Vulnerabilità in Google ADK Rivelate, Attacco Agent-to-Agent Rivelato

Google ADK Rivelato Vulnerabile a Attacco Agent-to-Agent

Un team di ricerca ha scoperto una vulnerabilità nel Google ADK (Agent Development Kit) per Python, che potrebbe permettere a un attacco agent-to-agent di esporre segreti e manipolare le richieste di pull (PR). L’attacco sfrutta due classi di agenti automatizzati: quelli a basso privilegio, accessibili agli utenti, e quelli ad alto privilegio, accessibili solo ai mantenersi. L’attacco permette a un attore malintenzionato di passare un prompt a un agente privilegiato, ottenendo accesso a funzionalità riservate, inclusa l’esecuzione di comandi e potenziale compromissione della catena di fornitura.

Il meccanismo dell’attacco inizia con un agente a basso privilegio che riceve un prompt malevolo, che viene poi passato a un agente ad alto privilegio. Questo processo permette all’attore di ottenere accesso al token GitHub, utilizzato per impersonare altri utenti e modificare commenti, PR e issue. L’attacco può anche manipolare il ciclo di approvazione delle PR, creando una traccia fittizia di approvazione da parte di un umano, senza che nessuna azione effettiva sia stata compiuta. Il potenziale danno è significativo, ma richiede un certo livello di social engineering per ottenere l’approvazione finale.

Risposta di Google e Altri Vulnerabilità Rivelate

Google ha ricevuto la segnalazione nel mese di giugno e ha risposto con un patch nel mese di luglio. Tuttavia, l’azienda non ha considerato la vulnerabilità idonea per un premio del bug bounty, poiché richiedeva un’interazione umana per completare l’attacco. In seguito, Pillar Security ha scoperto un’altra vulnerabilità nel repository ADK, che potrebbe permettere l’esecuzione di codice remoto senza intervento dei mantenersi. Questo ulteriore problema è stato risolto con un patch nel mese di luglio.

La scoperta ha suscitato preoccupazioni nella comunità di sicurezza, in quanto l’attacco agent-to-agent rappresenta un rischio significativo per i repository GitHub. La manipolazione delle PR e l’accesso a token sensibili potrebbero portare a compromissioni di dati e operazioni non autorizzate. La vulnerabilità ha messo in luce la necessità di un maggiore controllo e monitoraggio dei sistemi automatizzati, specialmente quelli che gestiscono operazioni critiche come l’approvazione di PR.

Il meccanismo dell’attacco si basa sull’uso di prompt ingannevoli per far agire l’agente in modo non autorizzato. L’attore potrebbe aprire una PR con codice dannoso, che viene successivamente marcatà come triaged, review e approvata da un agente. Questo crea una traccia fittizia di approvazione, senza che nessuna azione effettiva sia stata compiuta. L’attacco sfrutta la capacità dell’agente di impersonare utenti e modificare commenti e PR, sfruttando il token GitHub estratto attraverso un attacco di esecuzione di codice remoto.

La scoperta ha anche evidenziato la complessità dei sistemi automatizzati e la necessità di un approccio più rigoroso alla sicurezza. L’attacco agent-to-agent rappresenta un rischio reale per i progetti open source e per le aziende che utilizzano repository GitHub per la gestione del codice. La comunità di sicurezza sta già discutendo le implicazioni di questa scoperta e come migliorare la protezione dei sistemi di automazione.