kontrolą organizacji. SentinelOne i Censys zidentyfikowały 175 000 publicznie dostępnych serwerów Ollama w ponad 130 krajach. W wielu przypadkach były wystawione na internet bez uwierzytelniania, kontroli dostępu ani monitoringu. To otwiera drogę do kradzieży modeli, ataków typu prompt injection oraz przejęcia zasobów obliczeniowych do kampanii spamowych czy dezinformacyjnych.

Manipulacja przez kontekst

F5 Labs opisuje też technikę nazwaną Invasive Context Engineering. Polega ona na wykorzystaniu skłonności modeli językowych do przypisywania większej wagi najnowszym elementom rozmowy. Atakujący prowadzi długą, wieloetapową wymianę, w której stopniowo wprowadza nowe zasady i sprzeczne informacje – aż pierwotne zabezpieczenia modelu przestają działać.

„W praktyce przypomina to socjotechnikę stosowaną wobec ludzi – zamiast jednego polecenia mamy proces stopniowego przekonywania systemu" – mówi Sawczuk. Badacze F5 Labs ustalili ponadto, że podobny efekt można osiągnąć w jednym zapytaniu, symulując historię rozmowy sugerującą modelowi, że wcześniej już zgodził się na określone działania.

Zdaniem ekspertów F5 organizacje coraz częściej polegają na agentach AI w analizie danych, automatyzacji procesów i podejmowaniu decyzji, mając jednocześnie ograniczoną wiedzę o tym, jak systemy te przetwarzają dane zewnętrzne.

„Luka pomiędzy rosnącymi możliwościami AI a poziomem kontroli i zabezpieczeń zaczyna być coraz częściej wykorzystywana przez cyberprzestępców" – podsumowuje Sawczuk.