À medida que as ferramentas de IA proliferam e se tornam profundamente enraizado no desenvolvimento de software em todo o mundo, nova pesquisa da empresa de segurança cibernética Crowdstrike mostra como os invasores estão atacando ativamente a cadeia de ferramentas de IA para roubar credenciais de acesso, obter acesso mais profundo a um ambiente alvo, exfiltrar dados confidenciais e até mesmo destruir arquivos e sistemas alvo – tudo isso enquanto encontram novas maneiras de encobrir seus rastros.
Os pesquisadores descobriram um worm em estado selvagem enquanto investigavam ataques à cadeia de suprimentos de software de IA. Adam Meyers, vice-presidente sênior de trabalho contra adversários da CrowdStrike, diz que a empresa ainda não atribuiu a atividade a um ator específico, mas que ela se enquadra em evoluções maiores na forma como os invasores gostam EquipePCP (que Crowdstrike rastreia como “Altered Spider”) e Grupos norte-coreanos têm como alvo a cadeia de fornecimento de software de IA.
“Esta é uma das campanhas que vimos mostrando que esta é uma classe de ataque emergente”, disse Meyers à WIRED. “À medida que os agentes de codificação de IA se tornam o padrão de desenvolvimento, as ameaças à cadeia de fornecimento estão evoluindo para explorar essas relações de confiança. Pela primeira vez estamos experimentando o quanto a IA e a cadeia de ferramentas de IA desempenharam no ecossistema tecnológico mais amplo.”
O worm identificado pela CrowdStrike funciona em fases. Primeiro, faz o reconhecimento para avaliar o ambiente alvo. Em seguida, procura tokens de acesso e outros dados confidenciais, como chaves criptográficas e credenciais de acesso ao servidor, que podem ser entregues aos invasores. À medida que o malware ganha privilégios, ele se descompacta ainda mais e continua a obter credenciais, especialmente tokens “npm” que dão acesso aos principais servidores de gerenciamento de pacotes de software e outros recursos de desenvolvimento, como solicitações pull.
Quanto mais fundo o malware penetra no sistema, mais dados confidenciais ele pode capturar. Nesse ponto, o malware também pode implantar sua capacidade destrutiva, ou o que Meyers chama de “interruptor mortal”, para destruir arquivos ou bloquear o acesso legítimo à infraestrutura comprometida.
A principal conclusão, porém, é que grande parte da atividade maliciosa do worm ocorre em pontos essencialmente cegos, porque grande parte do seu comportamento imita ações legítimas. “É como uma agulha em um palheiro, exceto que é uma agulha em uma pilha de agulhas”, diz Meyers. “Isso se parece muito com o que muitas organizações de automação estão usando para criar código, por isso é muito difícil de detectar.”
Meyers acrescenta também que, nesses pipelines de desenvolvimento de software de IA, é mais difícil coletar os pontos de dados que os scanners de segurança e as ferramentas de análise tradicionalmente usam para detectar atividades potencialmente suspeitas.
“Há muita sobreposição de telemetria porque os sistemas legítimos de codificação de IA estão operando da mesma maneira que este worm, então se torna muito difícil discernir a partir da telemetria que você tem disponível o que é legítimo e o que é ilegítimo”, diz Meyers.
Para se esconder à vista de todos de forma ainda mais insidiosa, os autores do worm incluíram atrasos de tempo em que várias capacidades serão executadas horas ou até dias após a base ser estabelecida, tornando ainda mais difícil para os defensores estabelecerem uma causa e efeito de certos eventos que levam a certos resultados.
Meyers diz que a Crowdstrike tem trabalhado em estratégias para conectar mais pontos, mas enfatiza que, à medida que o desenvolvimento de software de IA explode, há uma necessidade premente de todos os participantes colaborarem em soluções estruturais.
“É uma superfície de detecção limitada porque apenas uma parte desta atividade irá realmente produzir qualquer tipo de sinal de telemetria para observarmos”, diz Meyers, “portanto, torna-se extremamente oneroso determinar o que é comportamento legítimo e o que é comportamento ilegítimo”.
