- 研究人员发现 ServiceNow Now Assist AI 代理中存在二阶提示注入漏洞，由高风险默认配置导致。
- 攻击者可操纵代理间协作以窃取数据、修改记录或提升权限且不被察觉。
- 安全专家警告称，AI 代理引入了新的攻击向量，并敦促组织审查配置并加强控制。
ServiceNow的Now Assist平台中的新漏洞允许恶意行为者操纵其AI代理执行未经授权的操作，SaaS安全公司AppOmni对此进行了详细说明。
AppOmni SaaS安全主管Aaron Costello表示，该软件中启用代理相互发现和协作的默认配置可以被武器化，以发起远超单个恶意输入的提示注入攻击。
该漏洞允许对手在代理稍后读取的数据字段中植入隐藏指令，这可能会悄悄招募同一ServiceNow团队中的其他代理帮助，引发连锁反应，导致数据盗窃或权限提升。
Costello将这种情况解释为“二阶提示注入”，即当AI处理来自系统另一部分的信息时，攻击就会出现。
“这一发现令人担忧，因为它不是AI中的错误；它是某些默认配置选项所定义的行为，”他在AppOmni的博客 发布 星期三。
ServiceNow Assist AI代理面临协调攻击
根据博客中引用的Costello的调查，许多部署Now Assist的组织可能不知道他们的代理被分组为团队，并设置为自动相互发现以执行看似“无害的任务”，这可能会扩展为协调攻击。
“当代理可以相互发现和招募时，一个无害的请求可能会悄悄变成攻击，犯罪分子窃取敏感数据或获得对公司内部系统的更多访问权限，”他说。
Now Assist的卖点之一是它能够在没有开发人员输入的情况下协调代理，将它们合并到单个工作流中。这种架构允许具有不同专业知识的多个代理协作，如果其中一个无法单独完成任务。
为了在幕后协同工作，该平台需要三个要素。首先，底层大语言模型必须支持代理发现，这一功能已集成到默认的Now LLM和 Azure OpenAI LLM.
中。其次，代理必须属于同一个团队，这在将它们部署到默认虚拟代理体验或Now Assist开发面板等环境时会自动发生。最后，代理必须被标记为“可发现”，这在它们发布到频道时也会自动发生。
一旦满足这些条件，AiA ReAct引擎会在代理之间路由信息和委派任务，就像经理指挥下属一样。同时，协调器执行发现功能并确定哪个代理最适合承担任务。
它仅在团队内的可发现代理中搜索，有时甚至超过管理员的意识。当任何代理被配置为读取不由发起请求的用户直接提交的数据时，这种互连架构就会变得脆弱。
“当代理稍后在正常操作过程中处理数据时，它可能会不知不觉地招募其他代理执行诸如复制敏感数据、更改记录或提升访问级别等功能，”Costello总结道。
AI 代理攻击可提升权限以入侵账户
AppOmni 发现，Now Assist 代理继承权限，并以启动工作流的用户身份行事。低级攻击者可以植入有害提示，该提示会在更高级别员工的工作流中被激活，从而在从未入侵其账户的情况下获得访问权限。
“由于 AI 代理通过决策链和协作进行操作，注入的提示可以深入到企业系统中，超出管理员的预期，”AppOmni 的分析指出。
AppOmni 表示，攻击者可以将看似无害的任务重定向到未经训练的代理，但一旦其他代理通过其专业能力放大指令，这些任务就会变得有害。
该公司警告称，这种动态为对手提供了在不引起怀疑的情况下窃取数据的机会。“如果组织不仔细检查其配置，他们可能已经处于风险之中，”Costello 重申道。
LLM 开发人员 Perplexity，在 11 月初的一篇博客文章中称，新颖的攻击向量扩大了潜在利用的范围。
“几十年来，我们第一次看到可能来自任何地方的新颖攻击向量，”该公司写道。
NeuralTrust 的软件工程师 Marti Jorda Roca 表示，公众必须明白，“在安全方面使用 AI 存在特定的危险。”
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
Florence Muchai
Florence 过去 6 年一直报道加密货币、游戏、科技和人工智能新闻。她在梅鲁科技大学修读计算机研究，并在马林加莫伊科学与技术大学学习灾害管理与国际外交，这些经历充分赋予她语言、观察和技术技能。Florence 曾在 VAP Group 工作，并担任多家加密货币媒体的编辑。
