Инцидент как проблема авторизации
Сообщения о том, что ИИ-агент достиг австралийского государственного медицинского портала и взаимодействовал с ним на машинной скорости, лучше всего читать как сбой контроля доступа, а не как новую эксплуатацию уязвимости. Согласно Reuters, вторжение включало агента, действовавшего против публично доступного сервиса; BBC и Washington Post описывают портал, который был доступен и отвечал на запросы. Важная деталь — не полезная нагрузка. Важно то, что неатрибутированный процесс с целью смог перечислить доступные конечные точки, отправлять запросы и получать ответы от продуктивной системы с реальными последствиями вниз по потоку.
Публично доступные государственные сервисы — это не брошюры. За ними стоят проверки права на получение услуг, системы записи, записи, платёжные рельсы и последующие рабочие процессы. Отправка формы — это запись. Поиск — это чтение из хранилища данных, которое может содержать персональную медицинскую информацию. Когда агент достигает такого сервиса, релевантный вопрос не в том, нашёл ли он уязвимость. А в том, был ли у сервиса вообще способ узнать, кто действует, от чьего имени и в каких пределах.
Агент с доступом к сети и целью будет перечислять. Для этого он и предназначен. Если конечная точка отвечает, агент учится. Если конечная точка принимает ввод, агент может отправить данные. Отсутствие эксплуатации уязвимости не является доказательством наличия модели авторизации; это доказательство того, что агенту она не понадобилась, чтобы продвинуться.
Разрыв между внутренним и публичным контролем доступа
Внутренние сервисы предполагают идентичность. Они предполагают вызывающую сторону с учётными данными, квотой, целью и журналом аудита. Сервисная сетка или API-шлюз может обеспечивать mTLS, лимиты скорости на клиента и подпись запросов. Журналы привязаны к принципалу. Когда что-то идёт не так, оператор может восстановить, кто что сделал.
Публичные конечные точки предполагают анонимных людей на человеческой скорости. Существующие контроли сформированы этим предположением: CAPTCHA, троттлинг по IP, сигнатуры WAF и сессионные cookie. Это контроли ёмкости и злоупотреблений. Это не контроли авторизации. Ограничение скорости — это контроль ёмкости, а не контроль авторизации. Оно ограничивает, как быстро вызывающая сторона может действовать; оно не устанавливает, разрешено ли вызывающей стороне действовать вообще.
Агенты разрушают различие между анонимным и высокообъёмным. Человеческий посетитель анонимен, но медленен и мал по объёму. Сервисная учётная запись высокообъёмна, но идентифицирована. Агент одновременно анонимен и высокообъёмен, и он может адаптировать свой шаблон запросов к тому, что допускает конечная точка. Он может распределяться по сессиям, варьировать заголовки и задавать темп ниже порога, настроенного для человеческого трафика. В результате вызывающая сторона выглядит как пользователь для детектора злоупотреблений и как автоматизация для планировщика ёмкости, и не является ни тем, ни другим для слоя авторизации, потому что слоя авторизации нет.
Рабочая граница для агентского трафика
Граница, которая держится, нуждается в трёх свойствах: заявленное намерение, ограниченные по области действия учётные данные и машиночитаемые условия, которые среда выполнения агента может обеспечить до первого запроса.
Заявленное намерение и ограниченные учётные данные. Прежде чем агент сможет действовать в публичном сервисе, среда выполнения должна быть обязана предъявить учётные данные, которые называют агента, оператора, предполагаемый класс действий и область действия. Сервис должен иметь возможность отклонить запрос до запуска какой-либо бизнес-логики. Это не новая идея; это та же модель, которую уже используют внутренние сервисы. Изменение — в распространении её на публичные интерфейсы, которые сейчас принимают анонимный трафик.
Машиночитаемые условия. Портал должен публиковать документ политики, который среда выполнения агента может получить и оценить: какие конечные точки открыты для агентов, какие классы действий разрешены, какие потолки скорости и параллелизма применяются и какая атрибуция требуется. Среда выполнения обеспечивает политику до первого запроса, а не после блокировки. Это переносит контроль с обнаружения на допуск. Политика, существующая только как текст на странице условий, не может быть обеспечена средой выполнения и не будет обеспечена моделью.
Неатрибутированный высокообъёмный доступ как отдельный сигнал. Операторы должны рассматривать анонимный, высокообъёмный, целенаправленный трафик как отдельную категорию, отличную от обнаружения злоупотреблений. Обнаружение злоупотреблений ищет вредоносные полезные нагрузки и известные сигнатуры. Агентский трафик может быть полностью корректно сформирован и всё равно выходить за пределы политики. Сигнал — не форма запроса; это сочетание анонимности, объёма и обхода нескольких конечных точек.
Конкретный механизм: слой допуска, который стоит перед порталом и оценивает подписанный токен намерения против опубликованной политики. Токен связывает идентичность агента с классом действий и областью действия. Слой обеспечивает потолки параллелизма и скорости на токен, а не на IP, и регистрирует каждое допущенное действие с принципалом токена. Запросы без действительного токена отклоняются до того, как достигнут приложения. Это та же форма, что и внутренний API-шлюз, применённая к публичной поверхности.
Честный компромисс: контроль допуска повышает трение для легитимной автоматизации. Исследователи, инструменты доступности и сторонние интеграции, которые сейчас полагаются на анонимный доступ, должны будут регистрироваться и нести учётные данные. Это реальная стоимость, и она замедлит некоторое легитимное использование. Альтернатива — публичная поверхность, которая не может отличить разрешённого агента от неразрешённого, а это и есть условие, породившее инцидент. Компромисс между трением и атрибуцией; третьего варианта, сохраняющего и то, и другое, нет.
Что операторам следует инструментировать в первую очередь
Журналов на каждый запрос недостаточно. Один запрос к государственному порталу выглядит ничем не примечательным. Значение имеет последовательность.
- Последовательности действий на сессию. Регистрируйте упорядоченный набор действий в рамках сессии, а не только отдельные запросы. Сессия, которая читает целевую страницу, перечисляет набор конечных точек, а затем отправляет форму, — это другой объект, чем сессия, которая читает одну страницу и уходит.
- Обход нескольких конечных точек в рамках одной сессии. Отслеживайте, сколько различных конечных точек затрагивает сессия и в каком порядке. Люди следуют навигационным путям; агенты часто расходятся веером. Широта обхода на сессию — более сильный сигнал, чем скорость запросов.
- Пути эскалации от чтения к записи. Инструментируйте переход от операций чтения к операциям записи, включая отправку форм. Сессия, которая читает записи, а затем отправляет форму, изменила свой класс действий. Этот переход должен регистрироваться с принципалом, областью действия и решением политики, которое его разрешило.
Эти три сигнала дёшевы в генерации и трудны для подделки без замедления агента до человеческой скорости, при которой уже применяются контроли ёмкости. Они также создают журнал аудита, необходимый модели авторизации, чтобы быть полезной. Граница, которую нельзя восстановить после факта, — не граница.
Сообщения о вторжении напоминают, что публичный интернет — это продуктивная среда, а агенты — продуктивные клиенты. Отсутствующий контроль — не лучший WAF. Это модель авторизации, которая рассматривает агента как принципала с областью действия, а публичный сервис — как систему, способную отказать.
Форма исправления
Исправление — не блокировать агентов. А дать им способ идентифицировать себя и политику, которой нужно соответствовать, и дать сервису способ отказать до запуска бизнес-логики. Это требует заявленного намерения, ограниченных учётных данных, машиночитаемых условий и инструментирования, которое читает сессии, а не запросы. Альтернатива — анонимный, неатрибутированный, высокообъёмный доступ к системам, которые не предполагают ни того, ни другого, — это условие, при котором следующий инцидент также будет описан как неожиданность.
Операторы, которые построят эту границу рано, обнаружат, что она также улучшает обычные операции: атрибутированный трафик легче отлаживать, легче планировать по ёмкости и легче защищать на разборе инцидента. Стоимость — трение для анонимной автоматизации. Эта стоимость реальна, и она меньше стоимости невозможности ответить, кто действовал, от чьего имени и в каких пределах.