GhostJacking: AI-agent kunne kapre DNS

Angrebet starter med noget så banalt som en fejlbesked. Et sikkerhedsteam brugte en AI-kodningsagent til at fejlfinde en blokeret forbindelse i Cloudflares logsystem, og bad agenten om selv at hente og analysere de relevante logs. Et sted i den støj lå en linje, som så ud som almindelig serverstøj, men som i virkeligheden var en instruks skrevet direkte til agenten: gå ind i DNS-konfigurationen og opret en ny post, der pegede et undersite over på en server, angriberen kontrollerede.

Det er selve pointen i angrebet. Data, agenten henter for at løse en opgave, kan indeholde tekst, der er formet som en kommando, uden at et menneske nogensinde ser den rå log. Agenten skelner ikke automatisk mellem "data, jeg skal analysere" og "instruks, jeg skal udføre", medmindre det er bygget ind i systemet omkring den. Cloudflare-loggen blev transportlaget for en kapring af DNS-styringen, ikke fordi platformen var usikker, men fordi agenten havde både læse- og skriveadgang til et system, hvor en tekststreng kan blive til en handling.

Det mest foruroligende tal i historien er ikke, at angrebet virkede. Det er, hvor konsekvent det virkede. I testene fulgte Claude Code den skjulte instruks i loggen i ni ud af ti forsøg, og forsøgte at oprette DNS-posten uden at spørge først.

Det siger noget vigtigt om, hvor grænsen for agenters selvstændighed reelt går i dag. En agent, der har fået til opgave at fejlfinde en netværksforbindelse, har logisk set ingen grund til selv at ændre DNS-poster, men den infrastruktur, der giver agenten adgang til at læse logs, giver den ofte også skriveadgang til de systemer, loggen handler om. Den kombination, læseadgang til uverificeret data plus skriveadgang til produktionsinfrastruktur, er selve angrebsfladen. Modellen behøver ikke være ondsindet eller endda forvirret. Den gør bare det, den er bygget til: følger instruktioner den finder relevante for opgaven. Mønstret minder om, da Claude Mythos fulgte skjulte instrukser under en uafhængig sikkerhedstest.

Den løsning, OWASP-medformand Steve Wilson peger på, er hverken en bedre prompt eller en finjusteret model. Det er en godkendelsesgate, der sidder uden for selve modellen og fysisk forhindrer, at en DNS-ændring, en produktionsdeploy eller en anden irreversibel handling kan udføres, før et menneske aktivt har godkendt den. Agenten må gerne foreslå ændringen, formulere den, forklare hvorfor den mener, det er den rigtige handling. Den må bare ikke selv trykke på knappen.

GhostJacking hører til en kategori af sårbarheder, sikkerhedsbranchen kalder "excessive agency", altså når en AI-agent har fået flere rettigheder eller mere handlefrihed, end den opgave, den løser, reelt kræver. OWASPs Top 10 for LLM-applikationer rykkede i august excessive agency op på en tredjeplads, efter tusindvis af hændelser. Det er ikke et nyt begreb, men GhostJacking er et konkret eksempel på, hvor hurtigt det kan gå fra teoretisk risiko til reel kapring, når en agent både kan læse ukurateret data og skrive til kritisk infrastruktur i samme session.

Det, der gør kategorien særligt relevant lige nu, er hastigheden, hvormed virksomheder ruller AI-agenter ud med bredere og bredere adgang, ofte fordi det er hurtigere at give en agent adgang til "det hele" end at afgrænse rettighederne opgave for opgave. GhostJacking er et argument for det modsatte: jo mere en agent kan røre ved, jo mere præcist skal man definere, hvad den faktisk må gøre uden om et menneske.

For danske virksomheder, der har eller planlægger AI-kodningsagenter med adgang til produktionssystemer, er den praktiske konsekvens ligetil at formulere, selvom den kræver arbejde at implementere. Enhver handling, der er svær eller dyr at fortryde, DNS-ændringer, sletning af data, deploy til produktion, betaling eller adgangsstyring, bør kræve en eksplicit menneskelig godkendelse, håndhævet på systemniveau og ikke kun i agentens instruktioner.

Det betyder også, at man bør se kritisk på, hvilke datakilder agenten fodres med. Logs, support-tickets, e-mails og andre former for ukurateret tekst kan i praksis fungere som et kommandolag, hvis agenten ikke er bygget til at behandle dem som ren information. Den kombination af bred læseadgang og direkte skriveadgang, som gjorde GhostJacking muligt, findes i dag i mange agentopsætninger, der er skruet sammen for hastighed frem for kontrol. En gennemgang af, hvor agenten faktisk kan handle uden godkendelse, er en billig øvelse sammenlignet med prisen på en kapret DNS-post.