Vela mostra quali attacchi noti passano attraverso le interfacce Web
The Agent in the Middle: How AI-Mediated Access Reshapes Web Vulnerability Exploitation · arXiv:2610.35541
In parole semplici
Il paper chiede se i difetti noti di un sito causano ancora danni quando qualcuno raggiunge lo stesso servizio tramite un agente AI. Gli autori presentano Vela, un sistema di test che confronta l’accesso normale al sito, le chiamate dirette agli strumenti del servizio e le chiamate fatte da un agente.
Per ogni difetto, un controllo indipendente cercava un effetto reale, come una modifica ai dati. Nella configurazione di riferimento, l’agente ha raggiunto ogni effetto raggiungibile con le chiamate dirette. Il risultato vale per i casi e la configurazione testati, non per tutti i siti o tutti gli agenti.
La ricerca
Se un agente AI diventa una via d’accesso a un servizio Web, aggiungere questo livello ferma gli attacchi contro difetti già presenti nel backend? La risposta dipende anche dalle operazioni e dagli input che il servizio espone. Limitarli può bloccare gli attacchi, ma può anche togliere funzionalità legittime.
Vela confronta attacchi Web noti tramite accesso nativo, chiamate dirette agli strumenti e agenti, e mostra come il design dell’interfaccia determini quali effetti verificati restano possibili.
Vela confronta tre percorsi verso gli stessi backend Web vulnerabili: accesso nativo, chiamate dirette alle capability del servizio ed esecuzione tramite agente AI. Nella configurazione di riferimento, 40 casi su 44 erano esprimibili tramite l’interfaccia orientata ai workflow e sia le chiamate dirette sia Claude Code hanno prodotto l’effetto verificato in tutti e 40. L’agente, quindi, non ha eliminato nessuno degli attacchi consentiti dall’interfaccia.
Mantenendo fisso Claude Code, il cambiamento dell’interfaccia ha spostato il mantenimento dal 95% dei casi con accesso agli endpoint al 39% con accesso tramite query. Quest’ultima interfaccia supportava anche meno workflow legittimi individuati.
Nel complesso, questi confronti suggeriscono che, nelle configurazioni testate, il design dell’interfaccia ha avuto più influenza della scelta dell’agente.
Questi risultati riguardano 44 vulnerabilità note, tre interfacce realizzate dagli autori e gli agenti, le richieste e i limiti di esecuzione testati.
Non stimano quanto siano comuni le vulnerabilità nei servizi Web né permettono di prevedere i risultati con altre interfacce, altri agenti o altre combinazioni dei due.
Cosa mostrano le prove
- La domanda a cui risponde Vela
Vela è un benchmark eseguibile che verifica se gli attacchi noti contro i backend Web continuano a produrre un effetto di sicurezza verificato attraverso diversi percorsi di accesso. Gli autori confrontano l’accesso nativo al sito, le chiamate dirette alle capability del servizio e quelle fatte da un agente AI.
La misura principale, consequence retention, indica la quota di casi di vulnerabilità convalidati in cui il percorso testato produce almeno una volta l’effetto predefinito.
- L’agente aggiunge poca protezione
La configurazione di riferimento usa Claude Code con un’interfaccia orientata ai workflow, che mette a disposizione strumenti per attività legittime e con input circoscritti. Dei 44 casi di vulnerabilità convalidati, 40 erano esprimibili con chiamate dirette, che hanno prodotto l’effetto verificato in tutti e 40.
Anche l’agente ha prodotto l’effetto in tutti e 40. In tutto il set, quindi, il 91% dei casi è rimasto possibile attraverso l’interfaccia e l’agente non ha eliminato nessuno degli attacchi che questa poteva esprimere.
- La scelta dell’agente cambia pochi casi
Per vedere se il risultato cambiava al variare dell’agente, gli autori hanno mantenuto fissa l’interfaccia orientata ai workflow e testato Claude Code, Codex e Grok Build. Gli agenti hanno mantenuto gli effetti in 38-40 dei 44 casi.
Dall’esame delle tracce non è emerso che l’agente avesse bloccato attacchi rifiutandosi di agire o modificando gli input in modo da rimuovere l’attacco; Grok Build ha perso due casi realizzabili a causa di chiamate formulate male o abbandonate.
Questi test mostrano livelli di mantenimento simili, ma non una graduatoria affidabile degli agenti.
- Il design dell’interfaccia cambia l’esposizione
Gli autori hanno poi mantenuto Claude Code e cambiato l’interfaccia. Il mantenimento è variato dal 95% dei casi con accesso agli endpoint al 39% con accesso tramite query.
Il design a query supportava anche meno dei 50 workflow legittimi individuati. Il confronto suggerisce che, nelle configurazioni testate, il design dell’interfaccia ha inciso sull’esposizione più della scelta dell’agente, ma mostra anche che limitare l’accesso ha escluso operazioni utili.
Dettagli
- Autori del paper originale
- Ruozhao Yang, Jiongchi Yu, Ming Hu, Xiaofei Xie
- Inviato ad arXiv
- Licenza
- CC BY 4.0