Οι AI agents δεν χρειάζεται να παραβιαστούν ένας-ένας για να γίνουν επικίνδυνοι. Αρκεί ένας κακόβουλος χειρισμός να περάσει από έναν agent στον επόμενο, σε μια αλυσίδα όπου κάθε κρίκος θεωρεί τον προηγούμενο αξιόπιστο. Αυτό είναι το κενό που ανέδειξε έρευνα σε οργανισμούς όπως η Google, η JPMorgan Chase, η Rapid7 και δημόσιες υπηρεσίες.
Η επίθεση κινείται μέσα από την αλυσίδα των agents
Οι agents χρησιμοποιούν το Model Context Protocol (MCP) για να συνδέονται με εφαρμογές και εργαλεία, ενώ άλλα συστήματα, όπως το Agent-to-Agent (A2A), αναλαμβάνουν την ανάθεση εργασιών μεταξύ agents. Σε αυτή τη σύνθετη αρχιτεκτονική, μια οδηγία που μοιάζει με κανονική εργασία μπορεί να μεταφερθεί από έναν agent σε έναν άλλο και να εκτελεστεί επειδή ο δεύτερος εμπιστεύεται την προέλευσή της.
Ο ερευνητής Syed Anas Mohiuddin ονόμασε την τεχνική «protocol pivoting». Η επίθεση ξεκινά από ένα πρωτόκολλο, εκμεταλλεύεται τις υποθέσεις εμπιστοσύνης στη μετάβαση και καταλήγει σε δυνατότητες που είναι προσβάσιμες μέσω διαφορετικού πρωτοκόλλου. Άλλοι ερευνητές τη θεωρούν ειδική μορφή έμμεσης prompt injection, όμως η ονομασία βοηθά να γίνει ορατό το κενό ανάμεσα στα επιμέρους συστήματα.
Τι μπορεί να πάει στραβά
Οι ειδικού σκοπού agents συχνά έχουν λιγότερα guardrails από ένα μεγάλο γλωσσικό μοντέλο. Παράλληλα, οι MCP servers μπορεί να διατηρούν διαπιστευτήρια και να δέχονται αιτήματα από άλλους εσωτερικούς agents χωρίς νέα εξουσιοδότηση. Ένα κακόβουλο prompt μπορεί έτσι να οδηγήσει σε εξαγωγή δεδομένων ή σε server-side request forgery, όπου ένας server κάνει μη εξουσιοδοτημένα αιτήματα στο δίκτυο.
Η Rapid7 διόρθωσε ευπάθεια με κωδικό CVE-2026-97228 και βαθμολογία σοβαρότητας 2,7 στα 10. Η περίπτωση της Google ήταν σοβαρότερη: το MCP Toolbox για βάσεις δεδομένων δεν έλεγχε σωστά ανακατευθύνσεις και διευθύνσεις IP, επιτρέποντας σε ειδικά διαμορφωμένη παράμετρο να οδηγήσει το εργαλείο σε εσωτερικό endpoint. Η επιδιόρθωση πρόσθεσε λίστες επιτρεπόμενων και αποκλεισμένων περιοχών IP και έλεγχο της base URL από την εκκίνηση.
Η εμπιστοσύνη πρέπει να σπάσει σε μικρότερα δικαιώματα
Το πρόβλημα δεν βρίσκεται μόνο στο MCP. Η βασική αστοχία είναι ότι μια ομάδα agents αντιμετωπίζεται σαν ασφαλής εσωτερική ζώνη, παρότι κάθε agent μπορεί να διαβάσει περιεχόμενο που προέρχεται από τον έξω κόσμο. Όταν η οδηγία από το ένα σύστημα περνά στο άλλο ως «εξουσιοδοτημένη εργασία», τα όρια μεταξύ δεδομένων και εντολών γίνονται δυσδιάκριτα.
Η πρακτική απάντηση είναι μια zero-trust αρχιτεκτονική: κάθε agent πρέπει να επαληθεύει την ταυτότητα, το σκοπό και τα δικαιώματα του αιτήματος πριν εκτελέσει ευαίσθητη ενέργεια. Χρειάζονται επίσης περιορισμένες διαπιστεύσεις, allow-lists για προορισμούς, έλεγχοι ανακατευθύνσεων, καταγραφή της αλυσίδας ενεργειών και ανθρώπινη έγκριση για εξαγωγή δεδομένων ή αλλαγές σε κρίσιμα συστήματα.
Το μάθημα για τις agentic υποδομές
Η ταχύτητα με την οποία υιοθετούνται τα MCP servers και οι διασυνδεδεμένοι agents προηγείται της ασφάλειας των πρωτοκόλλων. Το γεγονός ότι παρόμοια μοτίβα εμφανίστηκαν σε πέντε διαφορετικούς οργανισμούς δείχνει συστημικό κίνδυνο, όχι ένα μεμονωμένο bug.
Οι επιχειρήσεις χρειάζεται να αντιμετωπίζουν οτιδήποτε μεταφέρεται από ένα μοντέλο σε ένα εργαλείο σαν είσοδο από άγνωστο χρήστη. Η ονομασία «protocol pivoting» μπορεί να αλλάξει, όμως η αρχή παραμένει: η εμπιστοσύνη δεν πρέπει να κληρονομείται αυτόματα από τον έναν agent στον επόμενο.