Több mint 1,7 millió letöltést ért el a kártékony AI-képességeket terjesztő kampány

A Zenity Labs kutatói egy kártékony kampányt fedeztek fel a skills.sh oldalon, ahol AI-ügynökök számára készült kiegészítőket, úgynevezett „képességeket” (skills) osztanak meg. A támadók ismert, legális képességeket klónoztak le, és ezekre építve terjesztettek kártékony változatokat. Az egyik ilyen kártékony képességcsalád összesen több mint 1,7 millió letöltést ért el, bár a Zenity Labs hangsúlyozza, hogy ez az összesített szám, nem az egyedi áldozatokét jelenti. A kutatók a Black Hat konferencián mutatták be eredményeiket. (TNW)

Hogyan működött a támadás

A támadás lényege a türelem volt: a hamis képességek kezdetben tisztának tűntek, így építhették bizalmukat és növelhették a letöltésszámot. Később csúsztatták be a kártékony utasításokat, amelyek arra szólították fel az AI-ügynököket, hogy gyűjtsék össze a géphez tartozó SSH kulcsokat, felhőbeli belépési adatokat, adatbázis-loginokat és hozzáférési tokeneket. Ezeket az adatokat aztán a támadók szervereire küldték.

Az ügynökök fegyverré válása

Ez a módszer különbözik az átlagos ellátási lánc támadásoktól. Egy „skill” csupán utasításokat tartalmaz, az ügynök pedig arra lett tervezve, hogy kövesse az utasításokat. Így az az engedelmesség, ami az ügynököket hasznossá teszi, egyben a támadási felületet is jelenti. A veszélyes képességek több mint 30%-a kihasználta a Claude Code és az OpenClaw eszközeit malware terjesztésére. Néhány képesség még tovább ment, és önmentesítési mechanizmusokat is tartalmazott: átírta saját rendszer-promptját, hogy törlés esetén is újratelepítse magát. Más képességek csendben eltávolították a Claude beépített képességkészítőjét, és egy másolatot helyeztek a helyére, a felhasználó tudta nélkül.

Jövőbeli támadások előkészítése

A Zenity Labs több száz üres, lefoglalt csomagnévre is bukkant, amelyeket a jövőbeli támadásokhoz készítettek elő. A kutatás közzététele után a Vercel és a Microsoft GitHubja 12 órán belül eltávolította a sértő képességeket és adattárakat. A rossz hír azonban, hogy a lemásolt utasítások maradványai lehetséges, hogy downstream adattárakban vagy gépeken maradnak. Azoknak, akik már telepítették az érintett képességeket, manuálisan kell eltávolítaniuk azokat.

Az ellátási lánc új értelmezése

Ez az eset kiszélesíti az „ellátási lánc” fogalmát. Egy AI-ügynök esetében ez már nem csak kódkönyvtárakat jelent, hanem képességeket, eszközöket, szervereket és bármilyen weboldalt, amelyet olvas. Mindegyik hely lehet egy olyan utasítás elrejtésére, amely az ügynököt a felhasználója ellen fordítja. A Zenity Labs ingyenes sandbox eszközt, az AI Totalt kínálja, amellyel biztonságosan elemezhetők a képességek. A cég CTO-ja, Michael Bargury szerint a legveszélyesebb képességek addig tűnnek ártalmatlannak, amíg futnak.