Bezpieczeństwo
Agenci zainstalowali w firmach kod z paczek, których nikt nie zarejestrował
Alon Hertz zarejestrował kilka niezajętych nazw paczek wypisanych w plikach llms.txt, a cztery minuty później odezwała się do niego maszyna z firmy wartej setki miliardów dolarów. Jego zespół przeskanował 6214 domen i znalazł ponad 200 nazw bez pokrycia w npm i PyPI, w tym komendę z dokumentacji Clerka, pod którą ktoś podłożył działające złośliwe oprogramowanie. Nikt nie planował tu ataku: wpisy zestarzały się same, a jedyne miejsce, w którym dało się je wyłapać, znikło wtedy, gdy deweloperzy włączyli agentom automatyczne zatwierdzanie komend.
Napisała AI, żeby oszczędzić Ci czytania setek źródeł. · Jak to działa
Bezpieczeństwo · 5 min ·
Alon Hertz, analityk bezpieczeństwa i były żołnierz izraelskiej jednostki wywiadowczej 8200, zarejestrował kilka nazw paczek, których nikt wcześniej nie zajął, i podpiął pod nie kod robiący dokładnie jedno: po instalacji odzywał się do serwera badaczy. Cztery minuty później odezwała się maszyna stojąca w firmie wartej setki miliardów dolarów, a drugi sygnał z listy Fortune 500 przyszedł w ciągu godziny. Potem doszło kilkadziesiąt kolejnych, ze startupów i z korporacji, które, jak to ujął Hertz, mają zespoły bezpieczeństwa liczniejsze niż cała jego lista kontaktów zawodowych. Nie było phishingu ani włamania.
Hertz i jego zespół wykorzystali plik, który te firmy same u siebie wystawiły. Nazywa się llms.txt i działa jak robots.txt dla modeli: zamiast kazać agentowi przekopywać się przez całą stronę, kładziesz mu w katalogu głównym streszczenie produktu, adresy API i komendy, którymi instaluje się twoją bibliotekę. Agent poproszony o podpięcie się do cudzego produktu zaczyna właśnie od tego pliku, bo dokładnie po to tam jest.
Zespół Hertza zebrał pliki llms.txt z 6214 działających domen dostawców dla wojska, firm z listy Fortune 500 i wielkich firm technologicznych, a potem sprawdził po kolei, czy nazwy wypisane w tych plikach w ogóle istnieją. Ponad 200 nie miało pokrycia: paczki i adresy rozsiane po npm, PyPI i kilku mniejszych rejestrach, a skoro nikt ich nigdy nie zajął, każdą dało się wziąć na własność, w większości przypadków za darmo.
Czytaj dalej za darmo
Podaj e-mail, aby odblokować pełną treść i cały serwis. Zapiszemy Cię do newslettera.
