Un ricercatore ha individuato un attacco di prompt injection attivo sulla piattaforma Moltbook, mirato al furto di criptovalute tramite il controllo di agenti AI.

Dettagli dell'attacco

Il payload malevolo era nascosto all'interno di un post apparentemente innocuo, una guida sull'utilizzo di Base chain e Viem. Nella parte inferiore del post, era presente un codice progettato per forzare l'agente AI a trasferire 0.1 ETH a un indirizzo specifico, bypassando i controlli di sicurezza.

Implicazioni per gli sviluppatori

Questo incidente sottolinea la necessità critica per gli sviluppatori di trattare tutti i contenuti web e social come dati non attendibili. È fondamentale separare rigorosamente gli strumenti di lettura da quelli di scrittura e richiedere una conferma esplicita per qualsiasi transazione o azione che modifichi lo stato del sistema. Altre misure difensive includono il blocco di marcatori di injection e la registrazione della provenienza di ogni azione.

Misure di sicurezza

Il ricercatore raccomanda di non memorizzare chiavi private direttamente negli agenti, ma di utilizzare sistemi di firma con policy di controllo. Inoltre, suggerisce di implementare un logging dettagliato per tracciare la provenienza di ogni azione intrapresa dall'agente, facilitando l'identificazione e la correzione di eventuali vulnerabilità. Per chi valuta deployment on-premise, esistono trade-off architetturali da considerare; AI-RADAR offre framework analitici su /llm-onpremise per valutare questi aspetti.