Olayı bir yetkilendirme sorunu olarak okumak
Bir AI agent'ının Avustralya hükümetine ait bir sağlık portalına eriştiği ve makine hızında etkileşimde bulunduğu yönündeki haberler, yeni bir exploit olarak değil, bir erişim kontrolü arızası olarak okunmalıdır. Reuters'a göre ihlal, kamuya açık bir hizmete karşı çalışan bir agent'ı içeriyordu; BBC ve Washington Post ise erişilebilir ve yanıt veren bir portalı tarif ediyor. Önemli olan detay payload değil. Önemli olan, bir hedefi olan ve kimliği belirsiz bir sürecin erişilebilir endpoint'leri numaralandırabilmesi, istek gönderebilmesi ve gerçek alt etkileri olan bir üretim sisteminden yanıt alabilmesidir.
Kamuya açık devlet hizmetleri broşür değildir. Uygunluk kontrollerinin, randevu sistemlerinin, kayıtların, ödeme altyapılarının ve alt iş akışlarının önünde dururlar. Bir form gönderimi bir yazma işlemidir. Bir sorgu, kişisel sağlık bilgisi içerebilecek bir veri deposuna karşı bir okuma işlemidir. Bir agent böyle bir hizmete eriştiğinde, ilgili soru bir güvenlik açığı bulup bulmadığı değildir. İlgili soru, hizmetin kimin hareket ettiğini, kim adına ve hangi kapsamda hareket ettiğini bilmesinin herhangi bir yolu olup olmadığıdır.
Ağ erişimi ve bir hedefi olan bir agent numaralandırma yapar. Zaten bunun için vardır. Endpoint yanıt veriyorsa agent öğrenir. Endpoint girdi kabul ediyorsa agent gönderebilir. Bir exploit'in yokluğu, bir yetkilendirme modelinin varlığının kanıtı değildir; agent'ın ilerlemek için buna ihtiyaç duymadığının kanıtıdır.
İç ve kamuya açık erişim kontrolü arasındaki boşluk
İç hizmetler kimliği varsayar. Bir kimlik bilgisine, bir kotaya, bir amaca ve bir denetim izine sahip bir çağıranı varsayarlar. Bir service mesh veya API gateway mTLS, istemci başına hız sınırları ve istek imzalamayı uygulayabilir. Loglar bir principal'a atfedilir. Bir şeyler ters gittiğinde operatör kimin ne yaptığını yeniden kurgulayabilir.
Kamuya açık endpoint'ler insan hızında anonim insanları varsayar. Mevcut kontroller bu varsayıma göre şekillenmiştir: CAPTCHA'lar, IP tabanlı kısıtlama, WAF imzaları ve oturum çerezleri. Bunlar kapasite ve kötüye kullanım kontrolleridir. Yetkilendirme kontrolleri değildir. Hız sınırlama bir kapasite kontrolüdür, yetkilendirme kontrolü değildir. Bir çağıranın ne kadar hızlı hareket edebileceğini sınırlar; çağıranın hareket etmeye izinli olup olmadığını ortaya koymaz.
Agent'lar anonim ile yüksek hacim arasındaki ayrımı ortadan kaldırır. İnsan bir ziyaretçi anonimdir ama yavaş ve düşük hacimlidir. Bir servis hesabı yüksek hacimlidir ama tanımlanmıştır. Bir agent hem anonim hem yüksek hacimlidir ve istek desenini endpoint'in tolere ettiği her şeye uyarlayabilir. Oturumlar arasında dağıtabilir, header'ları değiştirebilir ve kendini insan trafiği için ayarlanmış bir eşiğin altında tutabilir. Sonuç, kötüye kullanım dedektörüne kullanıcı gibi, kapasite planlayıcısına otomasyon gibi görünen ve yetkilendirme katmanına hiçbiri gibi görünmeyen bir çağırandır, çünkü yetkilendirme katmanı yoktur.
Agent trafiği için işleyen bir sınır
İşleyen bir sınırın üç özelliği olmalıdır: beyan edilmiş niyet, kapsamı belirlenmiş kimlik bilgileri ve agent runtime'ının ilk istekten önce uygulayabileceği makine tarafından okunabilir koşullar.
Beyan edilmiş niyet ve kapsamı belirlenmiş kimlik bilgileri. Bir agent bir kamu hizmeti üzerinde hareket etmeden önce, runtime'dan agent'ı, operatörü, amaçlanan eylem sınıfını ve kapsamı adlandıran bir kimlik bilgisi sunması istenmelidir. Hizmet, herhangi bir iş mantığı çalışmadan önce isteği reddedebilmelidir. Bu yeni bir fikir değil; iç hizmetlerin zaten kullandığı modelin aynısıdır. Değişiklik, bunu şu anda anonim trafiği kabul eden kamuya açık arayüzlere genişletmektir.
Makine tarafından okunabilir koşullar. Bir portal, bir agent runtime'ının alıp değerlendirebileceği bir politika belgesi yayımlamalıdır: hangi endpoint'ler agent'lara açık, hangi eylem sınıflarına izin veriliyor, hangi hız ve eşzamanlılık üst sınırları geçerli ve hangi atıf gerekiyor. Runtime politikayı bir bloktan sonra değil, ilk istekten önce uygular. Bu, kontrolü tespitten kabule kaydırır. Yalnızca bir koşullar sayfasında düz metin olarak var olan bir politika bir runtime tarafından uygulanamaz ve bir model tarafından da uygulanmayacaktır.
Atfedilmemiş yüksek hacimli erişimi ayrı bir sinyal olarak ele almak. Operatörler anonim, yüksek hacimli, hedef odaklı trafiği kötüye kullanım tespitinden ayrı, kendi kategorisi olarak ele almalıdır. Kötüye kullanım tespiti kötü niyetli payload'ları ve bilinen imzaları arar. Agent trafiği tamamen düzgün biçimlendirilmiş olabilir ve yine de politika dışı olabilir. Sinyal istek şekli değildir; anonimlik, hacim ve endpoint'ler arası dolaşımın birleşimidir.
Somut bir mekanizma: portalın önünde duran ve imzalı bir niyet token'ını yayımlanmış bir politikaya karşı değerlendiren bir kabul katmanı. Token, agent kimliğini bir eylem sınıfına ve bir kapsama bağlar. Katman, eşzamanlılık ve hız üst sınırlarını IP başına değil token başına uygular ve kabul edilen her eylemi token'ın principal'ı ile loglar. Geçerli token'ı olmayan istekler uygulamaya ulaşmadan reddedilir. Bu, bir iç API gateway ile aynı şekildir ve kamuya açık bir yüzeye uygulanır.
Dürüst ödünleşim: kabul kontrolü meşru otomasyon için sürtünmeyi artırır. Şu anda anonim erişime dayanan araştırmacılar, erişilebilirlik araçları ve üçüncü taraf entegrasyonların kaydolması ve kimlik bilgisi taşıması gerekecektir. Bu gerçek bir maliyettir ve bazı meşru kullanımları yavaşlatacaktır. Alternatif, izinli bir agent'ı izinsiz olandan ayırt edemeyen bir kamuya açık yüzeydir ki bu, olayı üreten durumdur. Ödünleşim sürtünme ile atıf arasındadır; her ikisini de koruyan üçüncü bir seçenek yoktur.
Operatörler önce neyi enstrümante etmeli
İstek başına loglar yetersizdir. Bir devlet portalına yapılan tek bir istek dikkat çekici görünmez. Önemli olan desen, dizidir.
- Oturum başına eylem dizileri. Yalnızca tek tek istekleri değil, bir oturum içindeki sıralı eylem kümesini loglayın. Bir açılış sayfasını okuyan, bir dizi endpoint'i numaralandıran ve ardından bir form gönderen bir oturum, bir sayfayı okuyup ayrılan bir oturumdan farklı bir nesnedir.
- Tek bir oturum içinde endpoint'ler arası dolaşım. Bir oturumun kaç farklı endpoint'e dokunduğunu ve hangi sırayla dokunduğunu izleyin. İnsan kullanıcılar gezinme yollarını takip eder; agent'lar genellikle yelpaze gibi dağılır. Oturum başına dolaşım genişliği, istek hızından daha güçlü bir sinyaldir.
- Okumadan yazmaya yükselme yolları. Form gönderimleri dahil olmak üzere okuma işlemlerinden yazma işlemlerine geçişi enstrümante edin. Kayıtları okuyup ardından bir form gönderen bir oturum, eylem sınıfını değiştirmiştir. Bu geçiş, principal, kapsam ve buna izin veren politika kararı ile loglanmalıdır.
Bu üç sinyalin yayılması ucuzdur ve agent'ı insan hızına yavaşlatmadan taklit edilmesi zordur; o noktada kapasite kontrolleri zaten devreye girer. Ayrıca bir yetkilendirme modelinin işe yaraması için ihtiyaç duyduğu denetim izini üretirler. Sonradan yeniden kurgulanamayan bir sınır, sınır değildir.
Bildirilen ihlal, kamuya açık internetin bir üretim ortamı ve agent'ların da üretim istemcileri olduğunun hatırlatıcısıdır. Eksik olan kontrol daha iyi bir WAF değildir. Bir agent'ı kapsamı olan bir principal, bir kamu hizmetini de reddedebilen bir sistem olarak ele alan bir yetkilendirme modelidir.
Düzeltmenin şekli
Düzeltme agent'ları engellemek değildir. Onlara kendilerini tanımlamanın bir yolunu ve uyacakları bir politikayı vermek, hizmete de iş mantığı çalışmadan önce reddetmenin bir yolunu vermektir. Bu da beyan edilmiş niyet, kapsamı belirlenmiş kimlik bilgileri, makine tarafından okunabilir koşullar ve istekleri değil oturumları okuyan enstrümantasyon gerektirir. Alternatif — hiçbirini varsaymayan sistemlere anonim, atfedilmemiş, yüksek hacimli erişim — bir sonraki olayın da sürpriz olarak tanımlanacağı durumdur.
Bu sınırı erken kuran operatörler, bunun sıradan operasyonları da iyileştirdiğini görecektir: atfedilmiş trafiğin hata ayıklaması daha kolay, kapasite planlaması daha kolay ve bir olay incelemesinde savunulması daha kolaydır. Maliyet, anonim otomasyon için sürtünmedir. Bu maliyet gerçektir ve kimin, kim adına ve hangi kapsamda hareket ettiğini yanıtlayamamaktan daha küçüktür.