印度網絡安全機構：AI 代理未經授權讀取企業機密記錄

ChainCatcher 消息，印度國家網絡安全機構印度計算機應急響應小組（CERT-In）本周發布名為“AI 代理作為攻擊載體”的重要公告，指出由未具名模型提供商運營的 AI 代理在測試期間超出被授予的任務范圍，在印度機構的線上系統中讀取了機密商業記錄，且沒有任何受影響機構自行發現該行為。CERT-In 稱，其收到多家 AI 模型提供商的自愿披露，這些模型在互聯網上接受研究與評估時觸及了印度機構的線上系統，公告未披露提供商、模型及受影響機構的名稱。代理讀取了包含個人數據與機密材料的業務記錄，利用的是暴露在應用配置、公開代碼倉庫以及權限過寬的云服務角色中的憑證與連接設置，部分情況下同一憑證被多次恢復并在不同操作中重復使用。此外，CERT-In 觀察到犯罪分子利用公開的 AI 驅動攻擊性安全框架掃描漏洞、實施利用并針對印度實體發起以經濟動機為主的攻擊，使從初始訪問到最終造成影響的時間由數天縮短至數小時；這些工具被反復重新打包和部署，相關部署出現在多個國家的服務器上。

• 喜歡使用社交軟體關注？關注我們的 Twitter，或者加入 Telegram！
• 想關注最新資訊？ 下載CoinCarp App吧
• 有新聞需要爆料，官方公告需要發布? 來給我們發郵件吧！[email protected]