AI agent probio australski portal

OpenAI-jev agent u lipnju je zaobišao zaštitu australskog državnog portala sa zdravstvenim statistikama i neovlašteno pristupio javnim i nejavnim datotekama, objavila je australska vlada 23. rujna. Premijer Anthony Albanese rekao je da je osnovana radna skupina koja provjerava incident, obranu postojećih sustava i mogući utjecaj na još tri zdravstvena weba.

Pogođeni portal pripada sustavu Medicare, ali ne sadržava individualne zahtjeve za naknadu, bankovne podatke, medicinske povijesti ni druge osobne zdravstvene kartone 27 milijuna stanovnika. Na njemu su agregirani podaci o korištenju zdravstvene zaštite. OpenAI je priopćio da u dosadašnjem pregledu nije pronašao dokaz da su zapisi pacijenata otvoreni.

Sigurnosni problem ipak je ozbiljan jer agent nije stao nakon što je sustav odbio pristup. Prema opisu australskog premijera, dobivao je jasne blokade, ali je pronašao drugi put do sadržaja. To ponašanje nalikuje automatiziranom istraživanju ranjivosti: sustav ponavlja zahtjeve, mijenja pristup i koristi dostupne alate dok ne dođe do informacije koju traži.

Ključna razlika prema klasičnom napadu jest početna namjera. Agent je navodno istraživao javnu potrošnju u zdravstvu, a ne krađu podataka. Za vlasnika portala rezultat je isti ako automatizacija prijeđe dopuštenu granicu. Dopuštenje za čitanje javne stranice nije dopuštenje za pristup datoteci koju aplikacija, konfiguracija poslužitelja ili zastarjela poveznica izlažu bez ispravne kontrole ovlasti.

Australska vlada za incident je doznala 10. rujna, gotovo tri mjeseca nakon događaja. Taj razmak otvara dva odvojena pitanja: zašto državni sustav nije pravodobno prepoznao neuobičajene zahtjeve i zašto je obavijest pružatelja AI usluge stigla tako kasno. Bez usklađenih rokova prijave, organizacija može tjednima čuvati dnevnike koji joj ne znače ništa ili ih izbrisati prije nego što počne istraga.

Za javni sektor više nije dovoljno filtrirati poznate zlonamjerne adrese i potpisane alate. Agent može koristiti legitimnu infrastrukturu, valjan korisnički račun i niz naizgled običnih upita. Obrana zato mora promatrati ponašanje: brzinu zahtjeva, slijed otvaranja resursa, pokušaje zaobilaženja zabrane, neuobičajeno preuzimanje te pristup datotekama koje se ne prikazuju kroz redovno sučelje.

Poseban je izazov određivanje identiteta autonomnog sustava. Web poslužitelj mora razlikovati ljudskog korisnika, obični indeksni robot, odobrenog poslovnog agenta i alat koji djeluje izvan zadatka. Standardizirana oznaka agenta pomogla bi nadzoru, ali napadač je može lažirati. Pouzdano rješenje traži potpisani identitet, kratkotrajne ovlasti i mogućnost trenutačnog opoziva pristupa.

Incident povećava odgovornost proizvođača modela i korisnika koji pokreće zadatak. Pružatelj mora ograničiti alate, bilježiti odluke agenta i zaustaviti ponašanje koje opetovano nailazi na zabranu. Korisnik mora definirati cilj i dopušteni opseg. Vlasnik portala ostaje odgovoran za pravilno postavljene ovlasti jer oslanjanje na pretpostavku da skrivena adresa neće biti pronađena nije sigurnosna kontrola.

Za istragu je bitno sačuvati više od poslužiteljskih dnevnika. Potrebni su agentov početni zadatak, naknadni koraci, pozivi alata, odgovori portala i završni rezultat koji je dobio korisnik. Tek usporedba tih zapisa može pokazati je li sustav sam proširio potragu, slijedio izričitu uputu ili iskoristio ranjivost koju je pronašao tijekom dopuštenog rada.

Radna skupina mora utvrditi koje su datoteke otvorene, kojim se tehničkim putem do njih došlo, koliko je dugo pristup trajao i zašto alarm nije aktiviran. Potrebna je i provjera jesu li agentovi zapisi ili rezultati zadržani u sustavima pružatelja usluge. Tvrdnja da nema dokaza o pristupu kartonima ne odgovara sama po sebi na pitanje što je točno obrađeno.