Las puertas de enlace de IA ofrecen a los atacantes las llaves del reino

A medida que más empresas utilizan puertas de enlace de IA para gestionar el acceso a los modelos base, todas las señales apuntan a que se convertirán en una superficie más que deben proteger los agentes de seguridad.

Los investigadores de Darktrace investigaron recientemente un incidente en el que un actor de amenazas obtuvo acceso a un servidor EC2 que aloja una puerta de enlace de IA conectada a los servicios de Amazon Bedrock. El atacante utilizó el acceso para la criptominería, pero podría haber abusado con la misma facilidad de la puerta de enlace de IA para acceder a modelos y datos conectados, manipular flujos de trabajo de IA o penetrar más profundamente en el entorno de nube de la organización anónima, lo que resultó en un compromiso mucho más grave.

¿La punta del iceberg?

«Este incidente debe verse como la punta del iceberg», aconseja Nathaniel Jones, vicepresidente de seguridad y estrategia de IA y CISO de campo de Darktrace. «Las puertas de enlace de IA se encuentran cada vez más en la intersección de la identidad, la infraestructura de la nube, los datos propietarios y el acceso a múltiples modelos base».

Relacionado:El nuevo plan cibernético de México enfrenta su primera prueba real

A medida que las empresas centralicen el acceso a la IA a través de puertas de enlace, se espera que éstas se conviertan en puntos de reunión atractivos para los atacantes. «Si bien la criptominería puede haber sido la carga útil en este caso, la técnica de acceso original podría ser reutilizada por actores más sofisticados con objetivos muy diferentes», dice Jones, citando como posibilidades el robo de credenciales, el acceso a datos y la persistencia en la nube.

Para las empresas que se esfuerzan por habilitar aplicaciones y flujos de trabajo habilitados para IA, el incidente es otro recordatorio de cómo cada nuevo componente de IA en el entorno puede lograrlo. Ampliar la superficie de ataque. Los riesgos incluyen aquellos asociados con los propios modelos de IA, como por ejemplo: Envenenamiento de modelos Y inyección inmediata; Vulnerabilidades y debilidades en la infraestructura de IA como: Registro de contexto del modelo servidores (MCP) y puertas de enlace de IA; Uso inseguro de agentes de codificación y agentes de IA en general.

Darktrace descubrió el incidente de AI Gateway mientras investigaba la actividad relacionada con la criptominería desde una instancia AWS EC2 expuesta externamente a la que estaba conectado lecho de roca amazónicoun servicio administrado por AWS que brinda acceso a modelos de IA de múltiples proveedores a través de API. Las organizaciones utilizan el servicio para crear aplicaciones de IA generativa sin tener que administrar la infraestructura subyacente.

Aunque Darktrace no pudo confirmar esto definitivamente, parecía que el atacante inicialmente obtuvo acceso al servidor EC2 mediante intentos de inicio de sesión por fuerza bruta. Luego, el actor de amenazas descargó el software de criptominería XMRig en el sistema comprometido y se conectó a un grupo de criptominería unos minutos más tarde. La investigación de Darktrace reveló que el sistema comprometido probablemente actuó como una puerta de enlace de IA con acceso a una gama mucho más amplia de recursos y datos corporativos.

Relacionado:El error «GitLost» filtra datos privados de los flujos de trabajo del agente de GitHub

«Piense en ello como una mini cadena de suministro»

«Dependiendo de los permisos otorgados a la puerta de enlace, un atacante podría haber accedido a mensajes confidenciales y resultados de modelos, claves API robadas, secretos o credenciales de la nube, o haber consultado bases de conocimiento patentadas conectadas a través de recuperación-generación aumentada (RAG)», dice Jones. También podrías haber usado «adjunto». [identity and access management, or IAM] El cambio de roles a recursos más amplios de AWS causó un impacto financiero significativo debido al mal uso de los servicios de inferencia de IA o la persistencia establecida dentro del entorno de la nube”.

La conclusión clave aquí no es lo que realmente sucedió, sino lo que fácilmente podría haber sucedido si el atacante hubiera decidido explotar la puerta de enlace de la IA. «Si bien la criptominería es ruidosa y relativamente fácil de detectar, el robo de credenciales y la persistencia en la nube habrían tenido consecuencias mucho más preocupantes».

Según Jones, las puertas de enlace de IA son objetivos atractivos para los actores de amenazas porque a menudo consolidan funcionalidades que tradicionalmente han existido en sistemas separados. Por ejemplo, normalmente tienen acceso centralizado a múltiples proveedores de IA, credenciales API de alta calidad, acceso de integración de Enterprise Identity a documentos internos y conocimiento de la empresa, y conectividad a herramientas de desarrollo, bases de datos y plataformas de software como servicio (SaaS). «Comprometer una puerta de enlace puede permitir el acceso a múltiples sistemas posteriores sin tener que comprometer cada sistema individual. Piense en ello como una mini cadena de suministro».

Relacionado:Los LLM chinos amplían la brecha entre atacantes y defensores

Al implementar puertas de enlace de IA, las empresas deben tener cuidado de no otorgar permisos IAM excesivos ni exponer las interfaces de administración a Internet, aconseja Jones. También aboga por el uso de claves API de corta duración en lugar de credenciales de larga duración, segmentando entre infraestructura de IA y entornos de producción, monitoreando acciones de gestión específicas de IA y actividades inmediatas, y tratando las puertas de enlace de IA como activos privilegiados en la nube.

«Ya estamos viendo observaciones en nuestra base de clientes que confirman por qué es necesario implementar controles adicionales», dice Jones. «Los riesgos más comunes no son necesariamente modelos comprometidos o ataques avanzados de IA. Más bien, son empleados y funciones corporativas que exponen información confidencial a través de interacciones que parecen completamente legítimas».