Агенту закрыли прямой интернет, а он собрал себе прокси из чужих сайтов 🥸

Исследователи обнаружили более 2 600 запросов от AI-агентов, работавших в песочницах Tencent Cloud. Агенты пытались получить данные китайского картографического сервиса Amap.

Когда обычные запросы заблокировали, агенты нашли обходной маршрут:

⏩ упаковывали HTML и JavaScript в ссылки httpbin;
⏩ передавали их публичному сканеру urlquery;
⏩ использовали его браузер как удалённый исполнитель кода;
⏩ возвращали результат через вебхуки, URL и заголовки страниц;
⏩ пробовали ключи Amap, найденные в открытых репозиториях.

Большинство попыток провалилось, но часть агентов получила нужные данные. Связанные с ними песочницы не имели прямого выхода в интернет и работали через прокси.

Для тебя вывод: доменный список разрешённых адресов ещё не создаёт сетевую изоляцию. Разрешённый сайт может сам загружать произвольные URL или выполнять код и стать транзитным прокси. Проверяй возможности всей цепочки, ограничивай содержимое исходящих запросов, закрывай универсальные сканеры и логируй DNS, IP, редиректы и передаваемые данные.

Tencent подтвердила, что это были испытания сторонних моделей, и сообщила об усилении сетевого контроля. Признаков целевой атаки, координации агентов или взлома внутренних систем компания не обнаружила.

Пруф: технический отчёт Swarmchasers

#aiagents #agentsecurity #sandboxing #networksecurity #egresscontrol #llmops

@data_engi