Tensorlake-angrepet viser risikoen i verktøyene rundt KI-agenter

Kort forklart: En ondsinnet utgave av Tensorlakes npm-pakke kunne stjele tilgangsnøkler under installasjonen, før en KI-agent ble startet. Utgaven som ble omtalt 8. oktober, er [email protected].

Hva er Tensorlake?

Tensorlake leverer infrastruktur for KI-agenter, blant annet isolerte miljøer kalt sandkasser. Der kan agenten kjøre kode atskilt fra miljøet som selve applikasjonen bruker.

Utviklere kobler applikasjonen til tjenesten med et SDK, et sett med ferdig programkode. npm er en tjeneste for distribusjon av slike pakker til JavaScript- og TypeScript-prosjekter. Pakken utvikleren installerer, og sandkassen den kobler seg til, er to forskjellige deler av løsningen.

Angrepet startet under installasjonen

Socket fant skadevare som ble startet av et installasjonsskript der slike skript var tillatt. Analysen beskriver tyveri av tilgangsnøkler og mekanismer for å beholde tilgangen.

Tilgangsnøkler lar programvare logge inn på andre tjenester. En stjålet nøkkel kan derfor gi tilgang til mer enn maskinen den ble hentet fra. Det avhenger av hvilke rettigheter nøkkelen har.

Også GitHubs sikkerhetsvarsel identifiserer skadevare i pakken. Varselet presiserer at det å fjerne pakken ikke nødvendigvis fjerner annen skadevare den har lagt igjen.

Hvorfor sandkassen ikke dekker alt

En sandkasse begrenser kode som kjører inni den. Programvare som installeres et annet sted, får ikke automatisk de samme begrensningene. Å installere en applikasjon på en bærbar PC og å kjøre en oppgave i en skytjeneste er to ulike hendelser.

For norske virksomheter som utvikler KI-applikasjoner, illustrerer saken at agenten og utviklingsverktøyene trenger hver sin sikkerhetsvurdering. Her handler det om en programvarepakke i løsningen, ikke om en KI-modell som selv bestemte seg for å angripe.

Artikkelen om testing av grensene rundt KI-agenter forklarer den separate utfordringen med å holde agenten innenfor miljøet den skal bruke.