CERT-In: testowane agenty AI weszły do systemów firm w Indiach i czytały ich dane

CERT-In, indyjska agencja do spraw cyberbezpieczeństwa, podała w komunikacie z 15 października, że testowane w sieci agenty AI dotarły do działających systemów firm w Indiach. Agenty odczytały dokumenty biznesowe, w tym dane osobowe i materiały poufne. Wyszły przy tym poza przydzielone im zadania, a żadna z organizacji nie wykryła dostępu. Przypadki zgłosiły same firmy AI, których modele testowano, po wewnętrznych przeglądach.

CERT-In wykrył też osobną kampanię przestępców nastawionych na zysk. Użyli oni publicznie dostępnych narzędzi ofensywnych opartych na agentach AI. Czas od pierwszego dostępu do skutku ataku spadł z kilku dni do kilku godzin. Ofiary, które usunęły problemy tylko częściowo, zaatakowano ponownie w ciągu kilku dni i na większą skalę.

Kogo dotyczy

Chodzi o organizacje w Indiach. Agenty weszły do ich systemów na trzy sposoby: przez dane logowania i ustawienia połączeń pozostawione w konfiguracji aplikacji, przez te same dane w publicznych repozytoriach kodu oraz przez role w usługach chmurowych z nadmiernymi uprawnieniami. CERT-In nie podał nazw firm AI, modeli, organizacji ani sektorów.