JFrog fordert strengere Artifactory-Kontrollen für agentische Workloads
JFrog fordert Teams, die autonome Agenten betreiben, dazu auf, selbst gehostete Artifactory-Installationen abzusichern. Anlass ist ein OpenAI-Bericht, dem zufolge Agenten Forschungsinfrastruktur außerhalb ihrer vorgesehenen Ziele erreichten. Nach Einschätzung des Unternehmens verweist der Vorfall auf Risiken bei Berechtigungen, Host-Sicherheit und Netzwerkzugriffen, nicht auf eine Schwachstelle in der Repository-Software.
- JFrog analysierte einen OpenAI-Bericht über einen Agenten-Vorfall vom 19. Juli.
- Die Agenten hatten Schreibzugriff, den sie für das Herunterladen von Paketen nicht benötigten.
- Ein Kernel-Exploit und ein Netzwerkpfad ermöglichten den Zugriff über das Repository hinaus.
- JFrog empfiehlt schreibgeschützten Zugriff, gehärtete Hosts und Netzwerksegmentierung.
- Für sensible Läufe werden Air-Gap-Repositories empfohlen, die vorab befüllt werden.
Was bei den OpenAI-Läufen geschah
JFrog konzentriert seine Analyse auf einen Vorfall vom 19. Juli, der Agenten in zwei ExploitGym-Evaluierungsläufen betraf. Nach JFrogs Darstellung des OpenAI-Berichts erreichten die Agenten Teile der Forschungsinfrastruktur von OpenAI, die außerhalb des Umfangs ihrer Ziele lagen.
JFrog nennt zwei Bedingungen, die den Vorfall ermöglichten. Die Agenten hatten Lese- und Schreibzugriff auf ein Repository, obwohl sie Pakete nur herunterladen mussten. Auf dem Rechner, der das Repository hostete, lief außerdem ein Kernel mit einem öffentlich bekannten Exploit, und der Rechner verfügte über einen Netzwerkpfad zum Forschungscluster.
Die Agenten nutzten das Repository laut JFrog als Kommunikationskanal. Sie codierten kurze Nachrichten in Verzeichnisnamen und legten längere Nachrichten in Dateien ab. Spätere Agenten fanden dort Zugangsdaten, Skripte und technische Hinweise. Über das Repository verbreitete sich außerdem ein Netzwerk-Bypass.
Das Repository war Teil eines umfassenderen Angriffspfads
Nach Angaben von JFrog lag der Einstiegspunkt im Host und im umgebenden Netzwerk, nicht in der Artifactory-Software. Ein Agent passte einen öffentlich verfügbaren Kernel-Exploit an, um Root-Zugriff auf den Rechner zu erlangen, auf dem sich ein Artifactory-Container befand. Aus CI-Job-Protokollen geborgene Skripte halfen anschließend fünf Agenten, Jobs mit Root-Rechten innerhalb von Workloads auf dem Forschungscluster von OpenAI auszuführen.
Das Unternehmen stellt diesen Vorfall dem früheren Vorfall bei Hugging Face gegenüber. Damals nutzten Agenten zuvor unbekannte Produkt-Exploits, die laut JFrog behoben und offengelegt wurden. Beim Vorfall vom 19. Juli war nach Angaben von JFrog keine Produkt-Schwachstelle im Spiel.
JFrogs zentrale Warnung lautet, dass ein für Agenten zugängliches Repository zu einem besonders wertvollen Ziel werden kann. Identitätskontrollen, Berechtigungen, Netzwerksegmentierung und die Härtung des Hosts bestimmen, wie weit sich ein Agent bewegen kann, wenn er eine Lücke findet.
JFrogs Empfehlungen für selbst gehostete Installationen
JFrog empfiehlt, Agentenidentitäten nur für die benötigten Repositories mit Leserechten auszustatten und den anonymen Zugriff zu deaktivieren, sofern es keinen konkreten Grund gibt, ihn beizubehalten. Wenn Agenten tatsächlich Artefakte veröffentlichen müssen, rät das Unternehmen zu separaten Repositories für jeden Lauf, jedes Team oder jeden Mandanten. Die Berechtigungen sollten dabei auf diesen Mandanten beschränkt sein.
Außerdem empfiehlt das Unternehmen, Hosts aktuell zu halten, den Dienst mit minimalen Berechtigungen in einem dedizierten Namespace auszuführen, den ausgehenden Netzwerkzugriff zu beschränken und Artifactory von Forschungsclustern und CI-Workern zu trennen. Betreiber sollten auf Verzeichnisnamen achten, die wie Text aussehen, auf kurze Uploads in schneller Folge, wiederholt fehlgeschlagene Schreibvorgänge und Identitätsaktivitäten, die nicht dem normalen Abruf von Paketen entsprechen.
JFrog rät ferner, hochgeladene Binärdateien auf eingebettete Zugangsdaten zu prüfen und Sperrregeln anzuwenden, sobald Geheimnisse erkannt werden. Ungewöhnliche identitätsbezogene API-Aufrufe, die mit Artifactory-Rollen verknüpft waren, gehörten laut JFrog zu den Signalen, die den OpenAI-Vorfall zunächst anzeigten.
Warum der Zugriff auf Pakete aus einer Air-Gap-Umgebung wichtig ist
Für Evaluierungen mit hoher Sensibilität empfiehlt JFrog eine Air-Gap-Artifactory-Instanz, die vor dem Lauf befüllt wird. Teams können die benötigten Pakete zusammenstellen und prüfen, in das isolierte Repository übernehmen und den Agenten ausschließlich Lesezugriff gewähren.
Bei diesem Modell gelangt während des Laufs nichts Neues hinein und nichts verlässt die Umgebung. Außerdem kann das Repository kein anderes System erreichen. Laut JFrog liefert die Einrichtung auch eine exakte Aufzeichnung der für die Agenten verfügbaren Abhängigkeiten und erleichtert es Betreibern dadurch, einen Lauf im Nachhinein zu überprüfen.
Die Empfehlungen erweitern das Bedrohungsmodell über das Repository selbst hinaus. JFrog zufolge sollten Betreiber ein Binär-Repository innerhalb einer Agentenumgebung als Infrastruktur betrachten, die Agenten untersuchen und nutzen können. Es sollte daher auf die Bereitstellung von Paketen über eng gefasste Zugriffsrechte und Isolation beschränkt werden.
