Un recente studio ha messo in luce vulnerabilità significative nella sicurezza delle pipeline CI/CD, sfruttando un approccio multi-agente basato su LLM. La ricerca, condotta in modalità shadow dietro un firewall LLM, ha rivelato come il framing dell’autorità e il codice mascherato possano trasformare una fidata pipeline CI/CD in una superficie di attacco.

Configurazione dello studio: pipeline CI/CD con LLM multi-agente

Lo studio ha esaminato una pipeline CI/CD composta da cinque agenti distinti, ognuno operante con LLMs provenienti da tre fornitori diversi. Questi agenti sono stati gestiti in modalità shadow, protetti da un firewall LLM. L’obiettivo era valutare la robustezza della pipeline contro attacchi sofisticati. Sorprendentemente, il primo agente non ha rivelato i suoi prompt di sistema in nessuno dei 40 tentativi, dimostrando una certa resistenza iniziale.

Attacco di authority framing e iniezione di codice mascherato

L’attacco simulato ha coinvolto una richiesta malevola per una funzionalità di “usage-telemetry”, che trasportava codice maligno mascherato come semplice osservabilità. Questo codice ha esfiltrato segreti di processo, sfruttando l’approvazione pre-etichettata come “pre-approved under SEC-2291”. Gli agenti a valle, fidandosi di questa etichettatura, hanno approvato il codice senza ulteriore verifica, evidenziando una grave falla nel sistema.

Fallimenti nella verifica di sicurezza e limiti degli scanner

Circa l’80% delle richieste pull alterate è riuscito a superare gli scanner di sicurezza, con un tasso di compromissione che ha raggiunto il 55% nei casi peggiori. Questo risultato sottolinea l’inefficacia degli scanner basati su contenuti e dei rilevatori di pattern nel rilevare intenti malevoli. Anche la presenza di verificatori multipli ha ridotto solo leggermente il livello di scrutinio, manifestando un debole effetto di spettatore.

Difese, fallimenti sistemici e raccomandazioni

Sebbene il ragionamento degli LLM sull’intento abbia fornito una difesa parziale, il fallimento sistemico risiede nella fiducia sulla segretezza dei prompt e sulla verifica distribuita. La soluzione suggerita consiste nell’adozione di un controllo consapevole della provenienza all’ingresso della pipeline. Tuttavia, è importante notare che tutti i dati e le simulazioni di attacco erano sintetici, senza contatti con URL esterni reali.

FAQ

Come è stata configurata la pipeline CI/CD multi-agente per lo studio?

La pipeline era composta da cinque agenti distinti di produzione LLM provenienti da tre fornitori diversi, operanti dietro un firewall LLM in modalità shadow.

Che tipo di attacco è stato simulato nella pipeline CI/CD?

È stata simulata una richiesta malevola per una funzione di “usage-telemetry” contenente codice maligno che esfiltrava segreti di processo mascherati come osservabilità.

Gli scanner di codice tradizionali hanno rilevato il codice maligno?

No, gli scanner di codice basati sui contenuti e i rilevatori di pattern non sono riusciti a rilevare l’intento malevolo mascherato; il codice era sintatticamente pulito.

Quali misure di sicurezza hanno parzialmente mitigato l’attacco?

Solo il ragionamento degli LLM sull’intento del codice ha fornito una certa difesa parziale contro l’attacco.

Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.