サンドボックスの脆弱性、暴走したAIエージェントによる脱出とデータ漏えいの経路に　研究者が指摘

サイバーセキュリティ研究者らは月曜日、広く使われているAI開発用サンドボックスに脆弱性を発見したと発表しました。この脆弱性を突くと、暴走したエージェントが隔離のための制限を回避し、機密情報を外部に漏えいさせる恐れがあります。 

AIセキュリティのスタートアップ企業AIRが公開した調査によると、コードを隔離環境で実行するためのツール「Vercel Sandbox」のネットワークフィルタリングに欠陥がありました。エージェントが証明書の検証プロセスを悪用すれば、許可されたネットワークの外へデータを送信できる可能性があります。

「この脆弱性は、企業が自社のエージェントでHugging Face [のような] ミニインシデントを起こしかねないことを示しています」。AIRの共同創業者兼CTOであるNiv Hoffman氏は、Recorded Future Newsのインタビューにこう語りました。

「今回の研究が新たに示したのは、現在の標準的な堅牢化済みサンドボックスでも、暴走したエージェントが脱出して外部で活動できてしまう欠陥が残っているという点です」 

開発者は通常、AIエージェントが無許可のシステムにアクセスしたり、機密情報を送信したりするのを防ぐためにサンドボックスを使います。ネットワークの許可リストは通信先を承認済みの宛先に限定し、エージェントが信頼できないサーバーへ接続するのを防ぎます。

AIRの研究者らは、暴走したエージェントがサーバーによるデジタル証明書の処理方法を悪用し、こうした制限を回避できることを突き止めました。研究者らが実演したシナリオでは、特殊な証明書を細工して許可済みのサーバーに送信します。するとその証明書が、攻撃者の管理するサーバーへのリクエストを引き起こします。サンドボックスが未承認の宛先と直接通信しないまま、情報を送り出せる仕組みです。

「必要なのは、細工された証明書だけです」と報告書は述べています。「秘密を閉じ込めておくための壁には扉があり、その鍵はエージェントが握っています」

「パッチを当てるのが非常に難しい漏えい経路です」とHoffman氏は話しました。「このサンドボックスは攻撃サーバーと直接通信したことが一度もありません。そのため、サンドボックス側から見ると、すべて正常に見えていたのです」

Hoffman氏によると、同氏のチームはこの脆弱性についてVercelに連絡しました。Vercelは、修正方法が現時点では「明確でない」ため、パッチの開発に時間が必要だと答えたといいます。

Vercelは、コメントの求めにすぐには応じませんでした。 

AIRは、この脆弱性が悪用された証拠を確認していません。しかし、Hoffman氏は悪用があった可能性を否定できないと述べています。さらに同氏は、Vercelのサンドボックスの脆弱性は以前から存在していたとみられると強調しました。

サイバーキネティクス企業0rcusの共同創業者兼CEO、Nic Adams氏は、今回の研究が重要である理由として、許可済みのサーバーが「無自覚のうちに盗まれた認証情報の運び屋」になり得ることを示した点を挙げます。「セキュリティは、最初の接続の後に何が起きるかまで考慮しなければなりません」