CERT-In：AI代理测试失控闯入真实系统

AI代理在测试中跑进了真实系统，读走了业务记录。印度国家网络机构CERT-In在10月15日发布的公告里确认了这件事。

被测试的AI代理越过了分配给它们的任务边界，访问了印度机构的在线系统，读取的内容包括个人数据和机密材料。没有一家机构自己发现了这次未授权访问。AI公司做完内部审查后，主动向CERT-In报告了这些案例。

AI代理是能自主规划工作、执行命令、调用工具、在互联网上长时间行动的系统。它们进入真实系统的路径并不复杂：应用配置和公开代码仓库里暴露的凭证与连接设置，以及权限过大的云服务角色。

CERT-In没有点名涉事的AI公司、模型，也没有说明涉及哪些机构、哪个行业。报告了多少家公司、影响了多少家机构，同样没有披露，只说报告是近期收到的。代理读到的数据是否被复制或留存、受影响机构是否已被告知，公告里也没有答案。

另一条线：攻击者拿开源AI代理框架打金融目标

CERT-In自己的威胁狩猎发现了另一批独立事件：一场针对印度实体的、以金钱为目的的攻击活动。攻击者滥用的是公开可得的、基于AI代理构建的攻防安全框架。

这些框架持续被滥用、被改名换姓，在多个国家的基础设施上有大量部署。CERT-In没有公布框架名称，也没有公布攻击者身份。

在这轮攻击里，从首次访问到造成最终影响的时间，被压缩到了几个小时。攻击者并行运行多个代理，持续数小时到数天推进目标。只做了部分修复的受害者，几天内就会遭到规模更大的二次攻击。

谷歌威胁情报团队9月报告了另一起案例：攻击者先拿下云资源，然后规划、搭建并运行了一场代理驱动的行动，在不到6小时内收割了数千个第三方凭证。

10月9日，CERT-In曾就针对非银行金融公司、数字贷款机构、金融科技公司、支付服务商和钱包运营商的攻击发出警告。那些案例中，攻击者窃取API凭证，直接调用转账和放款API，把钱转进钱骡账户。AI辅助工具可能被用于这些攻击。这些攻击是否与10月15日公告中的活动相关，CERT-In没有说明。

CERT-In要求修的东西，全是老毛病

CERT-In说，两类事件背后的弱点都很普通：凭证和密钥暴露在源代码、公开仓库历史、配置文件、客户端应用和公开网页里；旧的、没用的、测试用的API仍然可以从互联网访问。

支付API密钥以明文存储；云和后端即服务角色给了普通用户甚至匿名用户宽泛的读写权限；管理界面暴露在互联网上；应用中间件没有打补丁，凭证强度弱，或者根本没有多因素认证。

在AI公司报告的案例中，代理找到了同一个暴露的凭证，并在不同的操作中重复使用。

CERT-In没有为这两类事件发布入侵指标。机构应当参照其5月发布的基线蓝图，并执行以下动作：

• 在源代码、提交历史、CI/CD变量、配置文件、客户端应用和云存储中搜索暴露的凭证。找到就轮换，从历史中清除，并从外部确认修复生效。
• 对每次提交和构建做密钥扫描，把凭证挡在代码、配置文件和数据库之外。
• 维护完整的API清单，关停旧的、没用的和测试用的API与账号。
• 对云和后端即服务角色应用最小权限，把特权密钥挡在客户端代码之外，测试匿名用户能读写什么。
• 把管理界面从互联网上撤下来，所有管理员访问强制多因素认证，快速修补暴露的中间件。
• 用基于速率的异常检测盯住API，对枚举突发、批量读取和自动注册告警，日志至少保留180天。
• 任何凭证暴露或确认访问之后，在取证检查排除之前，把环境当作已被攻陷处理。修复后重新测试，并预期几天到几周内会有重复尝试。
• 如果运行AI代理，给每次运行单独的、短期的、最小权限的身份，除每次运行需要的目的地外，阻断出站流量。保留代理动作的防篡改日志，至少覆盖接触生产系统和数据的那些。

银行、保险公司、其他金融机构和金融科技公司，还应当执行10月9日公告中列出的支付与放款API措施。CERT-In的规定同时要求机构在6小时内向该机构报告网络事件。

对AI开发者、研究实验室和评估机构，CERT-In要求测试运行必须隔离，出站网络访问默认阻断。这个阻断要在网络层强制执行，而不是靠给模型的指令。如果代理接触了外部系统，或者发现、使用了属于别人的凭证，运行应当自动停止。如果代理进入了真实系统，受影响机构和CERT-In应当被及时告知。

OpenAI和Anthropic今年都披露过类似事件

CERT-In没有说明印度这些案例是否涉及这两家公司的模型。

7月，OpenAI披露其模型攻陷了Hugging Face的平台。它正在审查模型在训练和测试期间在互联网上做了什么，并通知那些安全控制可能被其模型绕过的第三方。

作为回应，Anthropic开始审查自己的网络评估。此后它报告了4起事件：Claude模型在由同一家外部合作伙伴构建的评估中，未授权访问了真实的第三方系统。它已通知所有受影响方。在Anthropic 7月披露涉及的3家机构中，它联系上的2家此前都没有发现这些活动。