Die IA als Befehls- und Kontroll-Proxy: die neue Bedrohung, die Anweisungen im legitimen Verkehr versteckt

Cybersecurity-Forscher haben ein Alarmlicht auf eine neue Art und Weise, wie künstliche Intelligenz-Assistenten missbraucht werden können: Umwandlung ihrer Web-Navigation oder URLs Wiederherstellung Fähigkeiten in stille Kontroll- und Kontrollkanäle (C2), die mit dem legitimen Verkehr eines Unternehmens gemischt werden. Die von Forschern gegen Dienste wie Microsoft Copilot und xAI Grok getestete Technik wurde von Prüfstelle unter dem Namen "AI als C2-Proxy".

Der Kern des Problems ist einfach und gleichzeitig störend: wenn ein IA-Assistent auf das Internet zugreifen oder Inhalte von einer URL wiederherstellen kann, dass legitimes Verhalten umgeleitet werden kann, um bösartige Anweisungen und Exfilter-Daten zu transportieren. Ein Team von Angreifern muss zunächst eine Maschine - durch Phishing, unpatched Verwundbarkeit oder einen anderen klassischen Vektor - beeinträchtigt haben und eine bösartige Software installiert haben, die den IA-Assistenten mit Indikationen dafür anruft, Inhalte von der Infrastruktur, die vom Angreifer kontrolliert wird, wiederherzustellen. Die Antwort des Assistenten bietet kann Befehle oder Codefragmente enthalten, die Malware lokal abläuft, wodurch ein Zwei-Wege-Kontrollkanal geschlossen wird, der schwer von dem autorisierten Verkehr zu unterscheiden ist.

Die Bedrohung ist nicht auf die Ausführung bestimmter Aufträge beschränkt; Forscher warnen, dass die gleiche Achse als externe Entscheidungsmaschine verwendet werden kann. Der Angreifer kann Informationen aus dem System senden, das dem Modell verpflichtet ist, und nicht nur um Befehle bitten, sondern auch um Fluchtstrategien, zusätzliche Erkennungsschritte oder Entscheidung darüber, ob es wert ist, diese Ausrüstung weiter zu betreiben. Mit anderen Worten, IA kann als zusätzliche Schicht der Automatisierung und Entscheidungsfindung für anspruchsvollere Kampagnen handeln und nähern sich, was Experten AIOps-Stil C2 Operationen nennen.

Was diese Technik besonders problematisch macht, ist, dass die beschriebenen Tests keinen API-Schlüssel oder ein registriertes Konto benötigen. Dies bedeutet, dass schädliche Reaktionen sich durch die Endpunkte der öffentlichen Dienstleistungen bewegen können, ohne Opfer oder lieferantengesteuerte Anmeldeinformationen durchzugehen, die die Wirksamkeit traditioneller Minderungen wie Schlüsselverzicht oder Kontoaussetzung einschränken.

Dieser Missbrauch von Vertrauensdiensten erinnert an andere Modalitäten, die die Angreifer seit Jahren verwendet haben, um ihre Aktivitäten in legitimen Kanälen zu verbergen - eine Familie von Techniken, denen sie genannt wurden Wohnen von vertrauenswürdigen Standorten (LOTS)- Ja. Es ist kein isoliertes Phänomen: Wochen zuvor hat das Team von Unit 42 von Palo Alto Networks gezeigt, wie eine scheinbar harmlose Website ein Echtzeit-Sprachmodell konsultieren kann, um schädliches JavaScript zu erzeugen, das auf dem Client montiert und ausgeführt wird, um dynamische Phishing-Seiten zu erstellen. Die Unit 42 Bericht über diese Methode ist auf Ihrer Website verfügbar: Echtzeit böswillig JavaScript durch LLMs.

Es gibt auch konzeptionelle Ähnlichkeiten mit den sogenannten "Last Mile Reassembly" (MRL) Techniken, bei denen der Angreifer Malware-Fragmente durch unüberwachte Kanäle (z.B. WebRTC oder WebSocket) sendet und sie im Browser des Opfers reproduziert und Netzwerksicherheitskontrollen verhindert. Eine Analyse der RHG findet sich bei Diese technische Exploration und dient als Erinnerung, dass Vektoren, die legitimes Verhalten und die Montage in der Laufzeit mischen, schwierig zu mildern sind, wenn Kontrollen nur auf die Signatur oder den Ruf der Domain fokussieren.

Was bedeutet das für Unternehmen und Sicherheitsadministratoren? Erstens, dass IA-Modelle und ihre Navigationsfähigkeiten nicht nur Produktivitätstools sind: Sie sind neue Dienste im Netzwerk, die spezifische Governance und Kontrollen erfordern. Das Verblenden des klassischen Umkreises reicht nicht mehr aus, wenn Angreifer ihre Kommunikationsreise auf Routen machen können, die legitim erscheinen. Um dieser Herausforderung gerecht zu werden, ist es notwendig, technische und politische Maßnahmen zu kombinieren: die Navigationsfähigkeit von IA-Assistenten in sensiblen Umgebungen zu begrenzen, Egress-Kontrollen anzuwenden, die Anrufe auf Sprachmodelldienste aufnehmen und die Netzwerksegmentierung nutzen, um die Reichweite eines engagierten Teams zu reduzieren. Darüber hinaus sollten Endpoint-Kontrollen dazu beitragen, verdächtige Verhaltensweisen zu identifizieren - wie Prozesse, die IA-Web-Schnittstellen anrufen und dann empfangene Befehle ausführen - und nicht nur auf die Signaturerkennung vertrauen.

Auf der Vorbeugungsebene kann die Annahme von Genehmigungslisten für kritische Domänen oder APIs, die Überwachung von DNS-Datensätzen und die Korrelation zwischen der Aktivität von Endpoint IA- und Telemetriemodellen dazu beitragen, Anomalien zu erkennen. Organisationen sollten auch Anbieter von IA-Lösungen benötigen, um Transparenz und Mechanismen zu erhöhen, um anormale Anwendungen zu begrenzen, wie eine strengere Authentifizierung für Navigationsfunktionen, Einschränkungen bei der Entladung von beliebigen Inhalten und Rückverfolgbarkeitsmechanismen, um Sicherheitsteams zu ermöglichen, Vorfälle zu untersuchen. Für ihren Teil sollten interne Politiken klar definieren, welche IA-Assistenten autorisiert sind und mit welchen Genehmigungen; in Hochrisiko-Umgebungen kann es bevorzugt sein, die Such-/Browsing-Funktion in Unternehmensassistenten zu deaktivieren.

Die Sicherheitsgemeinschaft steht bereits vor ähnlichen Szenarien anderer Optiken: MITRE und die Bedrohungsrahmen beschreiben Techniken, bei denen die Gegner legitime Umweltwerkzeuge für ihren Nutzen wiederverwenden, was die Vorstellung verstärkt, dass die namhafte Erkennung unzureichend ist ( siehe MITRE ATT & CK auf dem Land) Gleichzeitig zeigen die Ergebnisse von Organisationen wie Check Point und Unit 42, dass die Grenze zwischen "zuverlässigen" Diensten und Angriffskanälen verschwimmt.

Kurz gesagt, wir stehen vor einer neuen Risikoschicht, in der IA-Modelle sowohl dienen können, um Angriffe zu beschleunigen und sie zu tarnen. Es ist keine technologische Apokalypse, aber es ist ein Aufruf, Verteidigungs-, Governance- und Bildungspraktiken zu aktualisieren. Die Behandlung von IA-Besuchern als neue Art von Netzwerk-Service, mit klaren Kontrollen, Überwachung und Politik, wird der Schlüssel um zu verhindern, dass sie unbemerkt Relais von schädlichen Kampagnen werden.