Tietoturvayhtiö Darktracen Signal Labs -tutkimusryhmä julkaisi menetelmän blogissaan 12. marraskuuta. Help Net Security uutisoi siitä samana päivänä ja haastatteli Darktracen tekoälyjohtajaa Tim Bazalgettea.

Menetelmä toimii vasta, kun hyökkääjä on murtautunut laitteeseen ja saanut käyttäjän Claude Console -tunnukset. Darktracen mukaan tekniikka ei hyödynnä Claude-alustan haavoittuvuutta, eikä yhtiö ole havainnut sitä todellisissa hyökkäyksissä.

Muistitiedostot komentokanavana

Muistivarastot (memory stores) ovat Claude Console -työtilaan liitettyjä tekstitiedostojen kokoelmia. Niiden avulla Claude Managed Agents -palvelun agentit muistavat asioita istuntojen välillä. Darktracen mukaan varaston voi lisätä työtilaan rajapinnan kautta, vaikka organisaatio ei käyttäisi palvelua.

Tutkijat loivat kolmen tiedoston varaston. Claude Coden harness on agenttia ohjaava ohjelma, joka antaa mallille työkalut ja ajaa sen työvaiheet. Käynnistyessään se kirjasi elonmerkin ensimmäiseen tiedostoon. Sen jälkeen malli haki tehtävän toisesta tiedostosta, suoritti sen ja kirjoitti tulokset kolmanteen. Hyökkääjä luki tulokset ja kirjoitti seuraavan tehtävän.

Liikenne kulki osoitteeseen api.anthropic.com, jota agentti käyttää muutenkin mallin kutsumiseen. Siksi liikenne näytti agentin tavalliselta työltä. Tehtävät annettiin luonnollisella kielellä. Darktracen mukaan hyökkääjä voi antaa pelkän tavoitteen, jolloin agentti valitsee komennot itse. Kokeessa osa tehtävistä sisälsi kuitenkin valmiin komennon tai skriptin.

Yhdeksän tehtävää testiverkossa

Testiympäristö jäljitteli yrityksen Active Directory -verkkoa. Pieni komentosarja etsi Linux-koneelta Claude Coden, keräsi tunnukset ja loi systemd-palvelun, joka käynnisti harness-prosesseja yksi kerrallaan. Darktracen mukaan prosessit käyttivät Claude Sonnet 4.5 -mallia ei-vuorovaikutteisessa tilassa. Help Net Securityn mukaan ne ajettiin valitsimella --dangerously-skip-permissions, joka poistaa työkalukutsujen vahvistuskyselyt.

Agentti sai yhdeksän tehtävää. Se kartoitti verkon ja haki anonyymin kirjautumisen sallivalta FTP-palvelimelta työntekijöiden nimiä ja salasanan. Sitten se tuotti 190 käyttäjätunnusehdokasta ja kokeili niillä ja salasanalla kirjautumista toimialueen ohjauskoneeseen. Löytyneellä tunnuksella se listasi SMB-jaot, latasi 1 Gt:n tiedoston, jakoi sen kolmeen osaan ja lähetti osat Clauden Files API -rajapintaan, josta hyökkääjä sai ne.

Bazalgetten mukaan Darktrace testasi vain yhtä alustaa. Muistivarastot ovat Clauden ominaisuus, mutta OpenAI:lla on vastaava tiedostojen latausrajapinta. Darktrace kertoi löydöksistä Anthropicille ennen julkaisua kohteliaisuudesta eikä muodollisella ilmoituksella, koska hänen mukaansa haavoittuvuutta ei ole.

Havaitseminen ja avainten suojaus

Darktrace neuvoo tarkastelemaan harnessin käynnistämiä prosesseja ja sen verkkoliikennettä yhdessä ja vertaamaan niitä tavalliseen toimintaan. Merkkejä ovat esimerkiksi epätavalliset komentoriviparametrit tai se, että rajapintaan lähetetyn ja sieltä vastaanotetun datan määrien suhde poikkeaa tavallisesta.

Bazalgetten mukaan muistivarastoihin pääsee tavallisella API-avaimella mutta ei OAuth-tunnuksilla. Hän neuvoo käyttämään aina kun mahdollista OAuthia tai identiteettifederaatiota, vaikka myös OAuth-istunnon voi kaapata, tosin vaikeammin. Muuten avainten pitää olla lyhytikäisiä ja kapeasti rajattuja, eikä niitä saa jättää komentohistoriaan, asetustiedostoihin tai ympäristömuuttujiin. ”Kohtele tekoälyalustan avainta yhtä vakavasti kuin tuotantotunnusta, koska sillä on nyt vastaava kyvykkyys”, hän sanoi Help Net Securitylle.