Un contractor al firmei de consultanță Accenture a provocat la începutul acestui an un incident de securitate la Pentagon după ce a conectat un sistem securizat al Departamentului Apărării din SUA la contul său personal Claude Code. Agentul AI a rulat neautorizat timp de două luni pe rețeaua DOD înainte să fie identificat și înainte ca vulnerabilitatea să fie remediată, potrivit Wired.
Sistemul era unul centralizat, folosit de mai multe agenții de informații, iar sursele citate de Wired susțin că agentul AI ar fi trimis în afara rețelei informații despre mediul DOD, inclusiv acreditările de conectare ale contractorului, parole și o hartă a rețelei Non-classified Internet Protocol Router Network, NIPRNet.
O sursă anonimă care cunoștea incidentul a descris astfel riscul: „Pune în pericol toate datele de acolo. (…) Dacă software-ul terț a fost compromis, ar putea exista cineva capabil să se conecteze într-un mediu securizat fără ca nimeni să știe. Este o amenințare de 100% la adresa securității naționale și ar putea provoca daune ireparabile.”
Incidentul a pornit de la legarea unui cont personal de AI la un mediu securizat de producție
Potrivit Wired, angajatul Accenture ar fi conectat mediul securizat de producție la contul său personal pentru a lăsa agentul AI să scrie cod și să îl implementeze. Pentru a automatiza scrierea codului și pornirea serverelor cloud, contractorul i-ar fi dat agentului propriile date de autentificare, ceea ce i-a oferit acces administrativ și i-a permis să ocolească filtrele de securitate folosite la o autentificare obișnuită.
Agentul AI nu s-ar fi limitat la sugestii de cod. El ar fi scris cod, l-ar fi salvat în sistem și ar fi făcut operațiuni în numele angajatului Accenture. Pentru aceste sarcini, agentul avea nevoie și de acces la internet.
Compania Anthropic, care dezvoltă AI Claude, a trimis presa către politica sa de utilizare, care interzice folosirea produselor sale pentru a interfera cu baze militare și infrastructura asociată sau pentru a ocoli controale de securitate fără autorizație. În plus, folosirea asistentului AI Claude este interzisă în prezent pentru personalul DOD.
Rețeaua vizată transportă informații neclasificate, dar sensibile
Rețeaua pe care a rulat agentul este NIPRNet, infrastructura DOD folosită pentru informații neclasificate. Ea este conectată la internet, astfel încât angajații și contractorii să își poată accesa emailul și browserul, dar are măsuri puternice de securitate.
Sistemul accesat conține Informații Neclasificate Controlate, CUI, adică date sensibile care nu pot fi făcute publice fără verificare prealabilă. În această categorie pot intra informații despre infrastructura critică, propulsia submarinelor nucleare sau vulnerabilități legate de terorismul chimic și biologic.
Matt Triner, fondatorul Hunter Strategy, a explicat de ce până și o hartă a rețelei poate conta pentru un atacator: „Odată ce un atacator înțelege cum se îmbină aceste lucruri, chiar dacă sunt informații publice, ceea ce este sensibil este modul în care le punem împreună și le transformăm în informații acționabile. (…) ajută un atacator să înțeleagă unde sunt bijuteriile coroanei.”
Jake Williams, fost hacker NSA și cadru didactic la IANS, a avertizat că problema nu se oprește la datele luate separat: „Când aceste informații neclasificate sunt agregate, ele pot deveni clasificate la rândul lor.”
Risc major apare dacă un atacator folosește accesul în NIPRNet ca punct de intrare
Potrivit Wired, un site terț către care agentul AI ar fi trimis datele a fost clasificat de Institutul Național de Standarde și Tehnologie, NIST, drept cu risc ridicat, din cauza unei vulnerabilități de „prompt injection”. Acest tip de breșă permite injectarea de instrucțiuni într-un agent AI pentru a-i fura acreditările.
Wired nu a publicat numele acelui site, pentru a evita expunerea suplimentară a sistemului. Potrivit publicației, nu se știe ce s-a întâmplat ulterior cu informațiile trimise acolo, inclusiv cu acreditările de conectare, sau dacă site-ul le-a păstrat. Riscul descris de specialiști este însă clar: dacă acele acreditări au ieșit din NIPRNet, un atacator ar putea intra în rețea și ar putea introduce o portiță ascunsă într-un instrument sau într-un sistem testat acolo.
Asta contează fiindcă unele instrumente și bucăți de cod sunt testate în NIPRNet înainte să ajungă în rețele mai sensibile, precum SIPRNet și JWICS, infrastructuri izolate de restul internetului și folosite pentru informații clasificate și top secret. Jake Williams a spus că un astfel de scenariu este posibil: „Codul ar putea funcționa complet normal în NIPR și ar putea face ceva rău intenționat și nedeclarat într-o rețea SIPR, acest lucru este 100% posibil.”
Jake Williams consideră că scenariul cel mai probabil ar fi un atac de tip distributed denial of service. Matt Triner menționează și posibilitatea încetinirii operațiunilor de informații.
El a mai explicat că testele automate de securitate pentru cod, cunoscute ca Static Application Security Testing, caută erori și vulnerabilități înainte de rulare, dar o portiță introdusă deliberat poate trece neobservată tocmai pentru că nu arată ca o vulnerabilitate clasică.
Obligația de raportare era de 72 de ore, dar sursele spun că breșa nu a fost anunțată inițial
Sursele citate de Wired spun că agentul AI a rămas pe rețeaua DOD două luni și că angajații Accenture nu ar fi tratat incidentul ca pe unul sever sau urgent. Aceleași surse susțin că Accenture nu a raportat inițial breșa guvernului, deși angajații DOD și contractorii federali trebuie să anunțe orice incident de securitate cibernetică în cel mult 72 de ore de la descoperire.
Un alt angajat Accenture, citat anonim, a rezumat astfel momentul în care a apărut incidentul: „Suntem într-un conflict cu Iranul în acest moment. (…) Este cel mai prost moment pentru a avea o astfel de atitudine superficială.”
Matt Triner, fondator Hunter Strategy, a spus că presiunea din contractele publice merge adesea împotriva raportării rapide: „Organizațiile sunt adesea pedepsite pentru raportarea unor astfel de incidente, deși este un lucru corect și legal de făcut.” El a adăugat, potrivit Wired, că un caz de tipul celui descris este unul care trebuie raportat.
Accenture respinge acuzațiile, iar Pentagonul nu comentează starea sistemelor sale
Purtătorul de cuvânt al Departamentului Apărării a transmis poziția oficială a instituției: „Departamentul nu comentează cu privire la starea rețelelor sau sistemelor sale.”
Din partea Accenture, reacția oficială a fost aceasta: „Luăm în serios toate îngrijorările. Aceste acuzații au fost investigate în mod riguros și independent și s-au dovedit a fi nefondate. Ne-am respectat pe deplin obligațiile legale și contractuale.”
Wired notează că, după această poziție, compania nu a clarificat cine ar fi făcut investigația invocată și nici nu a contestat în mod direct existența unui episod care să poată fi descris drept incident.
Contextul devine mai sensibil și prin dimensiunea contractelor Accenture cu statul american
Accenture are contracte de peste 3,5 miliarde de dolari cu guvernul federal american, dintre care aproape 605 milioane de dolari sunt cu DOD, potrivit Wired.
Tot în octombrie, FBI a îndepărtat un alt contractor Accenture după ce o vulnerabilitate neremediată a permis grupului ShinyHunters să obțină acces la datele a mii de angajați ai Biroului. În paralel, presiunea pentru raportarea obligatorie a incidentelor legate de AI a crescut la Washington, pe fondul folosirii tot mai frecvente a inteligenței artificiale pentru scriere automată de cod.
În cazul de față, Wired precizează că nu există indicii că hackeri ar fi intrat într-o rețea clasificată sau top secret. Avertismentul specialiștilor vizează însă valoarea acreditărilor, a hărții rețelei și a codului care poate fi mutat mai departe în sisteme mai sensibile.
