Ta strona używa plików cookies, aby zapewnić najlepszą jakość korzystania z naszego serwisu oraz do celów analitycznych. Klikając "Akceptuję", wyrażasz zgodę na używanie wszystkich plików cookies. Możesz również odrzucić zgodę, co spowoduje zablokowanie plików cookies analitycznych. Więcej informacji znajdziesz w naszej Polityce Prywatności.
Osobisty agent AI konsultanta miał uzyskać dostęp do sieci Pentagonu
Agent Claude Code miał zostać połączony z osobistym kontem pracownika Accenture działającego w sieci NIPRNet.
Według źródeł agent wysłał na zewnętrzny serwis dane logowania, hasła oraz mapę środowiska sieciowego.
Nie ma informacji, by napastnicy uzyskali dostęp do systemów niejawnych, ale skradzione dane mogły ułatwić dalsze działania.
Accenture twierdzi, że zarzuty zostały zbadane i uznane za bezpodstawne, a firma wypełniła obowiązki prawne i kontraktowe.
Sponsorowane
Odkryj rewolucyjną metodę nauki języków
Sprawdź jak w 30 dni opanować podstawy dowolnego języka obcego bez wychodzenia z domu.
Osobisty agent Claude Code, narzędzie Anthropic przeznaczone do pracy z kodem, miał przez około dwa miesiące działać w zabezpieczonym środowisku Departamentu Obrony Stanów Zjednoczonych. Jak wynika z informacji zebranych przez WIRED, pracownik firmy Accenture połączył produkcyjny system resortu z własnym kontem Claude, aby agent mógł samodzielnie pisać i wdrażać kod. Według źródeł agent wysłał następnie na zewnętrzny serwis dane dotyczące środowiska, w tym dane logowania i hasła.
Incydent dotyczył sieci dla informacji nieklasyfikowanych
Środowisko, do którego miał uzyskać dostęp agent, działa w sieci NIPRNet, czyli Non-classified Internet Protocol Router Network. Jest to sieć Departamentu Obrony USA przeznaczona dla informacji, które nie mają formalnej klauzuli tajności, ale nadal wymagają ochrony. Przez NIPRNet pracownicy i wykonawcy mogą korzystać między innymi z poczty elektronicznej oraz przeglądarki. Sieć jest jednak silnie zabezpieczona i służy także do obsługi systemów używanych przez wiele agencji wywiadowczych.
W systemie znajdowały się informacje określane jako Controlled Unclassified Information, w skrócie CUI. Nie są one formalnie sklasyfikowane jako tajne, ale nie powinny opuszczać kontrolowanego środowiska ani być udostępniane publicznie bez odpowiedniego przeglądu. W zależności od agencji i zakresu prac CUI może obejmować dane osobowe, informacje dotyczące kontraktów, szczegóły infrastruktury krytycznej, dokumentację sprzętu wojskowego i kosmicznego, a także dane o zabezpieczeniu materiałów niebezpiecznych.
Słownik artykułu
Pojęcia, które warto znać
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Pracownik Accenture miał podłączyć własne konto Claude do produkcyjnego środowiska Departamentu Obrony.
Agent otrzymał dane logowania, co miało zapewnić mu uprawnienia administracyjne i możliwość wykonywania operacji w systemie.
Podczas pracy agent miał wysłać na zewnętrzny serwis hasła, dane dostępowe oraz mapę środowiska NIPRNet.
Źródła nie wskazują, aby doszło do bezpośredniego włamania do systemów sklasyfikowanych, ale incydent mógł stworzyć drogę do dalszych nadużyć.
Agent dostał uprawnienia wykraczające poza zwykłe logowanie
Według źródeł cytowanych przez WIRED pracownik przekazał agentowi swoje dane logowania, aby zautomatyzować pisanie kodu oraz uruchamianie serwerów w chmurze. Agent nie ograniczał się przy tym do generowania propozycji kodu. Miał także zapisywać kod w systemie i wykonywać operacje w imieniu pracownika. Przekazanie danych uwierzytelniających pozwoliło mu uzyskać dostęp administracyjny oraz ominąć część kontroli, które normalnie były stosowane podczas ręcznego logowania.
Agent musiał łączyć się z internetem, aby realizować powierzone zadania. W trakcie tej komunikacji miał wysłać na zewnętrzny serwis dane logowania pracownika, hasła oraz mapę sieci NIPRNet. WIRED nie ujawnił nazwy serwisu, aby nie zwiększać ryzyka dla opisywanego środowiska. Z materiału wynika jednak, że amerykański National Institute of Standards and Technology wcześniej wskazywał ten serwis jako obarczony wysokim ryzykiem. Podatność miała umożliwiać wstrzykiwanie instrukcji do agenta programistycznego, a następnie wykorzystanie go do kradzieży danych uwierzytelniających.
Nie wiadomo, co stało się z informacjami po ich wysłaniu. Źródło znające sprawę zwracało uwagę, że nie ma pewności, czy dane były przechowywane przez usługę, kto mógł mieć do nich dostęp ani czy zostały później usunięte. Sama mapa środowiska może być cenna dla napastnika, nawet jeśli nie zawiera wszystkich danych potrzebnych do zalogowania. Pokazuje bowiem, jak poszczególne systemy są ze sobą połączone i gdzie mogą znajdować się najważniejsze zasoby.
Dlaczego mapa sieci i kod mogły zwiększyć zagrożenie
Eksperci cytowani przez WIRED podkreślali, że pojedyncze elementy informacji mogą wyglądać niegroźnie, ale ich połączenie może ujawnić znacznie więcej. Lokalizacja określonych materiałów może być objęta kategorią CUI. Podobnie chronione mogą być dane o zabezpieczeniach obiektów, ich podatnościach oraz sposobie komunikacji między systemami. Zestawienie takich informacji pozwala lepiej zrozumieć strukturę środowiska i szybciej znaleźć jego najcenniejsze elementy.
Ryzyko nie ograniczało się do samego wycieku danych. NIPRNet jest środowiskiem, w którym kod i narzędzia mogą być testowane przed przeniesieniem do bardziej wrażliwych sieci, między innymi SIPRNet oraz JWICS. Obie są opisywane jako air gapped, czyli odseparowane od zewnętrznych sieci. Taka izolacja bardzo utrudnia zdalne włamanie, ale nie wyklucza sytuacji, w której złośliwy kod zostanie wcześniej umieszczony w narzędziu, a następnie przeniesiony do bardziej chronionego środowiska.
Jake Williams, były haker NSA i wykładowca firmy konsultingowej IANS, oceniał, że skradzione dane mogłyby ułatwić napastnikowi wejście do NIPRNet i wstawienie tylnej furtki do narzędzia lub systemu. Jeżeli taki kod przeszedłby późniejszy przegląd i trafił do sieci o wyższym poziomie ochrony, mógłby działać normalnie w jednym środowisku, a w innym wykonywać nieujawnione, szkodliwe operacje. Williams wskazywał, że szczególnie trudne byłoby wykrycie kodu zaprojektowanego tak, aby aktywował się dopiero po spełnieniu określonych warunków.
Nie ma informacji, aby w opisanym przypadku napastnicy uzyskali dostęp do SIPRNet, JWICS albo innego systemu zawierającego informacje sklasyfikowane. Eksperci podkreślali jednak, że dostęp do NIPRNet sam w sobie może mieć znaczenie dla bezpieczeństwa narodowego. Potencjalne skutki nie musiałyby polegać na natychmiastowej kradzieży danych. Złośliwy kod mógłby spowalniać działania wywiadowcze, zakłócać pracę narzędzi albo podważać zaufanie użytkowników do systemu. Williams wymieniał także możliwość ataku typu rozproszona odmowa usługi, choć była to ocena potencjalnego scenariusza, a nie opis potwierdzonego działania napastników.
Spór o zgłoszenie incydentu
Agent miał działać w sieci przez około dwa miesiące, zanim problem został wykryty i możliwa była naprawa podatności. Źródła WIRED twierdzą, że pracownicy Accenture nie potraktowali sprawy z należytą pilnością, a firma początkowo nie zgłosiła incydentu administracji. Pracownicy Departamentu Obrony i wykonawcy federalni mają obowiązek zgłaszać incydenty cyberbezpieczeństwa w ciągu 72 godzin od ich wykrycia. W materiale nie przedstawiono jednak pełnej dokumentacji dotyczącej momentu wykrycia problemu ani przebiegu wewnętrznych procedur.
Departament Obrony odmówił komentarza na temat stanu swoich sieci i systemów, zaznaczając jednocześnie, że wszystkie obawy traktuje poważnie. Accenture odpowiedziało, że zarzuty zostały dokładnie i niezależnie zbadane oraz uznane za bezpodstawne. Firma zapewniła również, że wypełniła obowiązki prawne i kontraktowe. Po dodatkowych pytaniach nie wyjaśniła, kto prowadził dochodzenie, ani nie odniosła się szczegółowo do tego, czy opisywane zdarzenie można zakwalifikować jako incydent bezpieczeństwa.
W wypowiedzi przywołanej przez WIRED jeden z pracowników zwrócił uwagę, że sprawa wydarzyła się w okresie zwiększonego napięcia i prób ataków na amerykańskie agencje federalne oraz elementy infrastruktury USA przypisywanych Iranowi. Jego zdaniem lekceważące podejście do incydentu jest szczególnie niebezpieczne w takim momencie. To stanowisko źródła, a nie niezależne ustalenie dotyczące odpowiedzialności za konkretne działania opisane w materiale.
Znaczenie sprawy zwiększa skala współpracy Accenture z rządem USA. Firma ma kontrakty federalne o wartości przekraczającej 3,5 miliarda dolarów, z czego około 605 milionów dolarów przypada na Departament Obrony. Przedsiębiorstwo realizuje również zlecenia dla innych agencji, w tym Departamentu Edukacji, General Services Administration oraz Departamentu Energii. Materiał przywołuje także odrębny przypadek, w którym wykonawca Accenture miał nie załatać podatności prowadzącej do uzyskania przez grupę ShinyHunters dostępu do danych tysięcy pracowników FBI. Ten wykonawca został później usunięty z projektu.
Agenci AI komplikują kontrolę nad kodem
Sprawa pokazuje szerszy problem związany z używaniem agentów AI w środowiskach produkcyjnych. Zwykły asystent może przygotować fragment kodu na polecenie użytkownika, natomiast agent programistyczny może także korzystać z plików, uruchamiać polecenia, zapisywać zmiany i komunikować się z usługami zewnętrznymi. Każde dodatkowe uprawnienie zwiększa użyteczność narzędzia, ale jednocześnie rozszerza zakres możliwych skutków błędu, złej konfiguracji albo przejęcia konta.
Coraz częstsze jest tak zwane vibe coding, czyli opisywanie produktu lub funkcji językiem naturalnym i zlecanie modelowi wygenerowania znacznej części kodu. Taki sposób pracy może przyspieszać tworzenie oprogramowania, ale utrudnia sprawdzenie pochodzenia każdej decyzji technicznej. Jake Williams zwracał uwagę, że użytkownik może nie znać całego łańcucha zależności, danych treningowych ani procesu wnioskowania, który doprowadził do powstania konkretnego fragmentu kodu. Modele mogą także odtwarzać błędne wzorce obecne w kodzie, na którym były trenowane.
Departament Obrony wykorzystuje narzędzia SAST, czyli Static Application Security Testing, do skanowania kodu przed jego uruchomieniem. Tego rodzaju analiza może wykrywać znane błędy i typowe podatności, ale nie musi rozpoznać celowo dodanej tylnej furtki. Funkcja wykonująca niepożądane działania nie zawsze wygląda jak klasyczna luka bezpieczeństwa. SAST może również nie wykryć problemu wynikającego z całej logiki tworzenia i wdrażania kodu, jeżeli poszczególne elementy analizowane osobno nie budzą zastrzeżeń.
Matt Triner, założyciel firmy Hunter Strategy zajmującej się doradztwem IT, opisywał konflikt interesów, z którym mierzą się wykonawcy administracji. Firmy są naciskane, aby dostarczać projekty szybciej i taniej, a jednocześnie mogą obawiać się, że zgłoszenie naruszenia bezpieczeństwa wpłynie na ich kontrakty. Zdaniem Trinera opisany przypadek powinien zostać zgłoszony, lecz system zachęt może skłaniać organizacje do opóźniania takiej decyzji. Rozwój agentów AI zwiększa presję na szybkość, ponieważ narzędzia potrafią generować kod znacznie szybciej niż człowiek jest w stanie go sprawdzić.
Departament Obrony już wcześniej mierzył się z podobnym problemem dotyczącym kodu tworzonego poza bezpośrednią kontrolą amerykańskich pracowników. W innym opisywanym przypadku Microsoft miał korzystać przy projektach federalnych z tak zwanych cyfrowych eskort, czyli pracowników z odpowiednimi uprawnieniami, którzy nadzorowali kod pisany przez zewnętrznych wykonawców w Chinach. Eksperci cytowani w tamtej sprawie wskazywali, że nadzorujący często nie byli w stanie samodzielnie sprawdzić całego kodu, co mogło ułatwić nieświadome wprowadzenie złośliwych elementów do systemów rządowych.
