Перейти к содержанию

ASI07: Insecure Inter-Agent Communication (Небезопасное меж-агентное взаимодействие)

Описание

Много-агентные системы зависят от непрерывной коммуникации между автономными агентами, которые координируются через API, шины сообщений и общую память, значительно расширяя поверхность атаки. Децентрализованная архитектура, различная автономность и неравномерное доверие делают периметральные модели безопасности неэффективными. Слабые элементы управления меж-агентным взаимодействием для аутентификации, целостности, конфиденциальности или авторизации позволяют злоумышленникам перехватывать, манипулировать, подделывать или блокировать сообщения.

Insecure Inter-Agent Communication возникает, когда эти обмены не имеют надлежащей аутентификации, целостности или семантической валидации — позволяя перехвату, подделке или манипуляции сообщениями и намерениями агентов. Угроза охватывает транспортный, маршрутизационный, уровень обнаружения и семантический слои, включая скрытые или side-каналы, где агенты утекают или выводят данные через временные или поведенческие признаки.

Это отличается от ASI03 (Identity & Privilege Abuse), который фокусируется на misuse учётных данных и разрешений, и ASI06 (Memory & Context Poisoning), который нацелен на коррупцию хранимого знания. ASI07 фокусируется на компрометации сообщений в реальном времени между агентами, ведущей к дезинформации, путанице привилегий или скоординированной манипуляции в распределённых агентных системах.

Эта запись охватывается T12 – Agent Communication Poisoning и T16 – Insecure Inter-Agent Protocol Abuse в Agentic Threats and Mitigations.

Общие примеры уязвимости

  1. Незашифрованные каналы, обеспечивающие семантическую манипуляцию. MITM перехватывает незашифрованные сообщения и внедряет скрытые инструкции, изменяющие цели и логику принятия решений агентов.
  2. Манипуляция сообщениями, ведущая к контекстной контаминации. Изменённые или внедрённые сообщения стирают границы задач между агентами, что приводит к утечке данных или путанице целей во время координации.
  3. Replay в цепочках доверия. Повторенные сообщения делегирования или доверия обманывают агентов, заставляя их предоставлять доступ или почитать устаревшие инструкции.
  4. Понижение протокола и подделка дескрипторов, вызывающие путаницу авторитета. Злоумышленники заставляют агентов использовать более слабые режимы коммуникации или подделывают дескрипторы агентов, делая вредоносные команды похожими на допустимые обмены.
  5. Атаки маршрутизации сообщений на обнаружение и координацию. Поддельный трафик обнаружения создаёт отношения с вредоносными агентами или неавторизованными координаторами.
  6. Анализ метаданных для профилирования поведения. Паттерны трафика раскрывают циклы принятия решений и отношения, позволяя предсказывать и манипулировать поведением агентов.

Примеры сценариев атак

  1. Семантическая инъекция через незашифрованные коммуникации. По HTTP или другим неаутентифицированным каналам злоумышленник MITM инжектирует скрытые инструкции, заставляя агентов выдавать смещённые или вредоносные результаты, выглядящие нормально.
  2. Отравление доверия через манипуляцию сообщениями. В сети агентной торговли изменённые сообщения о репутации искажают, каким агентам доверяют для принятия решений.
  3. Контекстная путаница через replay. Повторенные сообщения координации экстренных ситуаций запускают устаревшие процедуры и неверное распределение ресурсов.
  4. Манипуляция целями через понижение протокола. Принудительный устаревший незашифрованный режим позволяет злоумышленникам инжектировать цели и параметры риска, производя вредоносные рекомендации.
  5. Agent-in-the-Middle через отравление дескриптора MCP. Вредоносный конечный точка MCP рекламирует поддельные дескрипторы агентов или ложные возможности. Когда доверяют, он маршрутизирует чувствительные данные через инфраструктуру злоумышленника.
  6. Подделка регистрации A2A. Злоумышленник регистрирует поддельного коллегу-агента в сервисе обнаружения, используя клонированную схему, перехватывая привилегированный трафик координации.
  7. Семантический split-brain. Одиночная инструкция парсится в разные намерения разными агентами, производя конфликтующие, но выглядящие легитимными действия.

Рекомендации по предотвращению и смягчению

  1. Защитные каналы агентов. Используйте сквозное шифрование с учётными данными на каждого агента и взаимной аутентификацией. Применяйте закрепление сертификатов PKI,forward secrecy и регулярный обзор протоколов для предотвращения перехвата или подделки.
  2. Целостность сообщений и семантическая защита. Цифровой подписи сообщений, хеширование полезной нагрузки и контекста, валидация на скрытые или изменённые инструкции естественного языка. Применяйте санитайзацию с учетом естественного языка и diff intención для обнаружения манипуляции целями, параметрами, скрытыми или изменёнными инструкциями естественного языка.
  3. Защита от воспроизведения с учетом агентов. Защищайте все обмены с помощью nonces, идентификаторов сессий и временных меток, привязанных к окнам задач. Поддерживайте краткосрочные отпечатки сообщений или хеши состояния для обнаружения кросс-контекстного воспроизведения.
  4. Безопасность протокола и возможностей. Отключайте слабые или устаревшие режимы коммуникации. Требуйте переговоров доверия на уровне агента и привяжите аутентификацию протокола к идентичности агента. Применяйте политики версий и возможностей на шлюзах или промежуточном ПО.
  5. Ограничение вывода на основе метаданных. Снизьте поверхность атаки для анализа трафика, используя сообщения фиксированного размера или с отступами, где это возможно, сглаживая частоты коммуникации и избегая детерминированных графиков коммуникации. Эти轻ковые меры делают более сложным для злоумышленников вывод ролей агентов или циклов принятия решений только на основе метаданных, без необходимости тяжелого redesign протокола.
  6. Закрепление протокола и принуждение версий. Определите и применяйте разрешённые версии протоколов (например, MCP, A2A, gRPC). Отклоняйте попытки понижения версии или нераспознанные схемы и валидируйте, что обе стороны рекламируют совпадающие отпечатки возможностей и версий.
  7. Защита обнаружения и маршрутизации. Аутентифицируйте все сообщения обнаружения и координации с помощью криптографической идентичности. Защитите каталоги с помощью контроля доступа и проверенных репутаций, валидируйте идентичность и намерение сквозь и мониторьте аномальные потоки маршрутизации.
  8. Проверенный реестр и верификация агентов. Используйте реестры или маркетплейсы, которые предоставляют цифровую аттестацию идентичности агента, происхождения и целостности дескриптора. Требуйте подписанные agent-карты и непрерывную верификацию перед принятием сообщений обнаружения или координации. Используйте доверенные корневые сертификатные реестры PKI для обеспечения надёжной верификации и аттестации критических атрибутов.
  9. Типизированные контракты и валидация схемы. Используйте версии, типизированные схемы сообщений с явными audience по сообщениям. Отклоняйте сообщения, которые не проходят валидацию или пытаются понизить схему без объявленной совместимости. Типизированные контракты помогают со структурой, но семантическое расхождение между агентами остаётсяinherent вызовом; меры по смягчению поэтому фокусируются на целостности, происхождении и контролируемых паттернах коммуникации, а не на попытке полного семантического выравнивания.

Ссылки

  1. Local Model Poisoning Attacks to Byzantine-Robust Federated Learning - USENIX Security 2020.
  2. Manipulating the Byzantine: Optimizing Model Poisoning Attacks and Defenses for Federated Learning - NDSS.
  3. Resilient Consensus Control for Multi-Agent Systems - MDPI / PMC.

genai.owasp.org