Сотрудник оборонного подрядчика дал личному ИИ-агенту доступ к защищённой системе Пентагона

Какие данные оказались под угрозой

Централизованная система хранит контролируемую несекретную информацию — CUI. Она считается чувствительной, и перед публикацией её нужно проверять. К таким сведениям могут относиться данные о критической инфраструктуре, движителях атомных подводных лодок и уязвимостях, связанных с химическим и биологическим терроризмом. Специалисты по безопасности предупреждают: доступ к этой системе мог бы открыть путь и к более чувствительным системам.

Источник, знакомый с инцидентом и попросивший не называть его имени, поскольку у него не было разрешения общаться с прессой, считает, что утечка поставила под угрозу все данные в системе. Если стороннее программное обеспечение было скомпрометировано, кто-то мог получить возможность незаметно входить в защищённую среду. По оценке источника, это угроза национальной безопасности, способная привести к непоправимому ущербу.

Представитель Министерства обороны США заявил WIRED, что ведомство не комментирует состояние своих сетей и систем.

Представитель Accenture сообщил WIRED, что компания серьёзно относится ко всем опасениям, а обвинения были тщательно и независимо расследованы и признаны необоснованными. Компания также заявила, что полностью выполнила свои юридические и договорные обязательства. На просьбу уточнить, кто проводил расследование, Accenture не ответила и не стала оспаривать, что случившееся можно считать инцидентом.

По утверждениям источников, сотрудник Accenture подключил защищённую рабочую среду к личному аккаунту Claude, чтобы ИИ-агент мог писать и развёртывать код. Сотрудникам Министерства обороны сейчас запрещено пользоваться Claude. Anthropic направила WIRED к правилам использования сервиса: в них сказано, что нельзя применять продукты компании для вмешательства в работу военных баз и связанной инфраструктуры или без разрешения обходить средства защиты — например, системы аутентификации, защиты конечных устройств и мониторинга.

ИИ-агент сотрудника работал в сети Министерства обороны два месяца, прежде чем его обнаружили и устранили уязвимость. Источники утверждают, что сотрудники Accenture не восприняли риски как серьёзную или срочную проблему. Сотрудники ведомства и федеральные подрядчики обязаны сообщать о киберинцидентах в течение 72 часов после обнаружения, однако, по данным источников, Accenture сначала вообще не уведомила правительство о нарушении.

Сотрудник Accenture отметил, что сейчас США противостоят Ирану, который пытался взломать несколько федеральных ведомств и элементы американской инфраструктуры. По его словам, это худшее время для такого легкомысленного отношения к безопасности.

Контрактные стимулы и требования безопасности

У Accenture более чем на 3,5 млрд долларов контрактов с федеральным правительством США, из них почти на 605 млн долларов — с Министерством обороны. Компания также работает с другими ведомствами, в том числе с Министерством образования, Управлением общих служб и Министерством энергетики.

Ранее в этом месяце ФБР сообщило, что подрядчик Accenture не устранил уязвимость, после чего хакерская группа ShinyHunters получила доступ к данным тысяч сотрудников бюро. ФБР отстранило подрядчика в начале октября.

Мэтт Трайнер, основатель консалтинговой ИТ-компании Hunter Strategy из Вашингтона, считает этот случай примером противоречивых требований, с которыми сталкиваются государственные подрядчики. По его словам, компании нередко наказывают за сообщения о подобных инцидентах, хотя сообщать о них правильно и предписано законом. Признав утечку, компания в ряде случаев может потерять государственные контракты. При этом Трайнер считает, что описанный случай необходимо было докладывать.

Трайнер также отмечает, что подрядчиков всё сильнее подталкивают выполнять проекты быстрее и дешевле, хотя это мешает уделять приоритетное внимание безопасности. По его словам, система противоречивых правил и стимулов существовала и до появления ИИ, но теперь та же проблема проявляется и в скорости работы.

Как агент получил доступ к сети

Среда разработки, к которой подключился подрядчик Accenture, работает в сети NIPRNet — не секретной сети Министерства обороны США для несекретной информации. Она подключена к интернету: сотрудники и подрядчики могут пользоваться через неё электронной почтой и браузерами, — но при этом защищена.

Чтобы автоматизировать написание кода и запуск облачных серверов, подрядчик передал ИИ-агенту Claude свои учётные данные. Это дало агенту административный доступ и позволило обходить средства защиты, действующие при обычном входе в систему. Агент не только писал код, но и сохранял его в системе от имени сотрудника Accenture. Для работы ему требовалось подключаться к интернету. Судя по всему, при этом агент отправил на сторонний сайт учётные данные сотрудника, пароли и карту сети NIPRNet.

WIRED не называет этот сайт, чтобы не создавать дополнительный риск для системы. Национальный институт стандартов и технологий США (NIST) ранее отнёс его к высокорисковым: у сайта есть уязвимость, которая позволяет злоумышленникам внедрять инструкции в ИИ-агента для программирования и похищать учётные данные.

Система, к которой получил доступ агент, содержала CUI. Источник подчёркивает, что информация из такой среды не должна покидать её. После отправки данных на этот сервис неизвестно, что произошло с ними и с учётными данными, в том числе сохранились ли они там.

В зависимости от ведомства и его задач CUI может включать персональные данные, коммерческую информацию и сведения о контрактах. На сайте Министерства обороны указано, что к ней могут относиться данные о защите взрывчатых веществ, опасных химикатов и трубопроводов; документация о разработке военной или космической техники и технологий; точное расположение и количество радиоактивных материалов.

Карта системы может быть ценной для хакера даже без самих данных. Трайнер поясняет: когда злоумышленник понимает, как связаны между собой отдельные элементы, чувствительным становится то, как именно они объединены и как это превращается в практически применимую разведывательную информацию. Такая карта может ускорить действия противника после проникновения в систему и помочь определить, где находятся наиболее ценные данные.

Возможные последствия для секретных сетей

Джейк Уильямс, бывший хакер АНБ и сотрудник консалтинговой компании в сфере разведки и безопасности IANS, считает, что запуск ИИ-агента для работы с кодом в NIPRNet создаёт серьёзную проблему и несёт большие риски для национальной безопасности.

По словам Уильямса, отдельные данные могут считаться CUI, но в совокупности несекретная информация способна стать секретной. Например, сведения о расположении опасных материалов и уязвимостях объектов, где они хранятся, могут по отдельности относиться к CUI, а вместе раскрыть информацию, которая должна оставаться секретной.

Есть и другой путь, которым могли подвергнуться риску секретные данные. Инструменты и код часто сначала проверяют в NIPRNet, а затем развёртывают в более чувствительных сетях — SIPRNet, предназначенной для секретной информации, и JWICS, защищённой интрасети для совершенно секретных сведений. Обе сети физически изолированы и не подключены к внешним сетям, поэтому удалённо проникнуть в них крайне сложно.

Однако похищенные ИИ-агентом учётные данные могли дать хакеру доступ к NIPRNet. Злоумышленник мог внедрить в инструмент или систему скрытый доступ либо другой вредоносный код. Без надлежащей проверки этот код мог попасть в одну из изолированных сетей.

Уильямс считает, что код может нормально работать в NIPRNet и одновременно выполнять вредоносные действия в SIPRNet. Вывести данные из изолированных сетей было бы сложно, добавляет он, но вредоносный код мог бы атаковать их изнутри. Наиболее вероятным вариантом Уильямс называет распределённую атаку типа «отказ в обслуживании».

Трайнер добавляет, что вред мог бы быть и менее заметным: например, замедление разведывательной работы и других операций способно подорвать доверие пользователей к инструменту даже после устранения проблемы.

Почему код от ИИ сложнее проверять

По мере распространения вайб-кодинга — когда инженер просит ИИ-помощника написать код для описанного продукта — проверять код становится всё труднее. ИИ генерирует его намного быстрее, чем человек успевает проверять.

Уильямс отмечает, что при работе с агентом сложно понять, из каких источников и по какой цепочке рассуждений появился код. Многие примеры, на которых обучались большие языковые модели, сами содержат уязвимости, поэтому модели могут воспроизводить те же архитектурные решения и ошибки, которые встречаются в другом коде.

У правительства есть способ находить дефекты в коде NIPRNet: статический анализ безопасности приложений (SAST) проверяет код на ошибки и уязвимости до его запуска. Но, поясняет Уильямс, внедрённая хакером скрытая закладка сама по себе не является уязвимостью, даже если её там быть не должно, поэтому SAST, вероятно, её не обнаружит. Обычно этот метод также не выявляет системные проблемы в логике создания кода.

Нет данных о том, что хакеры проникли в секретную или совершенно секретную систему. Тем не менее, по словам Уильямса, инцидент должен вызвать серьёзную тревогу. Министерство обороны считает закрытой любую информацию о NIPRNet, которую нельзя найти в открытых источниках, независимо от того, соприкасается ли она с секретной сетью.

Это не первый случай, когда ИИ-связанные проблемы создают угрозу для Министерства обороны. В прошлом году ProPublica сообщила, что Microsoft привлекала к проектам для федерального правительства «цифровых сопровождающих»: американские сотрудники с допуском к секретным сведениям должны были контролировать код, написанный подрядчиками в Китае. Эксперты, поговорившие с ProPublica, предупреждали, что программа несёт особый риск для безопасности: американские сотрудники часто не могли самостоятельно проверить код, оставляя возможность незаметно внедрить в государственные системы вредоносные команды.