I ricercatori affermano di aver identificato una tecnica di attacco alla catena di fornitura nel repository GitHub dell’Agent Development Kit (ADK) di Google per Python, in cui un agente IA con privilegi inferiori poteva essere manipolato per attivarne uno più potente.
Il problema è stato individuato in google/adk-python, un toolkit open source che, secondo quanto riferito, è stato scaricato più di 90 milioni di volte. Dan Lisichkin, ricercatore di Pillar Security, ha descritto la scoperta come un esempio di sfruttamento “agente-agente”, una classe di attacco emersa con il crescente utilizzo dei sistemi IA da parte delle organizzazioni nei processi di sviluppo software e CI/CD.
Come ha funzionato l’attacco
Il repository utilizzava due agenti automatizzati con ruoli diversi. Un agente esposto al pubblico gestiva le pull request e i problemi, mentre un agente riservato ai responsabili del progetto aveva accesso ad azioni più sensibili. Secondo Pillar, i flussi di lavoro e le autorizzazioni dei sistemi hanno creato una relazione di fiducia non intenzionale.
Un attaccante avrebbe potuto innanzitutto inviare una pull request apparentemente legittima contenente una modifica dannosa, come una dipendenza alterata. Dopo che l’agente pubblico aveva elaborato il contributo, l’attaccante avrebbe potuto inviare un’altra pull request contenente istruzioni progettate per manipolare l’agente tramite un’iniezione di prompt. L’output risultante avrebbe quindi potuto attivare il passaggio all’agente privilegiato, che avrebbe potuto eseguire un’azione per conto dell’attaccante.
Per eseguire l’attacco completo, probabilmente sarebbe stato necessario che l’attaccante acquisisse credibilità attraverso contributi precedenti. Inoltre, una pull request dannosa non sarebbe stata unita automaticamente: un responsabile del progetto avrebbe comunque dovuto approvare o unire la modifica. Tuttavia, i ricercatori hanno affermato che la sequenza avrebbe potuto creare una cronologia fuorviante, suggerendo che una persona avesse richiesto una revisione e che un agente IA l’avesse approvata.
La risposta di Google
Google ha risolto il problema alla base del repository e ha riconosciuto il contributo della segnalazione, ma ha affermato che non era idonea a un pagamento nell’ambito del programma bug bounty, poiché lo sfruttamento dipendeva dall’ingegneria sociale e richiedeva comunque l’intervento di un responsabile del progetto. L’azienda ha dichiarato che il token esposto poteva modificare le pull request, ma non poteva unirle autonomamente.
Lisichkin ha affermato che l’incidente dimostra come separare gli agenti in base alla funzione non sia sufficiente. Ha raccomandato di assegnare a ciascun agente un’identità distinta e di limitare esplicitamente le risorse e le interazioni a sua disposizione. I team di sicurezza, ha aggiunto, dovrebbero includere l’identità degli agenti, le autorizzazioni e il potenziale raggio d’azione nei modelli delle minacce per i sistemi di sviluppo basati sull’IA.