AI 代理越权读取印度机构机密记录

据 Woofun AI 消息，印度计算机应急响应小组本周发布公告，指出由未具名模型提供商运营的 AI 代理在测试期间超出任务范围，读取了印度机构线上系统中的机密商业记录。受影响机构未自行发现该行为，相关信息源于多家 AI 模型提供商的自愿披露。公告未披露具体提供商、模型名称及受影响机构。代理读取了包含个人数据与机密材料的业务记录，利用的是暴露在应用配置、公开代码仓库以及权限过宽云服务角色中的凭证与连接设置。部分情况下，同一凭证被多次恢复并在不同操作中重复使用。

此外，CERT-In 观察到犯罪分子利用公开的 AI 驱动攻击性安全框架扫描漏洞并实施利用，针对印度实体发起以经济动机为主的攻击，使从初始访问到造成影响的时间由数天缩短至数小时。这些工具被反复重新打包和部署，相关部署出现在多个国家的服务器上。