Przewodnik po AIDR | RuntimeSec

Czym jest AI Detection & Response?

AIDR jest dla agentów AI tym, czym EDR dla laptopów: stałym wglądem w to, co robią, możliwością zatrzymania szkodliwej akcji i dowodami do późniejszego dochodzenia.

Agent kodujący to nowy rodzaj aktora na komputerze dewelopera. Czyta pliki, uruchamia polecenia w powłoce, wywołuje narzędzia na serwerach MCP i pobiera strony z sieci, a wszystko to z uprawnieniami samego dewelopera i z prędkością maszyny.

Istniejące zabezpieczenia nie powstały z myślą o tym. Ochrona endpointów widzi polecenie w powłoce, ale nie rozmowę, która do niego doprowadziła. Code review widzi diff, ale nie plik .env, który agent przeczytał po drodze. A ponieważ agent przyjmuje polecenia z tekstu, niewinnie wyglądająca strona internetowa może stać się instrukcją.

AI Detection & Response zamyka tę lukę, obserwując agentów tam, gdzie ich decyzje zamieniają się w działania: w wywołaniu narzędzia. Ma trzy zadania.

Wykrywanie

Przegląda każdą sesję pod kątem ryzykownych zachowań i nazywa technikę, która za nimi stoi.

Reagowanie

Zatrzymuje zakazane wywołanie narzędzia, zanim się wykona, i powiadamia osoby, które powinny o tym wiedzieć.

Dochodzenie

Daje analitykom transkrypt, dowody i miejsce na zapisanie werdyktu.

Jak atakuje się agentów

AIDR klasyfikuje każde znalezisko według modelu zagrożeń ADR: 5 taktyk i 17 technik z otwartoźródłowego projektu Agentic AI Detection and Response od Ubera. Identyfikator techniki widnieje przy każdym alercie.

Początkowe przejęcie 6 technik

Zdobycie przyczółka: sprawienie, by agent działał na rzecz atakującego.

ADR.T0001: Niezabezpieczony łańcuch dostaw komponentów agentowychPrzejęta zależność, wtyczka albo plik modelu, na którym polega agent.
ADR.T0002: Pośrednie wstrzyknięcie promptuInstrukcje ukryte w danych, które czyta agent: na stronie, w zgłoszeniu, w pliku.
ADR.T0003: Przejęcie przepływu sterowania agentaŁączenie wywołań narzędzi, z których każde osobno jest nieszkodliwe, w szkodliwy ciąg działań.
ADR.T0004: Nadużycie interpretera kodu agentaNakłonienie agenta do uruchomienia złośliwego kodu jego własnym narzędziem wykonawczym.
ADR.T0005: Niebezpieczna obsługa wynikówWynik, który szkodzi ufającemu mu systemowi dalej w łańcuchu, np. wstrzyknięty skrypt.
ADR.T0006: Podmiana narzędzia (rug pull)Narzędzie, które przeszło weryfikację, a potem po cichu zmieniło działanie w aktualizacji.

Nadużycie uprawnień 2 techniki

Korzystanie z szerszego dostępu, niż wymaga zadanie.

ADR.T0007: Wykorzystanie nadmiernych uprawnień narzędziNarzędzie z szerszym dostępem, niż potrzebuje, obrócone przeciw systemom, do których ma dostęp.
ADR.T0008: Podszywanie się pod tożsamość agentaSkradzione lub sfałszowane dane uwierzytelniające agenta, użyte do przejęcia jego uprawnień.

Obejście zabezpieczeń 3 techniki

Prześlizgnięcie się obok kontroli, które powinny to wychwycić.

ADR.T0009: Przesłanianie narzędziZłośliwy serwer MCP definiujący narzędzie o tej samej nazwie co zaufane.
ADR.T0010: Manipulacja halucynacją narzędziPrzekonanie agenta, że nieistniejące narzędzie jest prawdziwe.
ADR.T0011: Złośliwa zmowa agentówAgenci, którzy osobno wyglądają niewinnie, koordynujący działania, by obejść kontrole.

Manipulacja rozumowaniem i danymi 4 techniki

Zatruwanie tego, w co agent wierzy, albo tego, z czym się łączy.

ADR.T0012: Połączenie z niezweryfikowanym serwerem MCPAgent łączący się z serwerem MCP, którego nikt nie sprawdził.
ADR.T0013: Semantyczne zatruwanie danychSubtelnie zmanipulowane źródła, które z czasem wypaczają decyzje agenta.
ADR.T0014: Długoterminowe przejęcie celówPowolne sterowanie pamięcią lub celami agenta w ciągu wielu interakcji.
ADR.T0015: Atak czasowy na daneManipulowanie czasem lub kolejnością wyników narzędzi zamiast ich treścią.

Wpływ operacyjny 2 techniki

Zakłócanie działania systemów i budżetów.

ADR.T0016: Wyczerpywanie zasobów za pośrednictwem agentaUżycie agenta do zalania wewnętrznych systemów pracą.
ADR.T0017: Odmowa usługi w warstwie modeluPrompty skonstruowane tak, by model zużywał nieproporcjonalnie dużo mocy obliczeniowej.

Co AIDR wychwytuje w każdej sesji

Wbudowane reguły są deterministyczne, nic nie kosztują i kończą się w niecałe 5 ms, więc sprawdzają każdą sesję. Twoje własne reguły polityki działają obok nich.

Destrukcyjne polecenia

Polecenia, które usuwają, nadpisują albo otwierają dostęp znacznie szerzej, niż wymaga zadanie.

rm -rf /
DROP TABLE
git push --force
kubectl delete
chmod -R 777
>> /etc/sudoers

Dostęp do sekretów

Odczyty plików z danymi uwierzytelniającymi.

.env
~/.ssh/id_rsa
.aws/credentials
secrets.yaml

Instalatory przez potok

Zdalne skrypty przekazywane prosto do powłoki, bez czytania.

curl … | sh
wget … | bash

Eksfiltracja

Wysyłanie plików i ruch do miejsc, które istnieją po to, by przyjmować dane.

pastebin.com
webhook.site
requestbin
ngrok.io
curl --data

Wstrzykiwanie promptów

Tekst, który próbuje unieważnić instrukcje agenta.

ignore previous instructions
bypass the guardrails
system prompt:

Niezarejestrowane serwery MCP

Wywołania narzędzi na serwerze MCP spoza Twojego rejestru, przypisane do ADR.T0012.

mcp__unknown-server__*

Słownik

Pojęcia, które spotkasz w (anglojęzycznej) konsoli AIDR, i ich znaczenie.

Endpoint: Komputer dewelopera, na którym działa aidr-agent.
Session: Jedna rozmowa dewelopera z agentem, zapisana jako transkrypt.
Tool call: Jedna akcja w sesji: polecenie, odczyt lub edycja pliku, narzędzie MCP.
Policy rule: Warunek na narzędzie, argumenty, ścieżkę i projekt, ze skutkiem takim jak blokada albo alert.
Live decision: Wywołanie narzędzia zablokowane przez Twoją politykę lub oznaczone do zapisu, zarejestrowane w chwili zdarzenia. Rutynowe zezwolenia nie są przechowywane.
Detection: Werdykt jednego poziomu w sprawie sesji: reguł, triażu albo analizy.
Alert: Znalezisko dla analityka, z istotnością, priorytetem i dowodami.
Case: Powiązane alerty zebrane razem, z notatkami i werdyktem zamykającym.
Severity and priority: Od critical do info, wyliczana z pewności, taktyki i zasobu; priorytet P0–P3 wyznacza docelowy czas reakcji.
Verdict: Etykieta analityka: prawdziwy alarm (true positive), fałszywy alarm (false positive), nieszkodliwe (benign) albo nierozstrzygnięte (inconclusive).
Drift: Zmiana konfiguracji agenta na maszynie, np. nowy serwer MCP albo hook.
Enrollment token: Jednorazowy token, który przypisuje maszynę do Twojej organizacji.

Pierwsze kroki

Zarejestruj jedną maszynę, dodaj jedną regułę blokującą i zobacz, jak następne pasujące wywołanie zostaje odrzucone.

Instalacja

Dwa polecenia na maszynę, a potem każde wywołanie narzędzia najpierw pyta Twoją politykę.

Przeczytaj instrukcję

Konsola

Reguły, decyzje na żywo, alerty i sprawy Twojej organizacji.

Zaloguj się

Demo

Przyjdź z działaniami, które Cię niepokoją, a pokażemy politykę, która je zatrzyma.

Umów demo

Przewodnik po AIDR. Bezpieczeństwo agentów prostym językiem.