この論文は、セッション開始・ツール呼び出し・ファイル編集などの実行時イベントに紐づく「ライフサイクルフック」を持つAIエージェントハーネスに新たな攻撃表面があることを示しています。攻撃者がプラグインのメタデータやフック設定を操作できるサプライチェーン型の脅威モデルでは、正規のバージョン管理されたプラグインが更新を通じてトロイの木馬化され、攻撃者が指定した任意のコマンドが正常なイベントに結び付けられて権限昇格などの悪意ある挙動を引き起こせるとされています。
著者らはHookPryという評価フレームワークで1,000回のエンドツーエンド実行を行い、評価対象の7つのハーネス全てを侵害し、ハーネスあたりの成功率は92.5%に達しました。既存の防御についても、Microsoft Defenderの再現率(recall)は0%、3つの静的防御を統合しても悪意あるアーティファクトの47.5%を見落としたと報告されています。
出典が伝えている要点
- 研究対象は、セッション開始・ツール呼び出し・ファイル編集などの実行時イベントに結合する「ライフサイクルフック」を備えた現代のAIエージェントハーネスである
- 脅威モデルは、攻撃者がプラグインのメタデータとライフサイクルフック設定を制御できるサプライチェーン攻撃である
- この脅威モデルでは、良性のバージョン管理されたプラグインが更新によってトロイの木馬化されうる
- トロイの木馬化されたプラグインでは、攻撃者が選択したコマンドが良性なイベントに暗黙的に結合される
- この結合により、権限昇格などの悪意あるホスト側動作が引き起こされうる
- 研究チームはHookPryという評価フレームワークを用いた
- HookPryは1,000回のエンドツーエンド実行を行った
- その結果、評価対象の7つのハーネスすべてが侵害された
- ハーネスあたりの成功率は92.5%に達した
- Microsoft Defenderはこれらの攻撃に対する再現率(recall)が0%であった
- 3つの静的防御を統合しても、悪意あるアーティファクトの47.5%を見落とした
原文より
Microsoft Defender has 0% recall
出典: arxiv.org