Перейти к содержанию

ASI03: Identity and Privilege Abuse (Злоупотребление идентификацией и привилегиями)

Описание

Identity & Privilege Abuse эксплуатирует динамическое доверие и делегирование в агентах для эскалации доступа и обхода механизмов управления через манипуляции цепочками делегирования, наследованием ролей, потоками управления и контекстом агента; контекст включает кэшированные учётные данные или историю разговоров между взаимосвязанными системами. В этом контексте идентичность относится как к определённой персоне агента, так и к любому материалу аутентификации, который его представляет. Доверие агент-агент или унаследованные учётные данные могут быть использованы для эскалации доступа, перехвата привилегий или выполнения несанкционированных действий.

Этот риск возникает из архитектурного несоответствия между пользовательскими системами идентификации и агентным дизайном. Без отдельного, управляемого идентификатора самого себя агент работает в промежутке атрибуции, который делает невозможным соблюдение истинного привилегия минимального объёма (least privilege). Идентичность в этом контексте включает как присвоенную персону агента, так и любой материал аутентификации (API-ключи, токены OAuth, делегированные сессии пользователя), которые его представляют.

Это отличается от сценария ASI02 (Tools Misuse), который является непреднамеренным или небезопасным использованием уже предоставленного привилегия principal'ом своих собственных инструментов.

Identity & Privilege Abuse — это агентная эволюция Excessive Agency (LLM06:2025). Он часто использует Prompt Injection (LLM01:2025), и из-за прав агента, интеграции инструментов и мульти-агентных систем воздействие может усилиться и превысить Sensitive Information Disclosure (LLM02:2025) для прямого компрометирования конфиденциальности, целостности и доступности систем и данных, к которым агент может получить доступ.

В OWASP ASI Threats and Mitigations он соответствует один-к-одному T3: Privilege Compromise, и в OWASP AIVSS он соответствует Core Risk 2: Agent Access Control Violation.

Общие примеры уязвимости

  1. Un-scoped Privilege Inheritance. Возникает, когда менеджер с высокими привилегиями делегирует задачи без применения scoping привилегий минимального объёма — часто из удобства или из-за архитектурных ограничений — передавая свой полный контекст доступа. Узкий работник тогда получает избыточные права. Агенты low-code/no-code с дефолтными привилегиями, такими как неограниченный доступ в Интернет, также наследуют больше власти, чем предполагалось.
  2. Memory-Based Privilege Retention & Data Leakage. Возникает, когда агенты кэшируют учётные данные, ключи или извлечённые данные для контекста и повторного использования. Если память не сегментирована или не очищается между задачами или пользователями, злоумышленники могут подтолкнуть агента повторно использовать кэшированные секреты, эскалировать привилегии или утекать данные из безопасной предыдущей сессии в более слабую.
  3. Cross-Agent Trust Exploitation (Confused Deputy). В мульти-агентных системах агенты часто доверяют внутренним запросам по умолчанию. Компрометированный агент с низкими привилегиями может релегировать валидные инструкции к агенту с высокими привилегиями, который выполняет их без повторной проверки первоначального намерения пользователя — misuse его повышенных разрешений.
  4. TOCTOU в рабочих процессах агентов. Разрешения могут быть валидированы в начале рабочего процесса, но изменяться или истекать перед выполнением. Агент продолжает с устаревшей авторизацией, выполняет действия, на которые пользователь больше не имеет права утверждать.
  5. Synthetic Identity Injection. Злоумышленники имитируют внутренних агентов, используя непроверенные дескрипторы (например, "Admin Helper"), чтобы получить унаследованное доверие и выполнять привилегированные действия под вымышленным лицом.

Примеры сценариев атак

  1. Delegated Privilege Abuse: финансовый агент делегирует агенту "DB query", но передаёт все свои разрешения. Злоумышленник, управляющий запросами, использует унаследованный доступ для экспорта данных HR и юридического отдела.
  2. Memory-Based Escalation: агент IT-админа кэширует учётные данные SSH во время патча. Позже неадмин повторно использует ту же сессию и подталкивает его использовать эти учётные данные для создания неавторизованной учётной записи.
  3. Cross-Agent Trust Exploitation:特別に созданное электронное письмо из IT инструктирует агент сортировки электронной почты дать распоряжение финансовому агенту перевести деньги на определённый счёт. Агент сортировки пересылает его, и финансовый агент, доверяя внутреннему агенту, обрабатывает мошеннический платёж без проверки.
  4. Device-code phishing across agents: злоумышленник делится ссылкой device-code, которой следует агент просмотра; отдельный агент-помощник завершает код, привязывая арендатор жертвы к областям действия злоумышленника.
  5. Workflow Authorization Drift: агент закупок валидирует утверждение в начале последовательности покупки. Через несколько часов лимит расходов пользователя снижается, но рабочий процесс продолжает использовать старый токен авторизации, завершая теперь неавторизованную транзакцию.
  6. Forged Agent Persona: злоумышленник регистрирует поддельного агента "Admin Helper" во внутреннем реестре Agent2Agent с поддельной agent-картой. Другие агенты, доверяя дескриптору, маршрутизируют привилегированные задачи обслуживания на него. Контролируемый злоумышленником агент затем выдаёт системные команды под предполагаемым внутренним доверием.
  7. Identity Sharing. Агент получает доступ к системам от имени пользователя, часто его создателя. Затем он позволяет другим пользователям неявно использовать эту идентичность, вызывая его инструменты как эту идентичность.

Рекомендации по предотвращению и смягчению

  1. Enforce Task-Scoped, Time-Bound Permissions. Выдавайте краткосрочные, узко scoped токены на задачу и ограничивайте права с помощью permission boundaries — используя идентификаторы на каждого агента и краткосрочные учётные данные (например, сертификаты mTLS или scoped токены) — чтобы ограничить радиус поражения, блокировать abuse делегирования и атаки в окнах обслуживания, и смягчить un-scoped inheritance, сиротые привилегии и элевацию рефлективных циклов.
  2. Isolate Agent Identities and Contexts. Запускайте за sandbox'и на сессию с разделёнными разрешениями и памятью, стирая состояние между задачами, чтобы предотвратить Memory-Based Escalation и снизить Cross-Repository Data Exfiltration.
  3. Mandate Per-Action Authorization. Повторно проверяйте каждый привилегированный шаг с помощью централизованного ядра политики, которое проверяет внешние данные, останавливая Cross-Agent Trust Exploitation и Reflection Loop Elevation.
  4. Apply Human-in-the-Loop for Privilege Escalation. Требуйте одобрение человека для действий с высокими привилегиями или необратимых действий, чтобы обеспечить защитную сеть, которая остановит Memory-Based Escalation, Cross-Agent Trust Exploitation и атаки в окнах обслуживания.
  5. Define Intent. Привязывайте токены OAuth к подписанному intent, включающему субъект, аудиторию, цель и сессию. Отклоняйте любое использование токена, где привязанный intent не совпадает с текущим запросом.
  6. Evaluate Agentic Identity Management Platforms. Основные платформы интегрируют агентов в свои системы управления идентификацией и доступом, обращаясь с ними как с управляемыми не-человеческими идентификаторами (non-human identities) с scoped учётными данными, журналами аудита и контролем жизненного цикла. Примеры включают Microsoft Entra, AWS Bedrock Agents, Salesforce Agentforce, модель Workday's Agentic System of Record (ASOR) и аналогичные возникающие паттерны в Google Vertex AI.
  7. Bind permissions to subject, resource, purpose, and duration. Требуйте повторной аутентификации при смене контекста. Предотвращайте наследование привилегий между агентами, если первоначальное намерение не повторно валидировано. Включайте автоматический отзыв при простое или аномалии.
  8. Detect Delegated and Transitive Permissions. Мониторьте, когда агент получает новые разрешения косвенно через цепочки делегирования. Помечайте случаи, когда агент с низкими привилегиями наследует или получает более высокие области действия во время много-агентных рабочих процессов.
  9. Detect abnormal cross-agent privilege elevation and device-code style phishing flows мониторингом, когда агенты запрашивают новые области действия или повторно используют токены вне их первоначального подписанного intent.

Ссылки

  1. https://research.aimultiple.com/agentic-ai-cybersecurity/
  2. https://www.docker.com/blog/mcp-horror-stories-github-prompt-injection/
  3. https://css.csail.mit.edu/6.858/2015/readings/confused-deputy.html
  4. 15 Ways to Break Your Copilot, BHUSA 2024.
  5. NVD - cve-2025-31491.

genai.owasp.org