Badacze cyberbezpieczeństwa ostrzegają, że nowa klasa złośliwego oprogramowania może wkrótce przejść z laboratoriów badawczych do rzeczywistych ataków: adaptacyjne robaki AI.
Tradycyjne robaki komputerowe są już niebezpieczne, ponieważ potrafią automatycznie rozprzestrzeniać się z jednego systemu na drugi. Robaki oparte na AI mogłyby jednak być znacznie bardziej elastyczne. Zamiast polegać na jednym stałym exploicie, mogłyby analizować każde środowisko, szukać podatności, identyfikować ujawnione sekrety, pisać lub dostosowywać kod exploitów i rozprzestrzeniać się dalej w sieciach, środowiskach chmurowych, systemach deweloperskich i łańcuchach dostaw oprogramowania.
Badacze określają je mianem „wirusów ze skrzydłami i mózgiem”.
Obawy nie są teoretyczne. Badacze z uczelni i branży już budują w kontrolowanych środowiskach koncepcyjne robaki AI (proof-of-concept), aby zrozumieć, jak mogą się zachowywać i jak obrońcy mogą je powstrzymać, zanim dojdzie do prawdziwej epidemii.
Czym jest robak AI?
Tradycyjny robak rozprzestrzenia się automatycznie, wykorzystując znaną lukę lub słabość. Klasyczne przykłady to SQL Slammer, MSBlast, NotPetya i inne szybko rozprzestrzeniające się incydenty złośliwego oprogramowania, które spowodowały powszechne zakłócenia.
Robak AI rozwija tę koncepcję dalej.
Zamiast być zakodowanym na stałe pod wykorzystanie jednego konkretnego błędu, adaptacyjny robak AI mógłby używać modelu AI do rozumowania o swoim środowisku. Mógłby szukać słabości, wybierać najlepszą drogę dalszego działania, generować skrypty, kraść sekrety i modyfikować swoje zachowanie w miarę przechodzenia z systemu do systemu.
W praktyce robak AI mógłby szukać:
- luk zero-day
- znanych, ale niezałatanych błędów w oprogramowaniu
- ujawnionych kluczy API
- poświadczeń chmurowych
- tożsamości z nadmiernymi uprawnieniami
- słabych usług wewnętrznych
- podatnych narzędzi deweloperskich
- niezabezpieczonych potoków CI/CD
- błędnie skonfigurowanych integracji SaaS
- sekretów przechowywanych w repozytoriach lub plikach lokalnych
Czyni to to zagrożenie bardziej dynamicznym niż tradycyjne złośliwe oprogramowanie.
Dlaczego badacze budują koncepcyjne robaki AI
Badacze z University of Toronto, Vector Institute, ServiceNow i University of Cambridge stworzyli koncepcyjnego, agentowego robaka AI, który dostosowuje się w trakcie rozprzestrzeniania.
Celem są badania obronne.
Budując kontrolowane przykłady działania adaptacyjnego złośliwego oprogramowania AI, badacze mogą lepiej zrozumieć, jakie sygnały monitorować, jakie mechanizmy kontroli spowalniają propagację i gdzie sieci korporacyjne są najbardziej narażone.
Badacze z BeyondTrust również testują możliwości robaków AI z podobnych powodów. Tego typu badania bywają porównywane do badań typu „gain-of-function” w biologii: ryzykownych, ale mających pomóc przygotować się na przyszłą epidemię, zanim do niej dojdzie.
Kluczowy wniosek jest niepokojący: bariera wejścia w budowanie złośliwego oprogramowania opartego na AI maleje.
Małe, swobodnie dostępne modele AI mogą już wystarczać do podstawowego rozumowania, wykrywania podatności i eksploatacji dostosowanej do środowiska.
Czym robaki AI różnią się od tradycyjnych robaków
Tradycyjne robaki często udaje się powstrzymać, łatając podatność, którą wykorzystują.
Jeśli robak rozprzestrzenia się przez jedną konkretną lukę, obrońcy mogą ją załatać, zablokować wzorzec ruchu lub wdrożyć sygnatury.
Adaptacyjne robaki AI są inne. Mogą nie zależeć od jednego błędu. Zamiast tego mogą używać pętli rozumowania:
- Zbadaj bieżący system.
- Wyszukaj poświadczenia, sekrety i osiągalne hosty.
- Zidentyfikuj podatności lub błędne konfiguracje.
- Wygeneruj lub dostosuj logikę eksploatacji.
- Przejdź do innego systemu.
- Powtórz proces w nowym środowisku.
Oznacza to, że załatanie jednej podatności może nie powstrzymać robaka, jeśli znajdzie on inną drogę.
Robak nie potrzebuje, aby wszystkie systemy były podatne w ten sam sposób. Potrzebuje jedynie wystarczającej liczby słabych ogniw, by móc się przemieszczać dalej.
Pierwszymi celami mogą być deweloperzy i inżynierowie
Badacze spodziewają się, że wczesne ataki robaków AI skupią się na deweloperach i inżynierach.
Maszyny deweloperów często mają dostęp do:
- repozytoriów kodu źródłowego
- kont w chmurze
- rejestrów pakietów
- systemów budowania
- potoków wdrożeniowych
- kluczy SSH
- tokenów API
- poświadczeń npm, PyPI lub GitHub
- narzędzi do kodowania z AI
- środowisk produkcyjnych lub stagingowych
Przejęta stacja robocza dewelopera może stać się potężnym punktem startowym. Atakujący mogą być w stanie kraść sekrety, zatruwać pakiety, przejmować repozytoria lub przemieszczać się do infrastruktury chmurowej.
Niedawne ataki, takie jak Shai-Hulud i GlassWorm, już pokazują, jak złośliwe oprogramowanie w łańcuchu dostaw oprogramowania może kraść poświadczenia deweloperów i rozprzestrzeniać się przez pakiety i rozszerzenia.
Robaki AI mogłyby uczynić ten proces bardziej autonomicznym i adaptacyjnym.
Ryzyko dla łańcucha dostaw oprogramowania
Łańcuchy dostaw oprogramowania są szczególnie podatne na adaptacyjne złośliwe oprogramowanie, ponieważ są silnie połączone.
Deweloper może mieć dostęp do GitHub, npm, narzędzi CI/CD, środowisk chmurowych, dokumentacji wewnętrznej i asystentów AI. Potok budowania może zawierać tokeny umożliwiające wdrożenia, publikowanie pakietów lub zmiany w infrastrukturze.
Jeśli robak AI dotrze do jednego z takich środowisk, mógłby potencjalnie:
- kraść tokeny repozytoriów
- modyfikować pakiety
- wstrzykiwać złośliwe przepływy pracy
- publikować zatrute wydania
- przeszukiwać kod w poszukiwaniu sekretów
- przejmować runnery CI/CD
- nadużywać uprawnień w chmurze
- rozprzestrzeniać się przez zależności deweloperskie
- przenosić się do środowisk klientów
Zasięg szkód może być znacznie większy niż jeden zainfekowany laptop.
Pojedynczy przejęty deweloper lub opiekun pakietu może wpłynąć na tysiące użytkowników końcowych.
„Wirusy ze skrzydłami i mózgiem”
Eksperci ds. bezpieczeństwa często opisują tradycyjne robaki jako „wirusy ze skrzydłami”, ponieważ potrafią przelatywać z systemu do systemu bez pomocy człowieka.
Robaki AI dodają zdolność rozumowania.
Mogą decydować, dokąd iść dalej, jakiej słabości użyć, jaki kod wygenerować i jak dostosować się do nowego hosta.
Nie oznacza to, że są magiczne ani niepowstrzymane. Oznacza to jednak, że obrońcy mogą mierzyć się ze złośliwym oprogramowaniem, które zachowuje się mniej jak stały skrypt, a bardziej jak autonomiczny operator.
Zmienia to wyzwanie obronne.
Zespoły bezpieczeństwa będą musiały wykrywać intencje, zachowania i wzorce propagacji, a nie tylko znane wskaźniki.
Bariery techniczne nadal istnieją
Dla atakujących nadal istnieją wyzwania.
Uruchamianie modeli AI lokalnie może być głośne. Niektóre modele wymagają znacznych zasobów CPU, pamięci lub GPU. Maszyna, na której nagle uruchamia się środowisko ML lub która zużywa duże ilości VRAM, może się wyróżniać w monitorowanych środowiskach.
Atakujący niekoniecznie jednak potrzebują dużych modeli czołowych na każdym zainfekowanym hoście. Mogą używać małych modeli lokalnych, zdalnej inferencji, architektur hybrydowych lub gotowych pętli rozumowania.
Mogą też celować w systemy, w których narzędzia AI są już powszechne, takie jak stacje robocze deweloperów, środowiska inżynierii chmurowej lub systemy badawcze AI. W takich miejscach nietypowa aktywność związana z AI może łatwiej się wtopić.
Samo łatanie nie wystarczy
Łatanie pozostaje niezbędne, ale adaptacyjne robaki AI stanowią wyzwanie dla tradycyjnego zarządzania podatnościami.
Większość organizacji już teraz zmaga się z zaległościami w łataniu, starszymi systemami, shadow IT, wystawionymi usługami i długiem technicznym. Jednocześnie firmy tworzą więcej oprogramowania niż kiedykolwiek wcześniej.
Robak AI mógłby wykorzystać tę rzeczywistość, przemieszczając się przez dowolną dostępną słabość:
- niezałatana usługa
- wyciekły token
- rola z nadmiernymi uprawnieniami
- wystawione API
- niezabezpieczony sekret CI/CD
- błędnie skonfigurowane uprawnienie w chmurze
- podatne narzędzie wewnętrzne
Cel obronny musi być szerszy niż łatanie pojedynczych CVE. Organizacje muszą zmniejszać ogólną liczbę ścieżek, z których może skorzystać atakujący.
Zasada najmniejszych uprawnień nabiera krytycznego znaczenia
Badacze konsekwentnie wskazują zasadę najmniejszych uprawnień jako jedną z najważniejszych form obrony.
Robaki AI są najbardziej niebezpieczne, gdy znajdą tożsamości o szerokim dostępie.
Użytkownicy z nadmiernymi uprawnieniami, współdzielone konta administratorów, długo ważne tokeny i poświadczenia deweloperów z dostępem do produkcji mogą dramatycznie zwiększyć zasięg szkód.
Organizacje powinny przeanalizować:
- dostęp deweloperów do produkcji
- role IAM w chmurze
- konta usługowe CI/CD
- tokeny GitHub i rejestrów pakietów
- użycie kluczy SSH
- uprawnienia administracyjne
- przyznane uprawnienia OAuth w SaaS
- sekrety przechowywane na urządzeniach końcowych
- lokalne prawa administratora
- dostęp między środowiskami
Im mniej uprawnień ma przejęta tożsamość, tym mniej może zrobić robak.
Segmentacja może spowolnić propagację
Badania koncepcyjne pokazały również, że płaskie sieci są szczególnie podatne.
Jeśli każda maszyna może komunikować się z każdą inną, robak ma więcej ścieżek rozprzestrzeniania. Jeśli systemy są segmentowane, ruch robaka jest ograniczony.
Środki obronne obejmują:
- mikrosegmentację sieci
- mechanizmy kontroli dostępu zgodne z zasadą zero trust
- ciągłe uwierzytelnianie
- ścisłe polityki dostępu między usługami
- reguły zapory między strefami wewnętrznymi
- ograniczony dostęp z maszyn deweloperskich do produkcji
- izolowane runnery CI/CD
- oddzielne stacje robocze administratorów
- ograniczone ścieżki sieciowe w chmurze
Nawet podstawowa segmentacja może zmniejszyć szybkość i zasięg propagacji.
Wykrywanie i automatyczna remediacja
Robaki AI mogą działać szybciej niż zespoły reagowania.
Oznacza to, że organizacje potrzebują lepszej telemetrii i szybszej automatycznej reakcji.
Przydatne sygnały obejmują:
- nietypową aktywność polegającą na wyszukiwaniu sekretów
- nieoczekiwane skanowanie z maszyn deweloperskich
- nagły dostęp do wielu repozytoriów
- nietypowe wywołania API chmury
- nowe procesy generujące skrypty lub kod exploitów
- nietypowe uruchamianie modeli AI
- nieoczekiwane publikowanie pakietów
- nietypowe zmiany w przepływach pracy CI/CD
- szybkie próby uwierzytelniania w wielu systemach
- dostęp z tożsamości spoza normalnych wzorców
- zachowania propagacji między urządzeniami końcowymi
Automatyczna remediacja może stać się konieczna w przypadku sygnałów o wysokim stopniu pewności, takich jak wyłączenie tokenu, izolacja urządzenia końcowego, unieważnienie sesji, zablokowanie podejrzanego przepływu pracy lub poddanie obciążenia kwarantannie.
Jak organizacje powinny się przygotować
Organizacje nie powinny czekać na pierwszą poważną epidemię robaka AI.
Zalecane działania obejmują:
- ograniczenie liczby kont z nadmiernymi uprawnieniami
- usunięcie zbędnych lokalnych praw administratora
- rotację długo ważnych sekretów
- skanowanie repozytoriów i urządzeń końcowych pod kątem ujawnionych poświadczeń
- ograniczenie dostępu deweloperów do produkcji
- utwardzanie potoków CI/CD
- izolowanie środowisk budowania
- wymuszanie MFA i uwierzytelniania odpornego na phishing
- monitorowanie zachowania API chmury
- segmentowanie sieci wewnętrznych
- szybkie łatanie systemów dostępnych z internetu
- ograniczanie ścieżek ruchu bocznego
- monitorowanie użycia narzędzi AI w wrażliwych środowiskach
- wdrożenie telemetrii na urządzeniach końcowych i w chmurze
- przygotowanie playbooków szybkiego unieważniania tokenów i izolowania urządzeń końcowych
Celem jest ograniczenie zarówno okazji do infekcji, jak i ścieżek propagacji.
Dlaczego podstawy nadal mają znaczenie
Mimo futurystycznego charakteru robaków AI wiele z najlepszych form obrony jest dobrze znanych.
Zero trust, najmniejsze uprawnienia, segmentacja, łatanie, zarządzanie sekretami, monitorowanie i silne mechanizmy kontroli tożsamości — wszystko to pozostaje skuteczne.
Różnica tkwi w pilności i skali.
Adaptacyjny robak AI może wykorzystać wiele słabości szybciej, niż obrońcy zdołają zareagować ręcznie. Organizacje, które mają już solidne podstawy, będą bardziej odporne. Te z płaskimi sieciami, nadmiernymi uprawnieniami, słabą telemetrią i rozproszonymi sekretami będą narażone na znacznie wyższe ryzyko.
Podsumowanie
Robaki AI nie są jeszcze powszechnie obserwowane, ale badacze uważają, że pojawią się wkrótce.
Połączenie autonomicznego rozumowania, wykrywania podatności, polowania na sekrety i samorozprzestrzeniania się może stworzyć nową generację złośliwego oprogramowania zdolnego do rozprzestrzeniania się w urządzeniach końcowych, środowiskach chmurowych, systemach deweloperskich i łańcuchach dostaw oprogramowania.
Zagrożenie jest poważne, ponieważ współczesne organizacje są głęboko powiązane. Deweloperzy, potoki CI/CD, tożsamości chmurowe, narzędzia SaaS i systemy produkcyjne często współdzielą relacje zaufania, które atakujący mogą nadużyć.
Najlepszy czas na przygotowania jest przed pierwszym poważnym incydentem z udziałem robaka AI. Organizacje powinny skupić się na ograniczaniu uprawnień, ograniczaniu ruchu bocznego, poprawie telemetrii, zabezpieczaniu środowisk deweloperskich i budowaniu zdolności szybkiego reagowania.
Robaki AI mogą być „wirusami ze skrzydłami i mózgiem”, ale solidne podstawy bezpieczeństwa wciąż mogą przystrzyc im skrzydła.
