Los artefactos persistentes permiten ataques entre sesiones de agentes
En palabras sencillas
Este artículo estudia cómo pueden atacar a los agentes de software cuando una sesión deja archivos o registros para una sesión posterior. Una habilidad maliciosa puede introducir instrucciones, datos no autorizados o afirmaciones falsas en esos artefactos, y otra habilidad puede convencer al agente posterior de que los use.
El artículo presenta SkillRelayGuard, que muestra de dónde procede un artefacto y pide a un revisor independiente que compruebe las operaciones antes de ejecutarlas. En 270 casos de dos sesiones, los ataques disminuyeron considerablemente mientras aumentó la finalización de las tareas solicitadas, pero no desaparecieron.
La investigación
Cuando los agentes de software continúan el trabajo entre sesiones, necesitan reutilizar archivos y registros sin confundir el contenido escrito por un atacante con una autorización del usuario o con pruebas fiables. ¿Puede una defensa mantener ese traspaso útil y, a la vez, detectar instrucciones dañinas, el uso no autorizado de datos y afirmaciones falsas?
Este artículo evalúa la cuestión con tareas emparejadas en las que la conversación se reinicia, pero los artefactos permanecen.
SkillRelayGuard restaura la procedencia de los artefactos y revisa las operaciones antes de ejecutarlas, reduciendo los ataques entre sesiones y manteniendo la finalización de tareas legítimas.
En 270 casos emparejados, los autores reiniciaron el historial de conversación entre dos sesiones y conservaron los artefactos.
Evaluadores independientes comprobaron la finalización de tareas, las consecuencias de seguridad y el traspaso previsto; en siete configuraciones, las consecuencias objetivo se produjeron en el 64.7% de las ejecuciones, mientras que ambas tareas se completaron en el 76.3% y las dos cosas ocurrieron en el 53.0%.
Al comparar tres configuraciones seleccionadas con SkillRelayGuard y sin él, el éxito de los ataques bajó del 69.5% al 10.9% y el éxito de las tareas subió del 79.6% al 87.5%, lo que respalda la defensa en estas pruebas.
Los evaluadores pueden clasificar mal los casos dudosos, la ejecución es estocástica y el análisis de componentes probó una sola configuración; no se han validado la estabilidad entre ejecuciones repetidas ni la transferencia a otros flujos de trabajo.
Análisis
Detalles
- Autores
- Dianshu Liao, Shidong Pan, Guangdong Bai, Zhenchang Xing, Xiaoyu Sun
- Licencia
- arXiv non-exclusive