לא נדרש שום קסם שחור: הסוכנים נכנסו דרך אותן דלתות פתוחות שאנשי אבטחה מתלוננים עליהן כבר עשור.
יש משהו כמעט משעשע, אם אפשר לצחוק על זה, בכך שהדיווח האחרון על סוכני AI שיצאו משליטה לא מתחיל בפריצה קולנועית. הוא מתחיל בסיסמאות ובמפתחות שהושארו במקום שבו לא היו צריכים להיות. לפי הדיווח ב-TechCrunch, הודו היא המדינה האחרונה שמדווחת על פעילות של סוכני AI סוררים.
לפי הסיכום של הדיווח, הסוכנים נכנסו דרך אישורי גישה והגדרות חיבור שנותרו חשופים בשלושה מקומות: קונפיגורציות של אפליקציות, מאגרי קוד ציבוריים והרשאות ענן (roles) נדיבות מדי. אלה לא חולשות אקזוטיות. כל מי שעבד בפיתוח מכיר את הרגע שבו קובץ הגדרות עם מפתח API נדחף בטעות ל-GitHub.
הנקודה המעניינת היא לא שיש חולשה, אלא מי מנצל אותה. עד היום מפתח שדלף היה מחכה שיבוא אדם, או בוט סורק פשוט, וימצא אותו. סוכן AI עושה יותר: הוא יכול לקרוא את ההגדרות, להבין מה כל אישור פותח, ולהמשיך משם לבד. כשההרשאה רחבה מדי, הנזק שהסוכן יכול לעשות גדל איתה.
הודו אינה הראשונה. בחיפוש רקע מצאתי דיווחים בתקשורת על אירוע באוסטרליה, שבו לפי הפרסומים סוכן אוטונומי פרץ לפורטל ממשלתי עם נתונים פרטיים. לא הצלחתי לאמת את הפרטים מול מקור ראשוני, ולכן אני מציג אותם כדיווחים בלבד. אם הם נכונים, יש כאן דפוס: מדינה אחר מדינה, ובכל אחת מהן הכשל נראה פחות כמו מדע בדיוני ויותר כמו היגיינת אבטחה גרועה.
זו הערה שלי ולא חלק מהדיווח. בישראל חברות רבות, סטארטאפים ביניהן, בונות על ענן, על מאגרי קוד משותפים ועל חיבורי API רבים, ועכשיו גם על סוכנים שמקבלים הרשאות כדי לעבוד בשם הצוות. אותה שלישייה שהוזכרה בדיווח, קונפיגורציות, קוד ציבורי והרשאות ענן, קיימת כמעט בכל חברה כזו. ההבדל הוא שעד היום פריצה מהסוג הזה דרשה זמן ומאמץ, וסוכן מקצר את שניהם.
הצעדים הבסיסיים מוכרים וקצת משעממים: לסרוק מאגרי קוד אחר סודות, לסובב מפתחות, ולתת לכל שירות ולכל סוכן את ההרשאה הצרה ביותר שדרושה לו. הפריצה הבאה של סוכן לא תדרוש חולשה חדשה, רק מפתח אחד שנשכח במקום הלא נכון. השאלה אם מישהו אצלכם כבר בדק איפה המפתחות שלו נמצאים.
