Forscher geben an, eine Lieferketten-Angriffstechnik im GitHub-Repository von Googles Agent Development Kit (ADK) für Python identifiziert zu haben, bei der ein KI-Agent mit geringeren Berechtigungen dazu manipuliert werden konnte, einen leistungsfähigeren Agenten zu aktivieren.
Das Problem wurde in google/adk-python gefunden, einem Open-Source-Toolkit, das Berichten zufolge mehr als 90 Millionen Mal heruntergeladen wurde. Der Sicherheitsforscher Dan Lisichkin von Pillar Security bezeichnete den Fund als Beispiel für eine Ausnutzung von „Agent-zu-Agent“-Interaktionen – eine Angriffsklasse, die entstanden ist, da Unternehmen KI-Systeme zunehmend in der Softwareentwicklung und in CI/CD-Prozessen einsetzen.
So funktionierte der Angriff
Im Repository wurden zwei automatisierte Agenten mit unterschiedlichen Aufgaben eingesetzt. Ein öffentlich zugänglicher Agent bearbeitete Pull Requests und Issues, während ein ausschließlich für Maintainer vorgesehener Agent Zugriff auf sensiblere Aktionen hatte. Laut Pillar schufen die Workflows und Berechtigungen der Systeme eine unbeabsichtigte Vertrauensbeziehung.
Ein Angreifer konnte zunächst einen scheinbar legitimen Pull Request mit einer bösartigen Änderung einreichen, etwa einer manipulierten Abhängigkeit. Nachdem der öffentliche Agent diesen Beitrag verarbeitet hatte, konnte der Angreifer einen weiteren Pull Request mit Anweisungen einreichen, die den Agenten mittels Prompt Injection manipulieren sollten. Die daraus resultierende Ausgabe konnte anschließend eine Übergabe an den privilegierten Agenten auslösen, der möglicherweise eine Aktion im Auftrag des Angreifers ausführte.
Für die vollständige Durchführung des Angriffs müsste ein Angreifer wahrscheinlich durch frühere Beiträge Glaubwürdigkeit aufbauen. Ein bösartiger Pull Request wäre dadurch außerdem nicht automatisch zusammengeführt worden: Ein Maintainer hätte die Änderung weiterhin genehmigen oder zusammenführen müssen. Dennoch erklärten die Forscher, dass die Abfolge einen irreführenden Verlauf erzeugen konnte, der den Eindruck erweckte, ein Mensch habe eine Überprüfung angefordert und ein KI-Agent habe diese genehmigt.
Googles Reaktion
Google behob das zugrunde liegende Problem im Repository und würdigte die Meldung, erklärte jedoch, dass sie nicht für eine Bug-Bounty-Zahlung qualifiziert gewesen sei, da die Ausnutzung Social Engineering voraussetzte und weiterhin eine Aktion durch einen Maintainer erforderlich war. Das Unternehmen erklärte, das offengelegte Token habe Pull Requests ändern können, diese jedoch nicht eigenständig zusammenführen können.
Lisichkin erklärte, der Vorfall zeige, dass die funktionale Trennung von Agenten nicht ausreiche. Er empfahl, jedem Agenten eine eigene Identität zuzuweisen und die für ihn verfügbaren Ressourcen und Interaktionen ausdrücklich zu beschränken. Sicherheitsteams sollten seiner Ergänzung zufolge die Agentenidentität, Berechtigungen und den potenziellen Schadensradius in Bedrohungsmodelle für KI-gestützte Entwicklungssysteme integrieren.