Organizacje stają się coraz bardziej zdecydowane na wdrażanie agentów AI. Ich codzienne zadania są różne, od analizy danych, obsługę złożonych procesów, przygotowywanie raportów, po samodzielne działania w systemach biznesowych. Aby realizować te zadania, agent musi się uwierzytelnić. Korzysta więc z kont usługowych, kluczy API, tokenów lub ról chmurowych. Problem polega na tym, że mechanizmy te projektowano dla aplikacji i automatyzacji, ale nie dla autonomicznego systemu podejmującego decyzje w oparciu o własne algorytmy.
W przypadku pracownika ryzykowne logowanie można zatrzymać poprzez MFA. Jednak agent AI ani nie wyjmie telefonu, ani nie zbliży swojej twarzy i nie potwierdzi swojej tożsamości. Dlatego jego bezpieczeństwo musi opierać się na ciągłej kontroli: z jakiego źródła się weryfikuje, do jakiego zasobu sięga, jakich uprawnień używa i czy jego liczne aktywności mieszczą się dopuszczalnych granicach przyjętych przez firmę.
Gdzie sięga zagrożenie?
Najczęstsze scenariusze ataków obejmują kradzież klucza API lub tokenu, przejęcie konta usługowego, eskalację uprawnień, ruch boczny pomiędzy systemami oraz prompt injection, czyli dostarczenie agentowi instrukcji skłaniającej go do ujawnienia danych albo wykonania nieautoryzowanej operacji. Zagrożeniem są również złośliwe lub przejęte serwery MCP, za pomocą których agenty komunikują się z narzędziami. Przykładem jest podatność CVE-2025-6514 w komponencie mcp-remote, która umożliwiała wykonanie kodu podczas procesu autoryzacji OAuth.
Nie zawsze potrzebny jest jednak zewnętrzny atakujący. Agent może spowodować szkody, działając zgodnie z posiadanymi uprawnieniami, ale niezgodnie z intencją właściciela. W materiale Silverfort opisano asystenta, który po otrzymaniu pełnego dostępu do Outlooka usunął kalendarz zespołu, oraz agenta podsumowującego spotkania, który rozpoczął indeksowanie poufnych folderów HR.
Na początku drogi z AI organizacje często postrzegają pierwszego agenta jako niewielki pilotaż. Zazwyczaj testy trafiają w ręce działów biznesowych, na korytarzu wieść się niesie i po udanych testach kolejne zespoły mają pomysły na asystentów i automatyzacje. Liczba agentów, a co za tym idzie kont technicznych i połączeń może wtedy rosnąć lawinowo, a wraz z nią powierzchnia ataku i częstotliwość prób nadużycia.
Jak zatem je zwalczać?
Oczywiście nie wyposażymy agenta w telefon, ale to nie znaczy, że nasz system ochrony tożsamości nie może traktować agenta AI jak pełnoprawną tożsamość. Platforma Silverfort automatycznie wykrywa agentów m.in. w Azure AI Foundry, Microsoft Copilot Studio, AWS Bedrock i Google Vertex AI, a następnie mapuje łańcuch tożsamości: Agenta, jego ludzkiego właściciela oraz wykorzystywane tożsamości nieludzkie. Moduł AI Security Posture Management (AI-SPM) porównuje przyznane uprawnienia z rzeczywistą aktywnością, analizując odchylenia od tradycyjnych wzorców zachowania, wskazując konta nieużywane lub nadmiernie uprzywilejowane. Ostatnim elementem jest kontrola w czasie rzeczywistym wtedy, kiedy Agent wykonuje konkretne działanie. Natywne integracje oraz MCP Gateway umożliwiają zatrzymanie nieautoryzowanej operacji, zanim dostęp do danych zamieni się w incydent. O ile wyrażenie „incydent” brzmi w miarę niewinnie, to szkody za nim się kryjące mogą przynieść opłakane skutki.
Otaczający nas świat IT zmienia się w zawrotnym tempie już od dekad. Horyzonty stale się poszerzają, bo kto jeszcze kilka lat temu by pomyślał, że dzisiejszym realnym tematem w szkołach może być pisanie wypracowań przez nasze dzieci za pomocą AI. W tym rozwoju odnajdują się nie tylko nasze pociechy i firmy, w których pracujemy, ale także hakerzy na co dzień testujący kolejne, zaawansowane sposoby na infiltrację tożsamości, a idąc dalej systemów organizacji na całym świecie. Ważne jest zatem by nie pozostawać im dłużnym i wyprzedzać zagrożenia chociaż o ten jeden krok.
Porozmawiaj z ekspertem ISCG o ochronie kont agentowych: https://outlook.office.com/book/KonsultacjaSilverfort@ISCG.onmicrosoft.com/?ismsaljsauthenabled
