<p>红队安全初创公司 CodeWall 的研究人员表示，他们的 AI 代理在仅仅两个小时内就黑入了麦肯锡的内部 AI 平台，并获得了对聊天机器人的完全读写访问权限。</p>
<p>这再次表明，具备自主能力的 AI 正成为进行网络攻击的更有效工具，包括针对其他 AI 系统的攻击。</p>
<p>这次攻击并非出于恶意。然而，威胁猎手告诉我们，恶意分子越来越多地在现实世界的攻击中使用代理，这表明机器速度的入侵不会消失。</p>
<p>麦肯锡是一家专注于为大型企业和政府提供复杂战略工作的超级管理咨询公司，于 2023 年 7 月推出了其名为 Lilli 的生成式 AI 平台。根据该公司的说法，72% 的员工——超过 40,000 人——现在使用该聊天机器人，每月处理超过 500,000 个提示。</p>
<p>CodeWall 使用 AI 代理持续攻击客户的基础设施，以帮助他们改善安全态势。根据这家初创公司的说法，其安全代理建议针对麦肯锡，引用了该咨询公司的公开负责任披露政策和最近对 Lilli 的更新。</p>
<p>“所以我们决定将我们的自主攻击代理指向它，” 研究人员在周一的博客中写道，并指出该代理没有访问麦肯锡资产的任何凭证。</p>
<p>CodeWall 的研究人员声称，在开始红队突袭的两个小时内，他们获得了对整个生产数据库的完全读写访问权限，并能够访问 4650 万条关于战略、并购和客户参与的聊天消息，所有内容均为明文，以及 728,000 个包含机密客户数据的文件、57,000 个用户账户和 95 个控制 AI 行为的系统提示。这些提示都是可写的，这意味着攻击者可以毒化 Lilli 向所有使用该聊天机器人的数万名顾问输出的内容。</p>
<p>CodeWall 的代理在 2 月底发现了 SQL 注入漏洞，研究人员在 3 月 1 日披露了完整的攻击链。到第二天，麦肯锡已修补了所有未经身份验证的端点，关闭了开发环境，并阻止了公共 API 文档。</p>
<p>麦肯锡的一位发言人告诉 <em>The Register</em>，在得知问题后，他们在数小时内修复了 CodeWall 识别的所有问题。</p>
<p>“我们的调查在一家领先的第三方取证公司的支持下，未发现该研究人员或任何其他未经授权的第三方访问客户数据或客户机密信息的证据，” 发言人告诉我们。“麦肯锡的网络安全系统是强大的，我们没有比保护客户数据和我们所信任的信息更高的优先事项。”</p>
<h3>AI 对抗 AI</h3>
<p>CodeWall 首席执行官 Paul Price 拒绝透露他的团队用来利用聊天机器人的确切提示，但表示整个过程是 “完全自主的，从研究目标、分析、攻击到报告。”</p>
<p>CodeWall 代理最初通过找到公开暴露的 API 文档获得了对 Lilli 的访问权限，包括 22 个不需要身份验证的端点。其中一个写入用户搜索查询，代理发现 JSON 键（这些是字段名称）被连接到 SQL 中，并且容易受到 SQL 注入攻击。</p>
<p>“当它发现 JSON 键在数据库错误消息中逐字反映时，它识别出一种标准工具不会标记的 SQL 注入，” 研究人员写道，并补充说错误消息最终开始输出实时生产数据。</p>
<p>更糟糕的是：Lilli 的系统提示存储在同一个数据库中，这使得代理也可以访问这些提示。</p>
<ul>
<li>AI 代理现在帮助攻击者，包括朝鲜，管理他们的繁重工作</li>
<li>微软 Azure 首席技术官将 Claude 设置在他的 1986 年 Apple II 代码上，称其发现了漏洞</li>
<li>带有恶意软件的 OpenClaw 安装程序获得 Bing AI 搜索提升</li>
<li>OpenAI 表示中国警方使用 ChatGPT 计划和追踪对对手的抹黑行动</li>
</ul>
<p>由于 SQL 注入漏洞是可读可写的，攻击者可以利用这一点悄悄重写 Lilli 的提示，从而毒化聊天机器人回答顾问查询的方式、遵循的保护措施以及引用的来源。“不需要部署，” 博客上写道。“不需要代码更改。只需一个单独的 UPDATE 语句包装在一个单独的 HTTP 调用中。”</p>
<p>这些安全漏洞现在已被修补——但更大的威胁仍然存在，Price 告诉 <em>The Register</em>。</p>
<p>“我们使用了一个特定的 AI 研究代理来自主选择目标，它在没有任何人工输入的情况下完成了这一过程，” 他说。“黑客将使用相同的技术和策略进行无差别攻击，心中有特定目标，” 例如 “因数据丢失进行财务勒索或勒索软件。” ®</p>

Check Point 软件

CYBR

网络安全 ETF - GlobalX

IHAK

纳斯达克网络安全 ETF - First Trust

<p>CodeWall 的研究人员报告称，他们的 AI 代理在仅仅两个小时内成功入侵了麦肯锡的聊天机器人 Lilli，获得了完全的读写权限。此事件突显了 AI 在网络攻击中日益增强的有效性。尽管此次攻击并非恶意，但它展示了 AI 代理在现实世界攻击中被利用的潜力。麦肯锡迅速修补了漏洞，并声称没有客户数据受到损害。该事件引发了人们对未来 AI 在网络威胁中使用的担忧，包括金融勒索和 ransomware</p>

<p>Researchers at red-team security startup CodeWall say their AI agent hacked McKinsey's internal AI platform and gained full read and write access to the chatbot in just two hours.</p>
<div class="lb-trans"><p>红队安全初创公司 CodeWall 的研究人员表示，他们的 AI 代理在仅仅两个小时内就黑入了麦肯锡的内部 AI 平台，并获得了对聊天机器人的完全读写访问权限。</p>
</div><p>It's yet another indicator that agentic AI is becoming a more effective tool for conducting cyberattacks, including those against other AI systems.</p>
<div class="lb-trans"><p>这再次表明，具备自主能力的 AI 正成为进行网络攻击的更有效工具，包括针对其他 AI 系统的攻击。</p>
</div><p>This attack wasn’t conducted with malicious intent. However, threat hunters tell us that miscreants are increasingly using agents in real-world attacks, indicating that machine-speed intrusions aren't going away.</p>
<div class="lb-trans"><p>这次攻击并非出于恶意。然而，威胁猎手告诉我们，恶意分子越来越多地在现实世界的攻击中使用代理，这表明机器速度的入侵不会消失。</p>
</div><p>McKinsey, a mega-management consultancy that specializes in gnarly strategy work for huge corporations and governments, rolled out its generative AI platform called Lilli in July 2023. According to the company, 72 percent of its employees – that's upwards of 40,000 people – now use the chatbot, which processes more than 500,000 prompts every month.</p>
<div class="lb-trans"><p>麦肯锡是一家专注于为大型企业和政府提供复杂战略工作的超级管理咨询公司，于 2023 年 7 月推出了其名为 Lilli 的生成式 AI 平台。根据该公司的说法，72% 的员工——超过 40,000 人——现在使用该聊天机器人，每月处理超过 500,000 个提示。</p>
</div><p>CodeWall uses AI agents to continuously attack customers' infrastructure, to help them improve their security posture. According to the startup, its own security agent suggested targeting McKinsey, citing the consulting company's public responsible disclosure policy and recent updates to Lilli.</p>
<div class="lb-trans"><p>CodeWall 使用 AI 代理持续攻击客户的基础设施，以帮助他们改善安全态势。根据这家初创公司的说法，其安全代理建议针对麦肯锡，引用了该咨询公司的公开负责任披露政策和最近对 Lilli 的更新。</p>
</div><p>&#34;So we decided to point our autonomous offensive agent at it,&#34; the researchers wrote in a Monday blog, noting that the agent didn't have access to any credentials for McKinsey’s assets.</p>
<div class="lb-trans"><p>“所以我们决定将我们的自主攻击代理指向它，” 研究人员在周一的博客中写道，并指出该代理没有访问麦肯锡资产的任何凭证。</p>
</div><p>CodeWall’s researchers claim that within two hours of starting their red team raid, they achieved full read and write access to the entire production database and were able to access 46.5 million chat messages about strategy, mergers and acquisitions, and client engagements, all in plaintext, along with 728,000 files containing confidential client data, 57,000 user accounts, and 95 system prompts controlling the AI's behavior. These prompts were all writable, meaning an attacker could poison everything Lilli spits out to all of the tens of thousands of consultants using the chatbot.</p>
<div class="lb-trans"><p>CodeWall 的研究人员声称，在开始红队突袭的两个小时内，他们获得了对整个生产数据库的完全读写访问权限，并能够访问 4650 万条关于战略、并购和客户参与的聊天消息，所有内容均为明文，以及 728,000 个包含机密客户数据的文件、57,000 个用户账户和 95 个控制 AI 行为的系统提示。这些提示都是可写的，这意味着攻击者可以毒化 Lilli 向所有使用该聊天机器人的数万名顾问输出的内容。</p>
</div><p>CodeWall's agent found the SQL injection flaw at the end of February, and the researchers disclosed the full attack chain on March 1. By the following day, McKinsey had patched all unauthenticated endpoints, taken the development environment offline, and blocked public API documentation.</p>
<div class="lb-trans"><p>CodeWall 的代理在 2 月底发现了 SQL 注入漏洞，研究人员在 3 月 1 日披露了完整的攻击链。到第二天，麦肯锡已修补了所有未经身份验证的端点，关闭了开发环境，并阻止了公共 API 文档。</p>
</div><p>A McKinsey spokesperson told <em>The Register</em> that it fixed all of the issues identified by CodeWall within hours of learning about the problems.</p>
<div class="lb-trans"><p>麦肯锡的一位发言人告诉 <em>The Register</em>，在得知问题后，他们在数小时内修复了 CodeWall 识别的所有问题。</p>
</div><p>&#34;Our investigation, supported by a leading third-party forensics firm, identified no evidence that client data or client confidential information were accessed by this researcher or any other unauthorized third party,&#34; the spokesperson told us. &#34;McKinsey's cybersecurity systems are robust, and we have no higher priority than the protection of client data and information we have been entrusted with.&#34;</p>
<div class="lb-trans"><p>“我们的调查在一家领先的第三方取证公司的支持下，未发现该研究人员或任何其他未经授权的第三方访问客户数据或客户机密信息的证据，” 发言人告诉我们。“麦肯锡的网络安全系统是强大的，我们没有比保护客户数据和我们所信任的信息更高的优先事项。”</p>
</div><h3>AI vs AI</h3>
<div class="lb-trans"><h3>AI 对抗 AI</h3>
</div><p>CodeWall CEO Paul Price declined to tell us the exact prompts his team used to exploit the chatbot, but said the entire process was &#34;fully autonomous from researching the target, analyzing, attacking, and reporting.&#34;</p>
<div class="lb-trans"><p>CodeWall 首席执行官 Paul Price 拒绝透露他的团队用来利用聊天机器人的确切提示，但表示整个过程是 “完全自主的，从研究目标、分析、攻击到报告。”</p>
</div><p>The CodeWall agent initially gained access to Lilli after finding publicly exposed API documentation, including 22 endpoints that didn't require authentication. One of these wrote user search queries, and the agent found that the JSON keys (these are the field names) were concatenated into SQL and vulnerable to SQL injection.</p>
<div class="lb-trans"><p>CodeWall 代理最初通过找到公开暴露的 API 文档获得了对 Lilli 的访问权限，包括 22 个不需要身份验证的端点。其中一个写入用户搜索查询，代理发现 JSON 键（这些是字段名称）被连接到 SQL 中，并且容易受到 SQL 注入攻击。</p>
</div><p>&#34;When it found JSON keys reflected verbatim in database error messages, it recognised a SQL injection that standard tools wouldn't flag,&#34; the researchers wrote, adding that the error messages eventually began outputting live production data.</p>
<div class="lb-trans"><p>“当它发现 JSON 键在数据库错误消息中逐字反映时，它识别出一种标准工具不会标记的 SQL 注入，” 研究人员写道，并补充说错误消息最终开始输出实时生产数据。</p>
</div><p>It gets worse: Lilli's system prompts were stored in the same database, which gave the agent access to these as well.</p>
<div class="lb-trans"><p>更糟糕的是：Lilli 的系统提示存储在同一个数据库中，这使得代理也可以访问这些提示。</p>
</div><ul>
<li>AI agents now help attackers, including North Korea, manage their drudge work</li>
<li>Microsoft Azure CTO set Claude on his 1986 Apple II code, says it found vulns</li>
<li>Malware-laced OpenClaw installers get Bing AI search boost</li>
<li>OpenAI says Chinese cops used ChatGPT to plan and track smear ops against opponents</li>
</ul>
<div class="lb-trans"><ul>
<li>AI 代理现在帮助攻击者，包括朝鲜，管理他们的繁重工作</li>
<li>微软 Azure 首席技术官将 Claude 设置在他的 1986 年 Apple II 代码上，称其发现了漏洞</li>
<li>带有恶意软件的 OpenClaw 安装程序获得 Bing AI 搜索提升</li>
<li>OpenAI 表示中国警方使用 ChatGPT 计划和追踪对对手的抹黑行动</li>
</ul>
</div><p>Because the SQL injection flaw was read and write, an attacker could abuse this to silently rewrite Lilli's prompts, thus poisoning how the chatbot answered consultants' queries, what guardrails it followed, and how it cited sources. &#34;No deployment needed,&#34; the blog says. &#34;No code change. Just a single UPDATE statement wrapped in a single HTTP call.&#34;</p>
<div class="lb-trans"><p>由于 SQL 注入漏洞是可读可写的，攻击者可以利用这一点悄悄重写 Lilli 的提示，从而毒化聊天机器人回答顾问查询的方式、遵循的保护措施以及引用的来源。“不需要部署，” 博客上写道。“不需要代码更改。只需一个单独的 UPDATE 语句包装在一个单独的 HTTP 调用中。”</p>
</div><p>These security holes are now closed – but the larger threat remains, Price told <em>The Register</em>.</p>
<div class="lb-trans"><p>这些安全漏洞现在已被修补——但更大的威胁仍然存在，Price 告诉 <em>The Register</em>。</p>
</div><p>&#34;We used a specific AI research agent to autonomously select the target, it did this without zero human input,&#34; he said. &#34;Hackers will be using the same technology and strategies to attack indiscriminately, with a specific objective in mind,&#34; such as &#34;financial blackmail for data loss or ransomware.&#34; ®</p>
<div class="lb-trans"><p>“我们使用了一个特定的 AI 研究代理来自主选择目标，它在没有任何人工输入的情况下完成了这一过程，” 他说。“黑客将使用相同的技术和策略进行无差别攻击，心中有特定目标，” 例如 “因数据丢失进行财务勒索或勒索软件。” ®</p>
</div>

AI 对抗 AI：代理在短短两小时内入侵了麦肯锡的聊天机器人，并获得了完全的读写权限