Ένα κρίσιμο κενό ασφαλείας εντοπίστηκε στο open source framework ModelScope MS-Agent, θέτοντας σε κίνδυνο συστήματα που το χρησιμοποιούν για την ανάπτυξη AI agents. Η ευπάθεια επιτρέπει σε έναν επιτιθέμενο να εκτελέσει αυθαίρετες εντολές λειτουργικού συστήματος μέσω κατάλληλα διαμορφωμένων inputs.
Το MS-Agent αποτελεί ένα framework βασισμένο στο MCP (Model Calling Protocol), σχεδιασμένο για τη δημιουργία AI agents ικανών να γράφουν κώδικα, να αναλύουν δεδομένα και να αλληλεπιδρούν με εξωτερικά εργαλεία. Η ευελιξία αυτή, ωστόσο, φαίνεται πως συνοδεύεται από σοβαρούς κινδύνους όταν δεν εφαρμόζονται αυστηροί μηχανισμοί ελέγχου input.
Δείτε επίσης: Ευπάθεια στο Chrome: Κακόβουλες Επεκτάσεις και Gemini Panel
CVE-2026-2256: Το πρόβλημα στο εργαλείο Shell του MS-Agent
Η ευπάθεια, που καταγράφεται ως CVE-2026-2256, εντοπίζεται στο εργαλείο Shell του MS-Agent. Το συγκεκριμένο component επιτρέπει στους agents να εκτελούν εντολές απευθείας στο λειτουργικό σύστημα του host. Αν και το εργαλείο περιλαμβάνει μηχανισμό φιλτραρίσματος επικίνδυνων εντολών, βασίζεται σε μια blacklist με χρήση regular expressions — μια πρακτική που θεωρείται επισφαλής από την κοινότητα της ασφάλειας.
Σύμφωνα με τον ερευνητή Itamar Yochpaz, η προσέγγιση regex-based blacklist αφήνει περιθώρια παράκαμψης. Το σύστημα εφαρμόζει έξι επίπεδα επικύρωσης πριν από την εκτέλεση εντολών, αλλά η λειτουργία επιτρέπει στους εισβολείς να εκτελούν αυθαίρετο κώδικα μέσω αξιόπιστων interpreters, να εξαγάγουν δεδομένα μέσω επιτρεπόμενων βοηθητικών προγραμμάτων δικτύου και να παρακάμπτουν το tokenization μέσω shell parsing semantics.
Πώς μπορεί να γίνει η εκμετάλλευση
Το ιδιαίτερα ανησυχητικό στοιχείο είναι ότι ο επιτιθέμενος δεν χρειάζεται άμεση πρόσβαση στο περιβάλλον εκτέλεσης. Αρκεί να εισάγει κακόβουλα διαμορφωμένο περιεχόμενο σε δεδομένα που καταναλώνει ο agent, όπως prompts, έγγραφα, logs ή δεδομένα έρευνας. Μέσω αυτής της έμμεσης οδού, μπορεί να επηρεάσει τη λήψη απόφασης του agent ώστε να επιλέξει το εργαλείο Shell.
Δείτε επίσης: Κενό ασφαλείας στους PTX routers της Juniper Networks
Στη συνέχεια, ο agent δημιουργεί μια εντολή shell που ενσωματώνει το επηρεασμένο από τον εισβολέα κείμενο. Κατά τον χρόνο εκτέλεσης, το shell ερμηνεύει τη συμβολοσειρά με τρόπο που ακυρώνει τη λογική της blacklist, επιτρέποντας την εκτέλεση αυθαίρετου κώδικα με τα προνόμια της διεργασίας MS-Agent.
Το αποτέλεσμα μπορεί να είναι πλήρης παραβίαση του host συστήματος, καθώς οι εντολές εκτελούνται στο πλαίσιο της κανονικής ροής λειτουργίας του agent.
Δυνητικές επιπτώσεις για οργανισμούς
Η επιτυχής εκμετάλλευση της ευπάθειας δίνει τη δυνατότητα σε επιτιθέμενους να διαβάσουν ευαίσθητα δεδομένα, όπως API keys, tokens και αρχεία ρυθμίσεων, να εγκαταστήσουν επιπλέον κακόβουλα payloads και να δημιουργήσουν persistence στο σύστημα. Παράλληλα, μπορούν να κινηθούν πλευρικά σε εσωτερικές υπηρεσίες, να επηρεάσουν pipelines build ή να εισάγουν αλλοιωμένα δεδομένα σε downstream διαδικασίες.
Σε περιβάλλοντα DevOps ή data science, όπου AI agents χρησιμοποιούνται για αυτοματοποίηση ροών εργασίας, ο κίνδυνος είναι ακόμη μεγαλύτερος. Ένας παραβιασμένος agent μπορεί να επηρεάσει ολόκληρη την αλυσίδα ανάπτυξης λογισμικού ή να εκθέσει εμπιστευτικές πληροφορίες.
Η ευπάθεια εντοπίστηκε στην έκδοση 1.5.2 του MS-Agent. Σύμφωνα με σχετική ειδοποίηση του CERT Coordination Center, ο προμηθευτής δεν είχε ανταποκριθεί κατά τη διάρκεια των προσπαθειών συντονισμένης αποκάλυψης, γεγονός που εντείνει τις ανησυχίες για τη διαχείριση του ζητήματος.
Δείτε επίσης: Trend Micro: Κρίσιμες ευπάθειες στο Apex One
Συστάσεις και στρατηγικές μετριασμού
Οι ειδικοί προτείνουν την ανάπτυξη του MS-Agent μόνο σε περιβάλλοντα όπου το περιεχόμενο που εισάγεται θεωρείται αξιόπιστο και έχει προηγουμένως επικυρωθεί. Επιπλέον, οι agents με δυνατότητα εκτέλεσης shell θα πρέπει να λειτουργούν σε sandboxed περιβάλλοντα και με την αρχή των ελάχιστων προνομίων (least privilege).
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Ιδιαίτερη έμφαση δίνεται στην αντικατάσταση των blacklist μηχανισμών με αυστηρές allowlists, καθώς και στην εφαρμογή ισχυρότερων ορίων απομόνωσης για εργαλεία που έχουν πρόσβαση στο λειτουργικό σύστημα. Η υπόθεση αυτή αναδεικνύει ένα ευρύτερο πρόβλημα: καθώς οι AI agents αποκτούν όλο και περισσότερες δυνατότητες αυτοματοποίησης, η επιφάνεια επίθεσης επεκτείνεται.
Σε ένα τοπίο όπου οι AI agents αλληλεπιδρούν άμεσα με υποδομές παραγωγής, η ασφάλεια δεν μπορεί να αποτελεί δευτερεύουσα σκέψη. Το περιστατικό με το MS-Agent λειτουργεί ως προειδοποίηση ότι η καινοτομία χωρίς αυστηρό έλεγχο εισόδου και απομόνωση μπορεί να μετατραπεί σε κρίσιμο σημείο αποτυχίας για ολόκληρα συστήματα.
