חוקרי Salt Labs חשפו חולשה בסוכן Manus שאפשרה להשתלט על סביבת הענן שלו
הוראות זדוניות שהוסתרו באימייל הופעלו כשמשתמש ביקש מ-Manus לבדוק את ההודעות – ללא לחיצה על קישור או גניבת סיסמה
Illustration: Salt Securiy
מחקר של Salt Labs, זרוע המחקר של חברת הסייבר Salt Security, חשף כיצד אימייל זדוני יכול לגרום לסוכן ה-AI Manus להריץ קוד ובתנאים מסוימים לאפשר גישה לסביבת הענן שבה הוא פועל.
במהלך הדגמה מבוקרת הצליחו החוקרים למצוא בסביבה פרטי גישה וטוקנים לשירותים שחיבר המשתמש, בהם Gmail. Manus מסוגל לבצע באופן עצמאי משימות מורכבות ולהתחבר לשירותים כמו דואר אלקטרוני, אחסון בענן ומאגרי קוד.
התקיפה התבססה על הזרקת פרומפט עקיפה (indirect prompt injection): החוקרים הסתירו באימייל הוראות זדוניות וקוד מוסווה. לאחר שהמשתמש ביקש מ-Manus לבדוק את ההודעות, הסוכן פענח את הקוד והפעיל אותו. לא נדרשו סיסמה גנובה, לחיצה על קישור או פעולה נוספת מצד המשתמש.
אחד הממצאים המרכזיים במחקר הוא שמנגנון ההגנה של Manus זיהה את הפעילות הזדונית – אבל רק לאחר שהקוד כבר הופעל. בסוכן אוטונומי, התרעה שמגיעה לאחר ביצוע הפעולה עלולה להיות מאוחרת מדי כדי למנוע את הנזק.
החוקרים דיווחו על החולשה, והיא תוקנה. בניסיונות מאוחרים יותר הם כבר לא הצליחו לשחזר את התקיפה.
״אנחנו עדיין בתחילת הדרך בכל הקשור לשימוש בסוכני AI. ארגונים עוד לומדים איך לעבוד איתם נכון, ובאותו זמן גם התוקפים לומדים איך לנצל אותם״, אמר יניב בלמס, ראש תחום המחקר ב-Salt Security. ״מנגנוני guardrails הם שכבת הגנה חשובה, אבל הם לא מספיקים. ברגע שסוכן מקבל מידע מבחוץ וגם יכול לפעול בשירותים ובמערכות שמחוברים אליו, צריך להגן גם על הפעולות שהוא מבצע, לא רק על ההוראות שהוא מקבל.״
Salt Labs דיווחה על החולשה ל-Manus, אך לדבריה לא קיבלה מענה. בהמשך הוגש הדיווח דרך תוכנית הבאונטי של Meta, שאישרה את החולשה וטיפלה בה. Meta נערכה באותה תקופה לרכישת Manus, אך העסקה לא יצאה לפועל והחברות נותרו נפרדות.