FlawOpen

flawopen.com/AI Security/ghostjacking-ai-agent-poisoned-observability-logs-august-2026

● FlawOpen मैपिंग: CWE-1427 · संपादकीय गंभीरता: मध्यम
सुरक्षा अनुसंधान · FlawOpen

GhostJacking: लॉग और AI एजेंट

शोध दिखाता है कि दूषित टेलीमेट्री जुड़े एजेंट को प्रभावित कर सकती है। कोई CVE या पुष्ट पीड़ित नहीं है।[1], [2]

💡 आसान भाषा में (ELI5)

कल्पना करें कि रिसेप्शन पर कोई संदिग्ध डिलीवरी रोक देता है, लेकिन भेजने वाले की टिप्पणी को घटना-लॉग में ज्यों का त्यों लिख देता है। बाद में, जाँच करने वाला व्यक्ति असली टिकट नंबर और परीक्षण विन्यास की DNS नीति में वास्तविक कमी की पुष्टि करता है, फिर उसी टिप्पणी में हमलावर द्वारा चुने गए पते पर भी भरोसा करके सार्वजनिक पता-सूची बदल देता है, जो ब्राउज़र और ईमेल को बताती है कि कंपनी की सेवाएँ कहाँ मिलेंगी। लॉग सबूत था, बदलाव की अनुमति नहीं; अलग नीति-जाँच और स्वीकृति से ही यह बदलाव नियंत्रित होना चाहिए।[1]

इस पेज के मुख्य शब्द

GhostJacking
Tenet Security का नाम उन प्रदर्शनों के लिए जिनमें ऑब्ज़र्वेबिलिटी घटनाओं में हमलावर-नियंत्रित सामग्री उनसे जुड़े AI एजेंट को प्रभावित करती है। यह शोध का नाम है, CVE नहीं।[1], [2]
अप्रत्यक्ष प्रॉम्प्ट इंजेक्शन
ऐसी निर्देशात्मक सामग्री जो मॉडल को जाँचने के लिए दिए गए डेटा में छिपी हो, उपयोगकर्ता द्वारा सीधे दी गई न हो।[1], [2], [4]
ऑब्ज़र्वेबिलिटी घटना
सिस्टम गतिविधि बताने वाला लॉग, अलर्ट, ट्रेस या त्रुटि रिकॉर्ड। कुछ फ़ील्ड में बाहरी अनुरोध से आया पाठ हो सकता है।[1], [2]
स्वतंत्र प्राधिकरण-जाँच
मॉडल से बाहर की नीति-जाँच, जो टूल द्वारा प्रभावकारी कार्रवाई से पहले कर्ता, लक्ष्य, माँगा गया बदलाव और स्वीकृति जाँचती है।[2], [5]
CWE-1427
LLM प्रॉम्प्ट में प्रयुक्त इनपुट का अपर्याप्त न्यूनीकरण बताने वाली MITRE कमजोरी श्रेणी। यह FlawOpen की वैचारिक मैपिंग है; Tenet, ngCERT या किसी CVE रिकॉर्ड ने इसे GhostJacking को नहीं सौंपा।[4], [1], [2]
संपादकीय गंभीरता
ngCERT अपने अलर्ट में जोखिम और क्षति को उच्च बताता है। FlawOpen इस सारांश को मध्यम आँकता है, क्योंकि प्रदर्शन के लिए संबंधित एकीकरण और बदलाव के अधिकार वाला एजेंट चाहिए; किसी पीड़ित संगठन में सेंध की पुष्टि नहीं है। यह संपादकीय रेटिंग है, विक्रेता का स्कोर नहीं।[2], [1]

फ्रेमवर्क मैपिंग

हमले का चरण-दर-चरण प्रवाह

चरण 1

एजेंट को जाँच का अधिकार मिलता है

Tenet के शोध में Cloudflare, Datadog और Sentry जैसे टूलों से जुड़े कोडिंग या ऑपरेशन एजेंट बताए गए हैं। मुख्य पूर्वशर्त यह है कि एजेंट बाहरी घटना-सामग्री पढ़ सके और अपने मौजूदा अधिकारों से प्रभावकारी कार्रवाई कर सके।[1]

चरण 2

अनुरोध साक्ष्य के रूप में लॉग होता है

Tenet के Cloudflare प्रदर्शन में WAF अनुरोध को रोकता है, लेकिन हमलावर-नियंत्रित अनुरोध फ़ील्ड का पाठ घटना रिकॉर्ड में बचा रहता है। रोका गया अनुरोध भी ऐसा अविश्वसनीय पाठ छोड़ सकता है जिसे एजेंट बाद में पढ़े।[1], [2]

चरण 3

विश्वसनीय दिखने वाली टेलीमेट्री स्पष्ट निर्देशों वाली सुरक्षा को पार करती है

Tenet के अनुसार, उसके परीक्षण में स्पष्ट आदेश अस्वीकार कर दिए गए थे। सफल Cloudflare प्रदर्शन में इसके बजाय स्कैनर-जैसी संरचित टेलीमेट्री इस्तेमाल हुई, जिसमें टिकट संदर्भ, अनुपालन उद्धरण और माप शामिल थे; एजेंट ने कुछ दावों की पुष्टि की, फिर हमलावर द्वारा नियंत्रित अपुष्ट DNS मानों पर भरोसा किया। यह शोधकर्ताओं द्वारा बताई गई अप्रत्यक्ष prompt injection की प्रदर्शन-आधारित जाँच है, वास्तविक पीड़ित के उल्लंघन का प्रमाण नहीं।[1], [2]

चरण 4

मौजूदा अधिकार प्रभाव पैदा करते हैं

Tenet के अनुसार, नियंत्रित प्रदर्शन में एजेंट ने एकीकृत Cloudflare टूल के ज़रिए DNS बदला। परिणाम एजेंट के अधिकार और कॉन्फ़िगरेशन पर निर्भर है; इससे यह सिद्ध नहीं होता कि Cloudflare से समझौता हुआ या ग्राहक प्रणालियों पर हमला हुआ।[1]

चरण 5

अलग नीति बदलाव रोक सकती है

एप्लिकेशन को मॉडल के प्रस्ताव को अविश्वसनीय मानना चाहिए। सर्वर-साइड प्राधिकरण सेवा को सटीक संसाधन और बदलाव स्वतंत्र रूप से जाँचना चाहिए, जहाँ उचित हो अधिकृत व्यक्ति की स्वीकृति लेनी चाहिए, और प्रदाता API से पहले निर्णय दर्ज करना चाहिए।[2], [5]

सोर्स कोड: कमज़ोर बनाम सुरक्षित कार्यान्वयन

ये उदाहरणात्मक एप्लिकेशन स्निपेट हैं, किसी बताए गए उत्पाद के असुरक्षित या सुधारे गए स्रोत कोड नहीं। असुरक्षित ढाँचा ऐसे एजेंट को सीधे बदलाव करने का टूल देता है जो अविश्वसनीय घटना-पाठ पढ़ता है। सुरक्षित ढाँचा प्रस्ताव और निष्पादन अलग करता है: स्वतंत्र सेवा कर्ता और सटीक बदलाव से बँधी एक-बार की स्वीकृति उपयोग करती है, फिर प्रदाता को कॉल करने से पहले नीति लागू करती है। कर्ता की पहचान प्रमाणित सर्वर संदर्भ से ली जाती है, अनुरोधकर्ता के नियंत्रण वाले फ़ील्ड से नहीं; मॉडल इसे चुन नहीं सकता। केवल prompt में निर्देश देना प्राधिकरण नियंत्रण नहीं है। उत्पादन कोड में स्कीमा, tenant और संसाधन का स्वामित्व, स्वीकृति की समय-सीमा, पुनःप्रयोग से बचाव, स्थायी audit रिकॉर्ड और प्रदाता त्रुटियों की भी जाँच करें।[1], [2], [5]

कमज़ोर कार्यान्वयन
// असुरक्षित एकीकरण का उदाहरण; यह Cloudflare, Datadog, Sentry या Tenet का स्रोत कोड नहीं है।
async function investigate(event: EventRecord) {
  return agent.run({
    context: event.message,
    tools: [cloudflare.updateDnsRecord]
  });
}
सुरक्षित और सुदृढ़ फ़िक्स
// नियंत्रण सीमा का उदाहरण; मॉडल प्रस्ताव दे सकता है, पर स्वीकृति या बदलाव लागू नहीं कर सकता।
type DnsProposal = { zoneId: string; name: string; value: string };

async function proposeDnsChange(event: EventRecord): Promise<DnsProposal> {
  return agent.propose({ evidence: markUntrusted(event.message) });
}

async function applyDnsChange(
  proposal: DnsProposal,
  approvalId: string
) {
  const actorId = auth.requireAuthenticatedActorId();
  const validatedProposal = DnsProposalSchema.parse(proposal);
  const approval = await approvals.consumeOnce(approvalId, { actorId });
  if (!approval || approval.actorId !== actorId ||
      approval.zoneId !== validatedProposal.zoneId ||
      approval.name !== validatedProposal.name ||
      approval.value !== validatedProposal.value ||
      !policy.canChangeDns(actorId, validatedProposal.zoneId, validatedProposal.name)) {
    throw new Error('DNS change is not independently authorized');
  }
  // बदलाव से पहले authorization निर्णय दर्ज न हो सके तो कार्रवाई रोक दें।
  await audit.record({ actorId, approvalId, action: 'dns-change', decision: 'authorized' });
  try {
    await cloudflare.updateDnsRecord(validatedProposal);
  } catch (error) {
    await audit.record({ actorId, approvalId, action: 'dns-change', outcome: 'provider-failed' });
    throw error;
  }
  await audit.record({ actorId, approvalId, action: 'dns-change', outcome: 'succeeded' });
}

इंजीनियरिंग और सिस्टम सुरक्षा चेकलिस्ट

स्रोत

← AI Security Directory →