Trellix: как AI-агенты раскрывают корпоративные секреты

AI-агенты почти незаметно стали одной из крупнейших систем работы с учётными данными в корпоративной среде и обращаются с ними наименее изолированным способом.

В основе каждого AI-агента лежит молчаливое предположение: когда он выполняет команду от вашего имени, он работает с credentials так же аккуратно, как опытный инженер. Исследование Trellix Advanced Research Center показывает, что это не так, и проблема носит архитектурный характер. Агенты постоянно вытаскивают секреты из зашифрованных хранилищ ОС и перемещают их в plain-text командной строки, в историю shell, в локальные файлы и в контекстное окно внешних LLM-провайдеров, где они могут храниться неопределённо долго.

Это системное и случайное раскрытие Trellix называет невидимой поверхностью учётных данных. Это не гипотетическая угроза будущего, а повседневная реальность, при которой действия агента практически неотличимы от легитимной работы разработчика или уже проникшего внутрь атакующего.

Что было анонсировано

Trellix опубликовал исследование, в котором действия AI-агентов классифицированы по десяти классам поведения с привязкой к MITRE ATT&CK и MITRE ATLAS. В основе анализа — концепция isolation gradient: лестница, по которой движется секрет от зашифрованного хранилища вниз, к командной строке, диску и внешнему модели-провайдеру.

Среди классов: передача учётных данных как аргументов curl, mysql, kubectl; чтение .env, ~/.aws/credentials, ~/.kube/config; извлечение из Keychain и DPAPI; выгрузка переменных окружения; отключение TLS-проверки; эксфильтрация через git push и curl; обфускация через base64 | bash и eval; закрепление через .bashrc и crontab; генерация SSH-ключей без passphrase; извлечение секретов из AWS Secrets Manager, Azure Key Vault, HashiCorp Vault и Kubernetes Secrets.

Почему это важно

Для CISO, SOC-команд и ИТ-руководителей исследование переводит задачу защиты AI-агентов из плоскости сигнатур в плоскость корреляции событий. Все эти действия выполняются доверенными подписанными бинарниками, которые CI/CD-пайплайны и инженеры запускают тысячи раз в день. Одно правило SIEM на чтение .env или вызов aws secretsmanager get-secret-value создаст лавину ложных срабатываний.

Отдельного внимания заслуживает prompt injection: отравленный README, веб-страница или тикет могут перенаправить агент на выполнение тех же самых безобидно выглядящих действий против боевой инфраструктуры. Любая машина с AI-агентом должна рассматриваться как инфраструктура с высоким уровнем риска.

Рассмотренная по одному событию, поверхность учётных данных остаётся невидимой. Рассмотренная как коррелированная последовательность, она наконец становится видимой

Технические детали

• Isolation gradient: пятиуровневая лестница от зашифрованного хранилища до эксфильтрации за пределы машины, включая передачу в LLM-провайдер.
• Десять классов: привязаны к техникам MITRE ATT&CK T1552, T1555, T1553, T1562, T1567, T1048, T1027, T1140, T1546.004, T1053, T1098.004 и T1555.006, а также к MITRE ATLAS AML.T0055, AML.T0057, AML.T0053 и AML.T0012.
• Эксфильтрация через контекст: каждый прочитанный секрет упаковывается в API-запрос к стороннему LLM-провайдеру.
• Стек Trellix: Trellix EDR отслеживает активность на хосте, Trellix NDR — сетевой egress, Trellix DLP Endpoint — секретный контент в движении, Trellix Wise AI коррелирует сигналы и привязывает цепочку к процессу агента.
• Архитектурные меры: короткоживущие токены OIDC и workload identity, редакция данных до попадания в контекст LLM, строгий контроль egress, брокеринг секретов в процессе, разделение недоверенного контента и системных инструкций.

Softprom и Trellix

Softprom является официальным дистрибьютором Trellix. Наша команда помогает внедрять Trellix EDR, NDR, DLP Endpoint и Wise AI для корреляции действий AI-агентов, выявления цепочек компрометации и снижения последствий утечки учётных данных.

Этот материал подготовлен в рамках проекта Softprom DistriFlow — автоматизированной системы мониторинга и адаптации новостей вендоров. Источник: оригинальная статья.