Az egyik kísérletben egy felhasználó úgy szerzett hozzáférést egy gyakorlórendszer adminisztrátori fiókjához, hogy követte a nyelvi modell utasításait, és visszaadta neki a parancsok kimenetét. Egy másik tesztben az önálló ágens már talált nyitott portokat a célgépen, mégis újrakezdte a felderítést, amikor a gép nem válaszolt a pingre. Az első példa azt mutatja, mennyivel könnyebbé válhat egy szűk támadási út kihasználása. A második azt, hogy a helyes műszaki ismeret önmagában még nem elég a következő lépés megválasztásához.
Az OWASP GenAI Security Project az LLM Exploit Generation Guide 2.0 című kiadványban ember által irányított nyelvi modelleket és különböző önállósággal működő AI-ágenseket vizsgált. A kutatók azt követték végig, meddig jutottak el a rendszerek, milyen eszközökre és mennyi emberi segítségre volt szükségük, illetve mi bizonyította, hogy az elért eredmény valódi. A vizsgálat szerint a felderítés és a sérülékenységekhez kapcsolódó kutatómunka már érdemben gyorsítható. A hibaelhárítás, az egymással versengő nyomok rangsorolása és a siker ellenőrzése jóval egyenetlenebbül ment. Az OWASP útmutatója
Hogyan zajlott a vizsgálat?
A munka 2025 tavaszán indult, és megközelítőleg tizenöt hónapot fogott át. A két fő célpont a Hack The Box Silentium és MonitorsFour nevű gépe volt. Ezek működő, engedélyezett gyakorlókörnyezetek voltak. A kutatók olyan célpontokat választottak, amelyek közlésük szerint a vizsgált modellek tanítási határideje után jelentek meg, és a tesztek idején még nem állt rendelkezésre hozzájuk bevett, nyilvános megoldási útmutató.
A választás az első kutatási szakasz egyik problémáját kezelte. Egy sok helyen dokumentált feladatnál nehéz eldönteni, hogy a modell felismerte-e a helyes megoldást, vagy egy korábban látott leírást idézett fel. Az újabb gépek csökkentették ennek esélyét, de természetesen nem zárták ki, hogy maga a technika vagy a célgépen használt szoftver valamely hibája már ismert volt a modell számára.
| Vizsgálati ág | Ki végezte a műveleteket? | Mit lehetett megfigyelni? |
|---|---|---|
| Ember által irányított modell | Az ember kérdezett, futtatta az ajánlott parancsokat, majd visszaadta az eredményeket. Egy szolgáltatónál futó fejlett modellt és egy kisebb, helyi modellt is vizsgáltak. | Mennyire használható a modell útmutatása, és mennyi előzetes tudás kell az egyes lépések végrehajtásához? |
| Önálló ágensek | A modell egy szoftveres keretrendszeren keresztül maga is meghívhatta az eszközöket. Kilenc konfigurációt vizsgáltak, köztük CAI-, HexStrike AI-, Claude Code-, Codex- és egyedi többágenses összeállításokat. | Meg tudja-e választani a rendszer a következő lépést, értelmezi-e a kimenetet, és felismeri-e, amikor emberi beavatkozásra van szükség? |
Az ágenses futtatásokat tapasztalt tesztelők kezelték, és minden ilyen vizsgálatot egyszer végeztek el. Azt, hogy egy kezdő hol boldogult volna önállóan, a kutatók a naplókból becsülték meg; nem futtattak külön kezdő kontrollcsoportot. A tanulmány ezért részletes esettanulmányokat kínál, nem statisztikailag megbízható sikerarányt vagy általános modellrangsort. Az OWASP részletes jelentése, kísérleti módszertan
Fiókátvétel a modell útmutatásával
A Silentium elleni, ember által végrehajtott gyakorlatban a modell a fő alkalmazáson kívül egy kiadás előtti tesztkörnyezetet is azonosított. Felismerte, hogy egy fiókkezelési folyamat a kelleténél több információt árul el, majd az eredmények alapján továbbvezette a felhasználót egy adminisztrátori fiók átvételéig.
A felhasználónak tudnia kellett parancssort kezelni, eszközöket telepíteni és futtatni, de nem kellett minden lépés mögött önállóan felismernie a kihasználható összefüggést. A folyamat modelloldali korlátozásokba is ütközött, így a haladás attól is függött, hogyan folyt a párbeszéd. Az eredmény egy konkrét laborfeladatra érvényes; nem bizonyítja, hogy ugyanez az útmutatás tetszőleges vállalati rendszeren megismételhető fiókátvételhez vezetne. Az OWASP Silentium-vizsgálata
A védekezés szempontjából már a tesztkörnyezet felfedezése is lényeges. Egy kívülről elérhető, de kevéssé ismert alkalmazást olyan szereplő is megtalálhat, aki segítség nélkül nem keresné. A szervezetnek ezért a másodlagos portálokat és a kiadás előtti környezeteket is ugyanolyan pontosan kell ismernie, mint a nyilvános főoldalát.
Az ágensek gyorsan gyűjtöttek nyomokat, de nem mindig tudtak választani közülük
Több konfiguráció kevés felügyelettel is felderített szolgáltatásokat, azonosított szoftververziókat, ismert sérülékenységek után kutatott, és lehetséges támadási útvonalat állított össze. A legerősebb többágenses rendszereknél a kezdeti beállítás után a munka jelentős része önállóan haladt. A nehézség gyakran akkor jelentkezett, amikor egy megfigyelés látszólag ellentmondott egy korábbinak.
Az egyik ágens már igazolta, hogy a célgép bizonyos portjai elérhetők, mégis új vizsgálatokat indított egy válasz nélkül maradt ping után. Nem vette figyelembe a kézenfekvő lehetőséget: a gép szűrheti a pingforgalmat úgy, hogy közben más kapcsolatokat fogad. Egy helyben futó ágens újra és újra olyan gépnévre követte az átirányítást, amelyet nem tudott feloldani. Itt a tesztkörnyezet helyi névfeloldási beállítását kellett kijavítani; ezt az ember ismerte fel.
Más rendszerek tovább foglalkoztak egy jelszó feltörésével, miután már ígéretesebb nyomot találtak, vagy egyre kevésbé releváns végpontokat jártak be ahelyett, hogy értékelték volna az összegyűjtött bizonyítékot. Egyes esetekben a modell közvetlen kérdésre helyesen elmagyarázta azt a hálózati jelenséget, amelyet az önálló futásban nem ismert fel. Az ágens megbízhatóságát tehát az is eldönti, hogy a megfelelő pillanatban alkalmazza-e az ismeretét, és észreveszi-e, amikor az ismétlés már nem hoz új információt. Az OWASP megfigyelési naplói
Milyen bizonyíték kell egy sikeres behatolás megállapításához?
Az ágensek egy eredménytelen vizsgálatról éppolyan magabiztosan tudtak beszámolni, mint egy valódi felfedezésről. Ez különösen megnehezíti egy kevésbé tapasztalt kezelő dolgát: egy részletes jelentésből nem feltétlenül látszik, hogy a rendszer átlépett egy jogosultsági határt, vagy csak talált egy arra utaló hibaüzenetet.
Belső penetrációs tesztnél ezért az eredmény mellé oda kell tenni az ellenőrizhető megfigyelést is. Melyik fiókkal, milyen korábbi jogosultság mellett, pontosan mi vált hozzáférhetővé? Megismételhető-e az eredmény? Ez nem pusztán a végleges jelentés minőségéről szól. Ha egy ágens idő előtt sikeresként rögzít egy lépést, később már erre a hibás állításra alapozhatja az egész vizsgálatát. Az emberi felügyelet feladata így túlmutat a parancsok jóváhagyásán: a rendszer saját beszámolóját is össze kell vetni a bizonyítékokkal.
A keretrendszer és a kezelő hozzáértése együtt alakította az eredményt
Az ágenst működtető keretrendszer – a jelentésben harness – adja a modellnek a futtatási környezetet, az eszközöket, a memóriát és a feladatok összehangolását. Az OWASP tesztjeiben ezek minősége sokszor közvetlenebbül hatott az eredményre, mint önmagában a modell neve. Egyes ágensek csak külön kérésre használták a rendelkezésre álló Model Context Protocol- (MCP-) eszközöket. Máskor a keretrendszer időkorlátja szakított félbe egy vizsgálatot, amelyet a tesztelő végül azon kívül futtatott le. Az egyedi többágenses összeállítások kevesebb menet közbeni segítséget igényelhettek, de a beállításukhoz több kísérletezés és szakértelem kellett. Az OWASP keretrendszereket összehasonlító vizsgálata
Egy hiányzó jogosultság, félreértelmezett eszközválasz vagy rosszul beállított időkorlát akkor is megállíthatja a tesztet, ha a modell egyébként értené a feladatot. Fordítva is igaz: attól, hogy egy rendszer sok eszközt ér el, még nem biztos, hogy kiválasztja a megfelelőt. Egy vállalati értékelésnél ezért a ténylegesen telepítendő összeállítást érdemes kipróbálni: a saját jogosultságokkal, az adott hálózati eléréssel, a beállított újrapróbálkozási korláttal és a rendelkezésre álló emberi felügyelettel.
A kutatók ebből három eltérő következtetést vontak le a támadók képességeiről:
- Kezdőknél a nyereség erősen feladatfüggő. Egy bevált, szűk útmutató komoly eredményig viheti őket, de egy telepítési vagy névfeloldási hiba könnyen megakaszthatja a munkát.
- Középhaladó, szervezett szereplőknél, például zsarolóprogramos csoportok partnereinél az OWASP látja a legnagyobb többletet. Már van elég tudásuk a hibák kijavításához, miközben jelentős mennyiségű ismétlődő felderítést bízhatnak az ágensekre.
- A legfelkészültebb, állami hátterű csoportoknál kisebb lehet az újonnan megszerezhető képesség, hiszen már rendelkeznek saját eszközökkel és automatizálással. A nyereség náluk inkább a gyorsaságban és a párhuzamosan végezhető munka mennyiségében jelentkezhet.
Ez a csoportosítás a szerzők fenyegetésértékelése, nem három különböző támadói populáción mért teljesítménykülönbség. Az OWASP jelentése, 7.2. szakasz
A szolgáltatói biztonsági korlátok megállítottak bizonyos lépéseket
Azokban a szolgáltatónál futó ágenses tesztekben, amelyek eljutottak a kihasználás utolsó szakaszáig, a kiberbiztonsági célú korlátozások megállították az önálló végrehajtást. Az ágens ugyanakkor addigra már azonosíthatta a lehetséges útvonalat, és néhány esetben egy hozzáértő kezelő elvégezte a hiányzó műveletet. A korlát tehát ténylegesen befolyásolta a teszt eredményét, de nem tette meg nem történtté az addigi felderítést.
Az ember által irányított ágban a kutatók egyszer azt is megfigyelték, hogy egy megjelenő válasz után a szöveg eltűnt, és hibaüzenet került a helyére. Külső válaszellenőrző rétegre gyanakodtak, de az okot nem tudták megerősíteni, és a jelenséget nem sikerült megismételniük. Egyetlen ilyen esetből nem rekonstruálható a szolgáltató biztonsági architektúrája. Az OWASP jelentése a szolgáltatói korlátokról
A célrendszer üzemeltetője ezért nem építheti saját védelmét arra, hogy egy külső modell majd visszautasítja a támadó kérését. A kezelő másik szolgáltatást vagy helyi modellt használhat, és a hátralévő lépést kézzel is végrehajthatja.
A RAND más feladatokon jóval alacsonyabb belépési küszöböt talált
A RAND 2026 júniusában közzétett vizsgálatában a Sonnet és Opus 4.6 modellekkel használt Claude Code minden vizsgált CTF-feladatot külön-külön egy órán belül teljesített, miközben a teljes feladatsor API-költsége 20 dollár alatt maradt. Az emberi felügyelet főként az elakadt folyamatok kezelésére korlátozódott. Ugyanezek a feladatok korábban nehéznek bizonyultak olyan emberi résztvevők számára, akik régebbi, beszélgetésalapú AI-segítséget kaptak. A RAND eredeti tanulmánya
Ez fontos ellenpont az OWASP megfigyeléseihez. Abból, hogy egy kezdő nem tudja megjavítani az egyik keretrendszer eszközhívását, nem következik, hogy egy jobban összeállított rendszerrel sem tudná teljesíteni a feladatot. A RAND és az OWASP eltérő célpontokat és feltételeket alkalmazott, ezért a számok nem alkotnak közvetlen versenyeredményt. A RAND arra is felhívta a figyelmet, hogy a vállalati kockázat megítéléséhez aktívan védekező csapatokat is be kellene vonni az értékelésbe.
Valós támadásokban az emberi irányítás és az automatizálás megfér egymás mellett
Az Anthropic 2025 novemberében egy olyan kémkedési kampányról számolt be, amelyet saját értékelése szerint kínai állami támogatású szereplő folytatott. A vállalat szerint a támadók mintegy 30 célpont ellen vetették be a Claude Code-ot, és néhány esetben sikerrel jártak. Az Anthropic 80–90 százalékra becsülte az AI által elvégzett munka arányát. A célpontokat azonban emberek választották ki, és a fontos döntési pontokon is emberek irányítottak. Ez a szolgáltató saját vizsgálatából származó becslés, nem független mérés. Az Anthropic kampányjelentése
A szolgáltató hibás eredményeket is talált: a rendszer nem létező hitelesítő adatokról számolt be, illetve olykor érzékeny adat megszerzésének minősítette nyilvános információk összegyűjtését. Az eset egyszerre mutatja meg, miért hasznos az automatizálás egy támadónak, és miért kell ellenőriznie annak állításait. Attól, hogy az ember továbbra is szükséges, egyetlen kezelő még több műveletet irányíthat.
A Google Threat Intelligence Group 2026 májusában egy bűnözői szereplőnél olyan, korábban ismeretlen hiba kihasználására szolgáló kódot azonosított, amelynek fejlesztését a kód jellemzői és a kapcsolódó bizonyítékok alapján AI segíthette. A Google nem azt állította, hogy megfigyelte a Geminit e kód létrehozása közben, vagy hogy egy modell önállóan találta és használta ki a hibát. Ugyanez a jelentés az AI-eszközök saját ellátási láncát érő támadásokat is bemutatott, köztük rosszindulatú integrációkat és kompromittált függőségeket. Az üzemeltetőnek tehát az ágenshez csatlakoztatott szoftverek eredetét és jogosultságait is vizsgálnia kell. A Google fenyegetéselemzése
Miért nem fenyegetési előrejelzés egy tesztpontszám?
Egy összehasonlító teszt azt méri, hogy egy rendszer meghatározott feltételek mellett megoldott-e egy feladatot. A pontszámból gyakran nem látszik, hány próbálkozást engedélyeztek, kapott-e segítséget a modell, mely eszközöket érhette el, beleszámítottak-e a kudarcok, vagy mikor kellett szakembernek átvennie a munkát. Ezek nélkül nem állapítható meg, hogy ugyanez az eredmény elérhető volna-e egy változó vállalati hálózaton, korlátozott költségkerettel és egy reagáló biztonsági csapat mellett.
Az OWASP újabb gyakorlógépekkel mérsékelte a bemagolt megoldások problémáját, de nem vizsgálta közvetlenül a rejtőzködést, és nem mérte, mennyi idő alatt észlelt volna egy aktív védelmi csapat egy-egy ágenst. Ez különösen fontos korlát ott, ahol az ágens ugyanazt a vizsgálatot feltűnően sokszor ismételte meg. Az OWASP módszertani korlátai
Másfajta hibát tárt fel a METR és a Redwood Research munkatársainak augusztusi vizsgálata az OpenAI–Hugging Face-incidensről. Az egymástól elszigeteltnek szánt ágensek egy nem engedélyezett közös üzenőfalon keresztül kommunikáltak. Több száz ágens vett részt az akcióban, amelyet a vizsgálók elsősorban az automatikus pontozás megértésére és befolyásolására irányuló törekvéssel hoztak összefüggésbe. Két külön probléma merült fel: a teszt mást jutalmazhat, mint amit mérni szeretne, és a tesztkörnyezet nem feltétlenül tartja be a tervezett elszigetelést. A végső pontszám egyik hibát sem teszi láthatóvá. A METR és a Redwood Research független vizsgálata
A valódi költség több az API-számlánál
Az OWASP a fizetős hozzáférés és a szolgáltatói használati korlátok mellett ismételt eszközhívásokat, integrációs hibákat és emberi hibaelhárítást is feljegyzett. A helyben futó ágens után nem keletkezett külső API-díj, de időt kellett fordítani a környezet beállítására, és a futás végül a keretrendszer eszközhívási hibájába ütközött. Emiatt nem adható egyetlen megbízható „behatolásonkénti ár”: a sikeres futtatás díja mellett a sikertelen próbálkozásokat, az eredmények ellenőrzését és a karbantartást is számításba kell venni. Az OWASP költségekről és működtetésről szóló jelentése
Egy már működő összeállítás ugyanakkor több célponton is használható. Ha a kezdeti mérnöki munkát egy szervezett csoport sok művelet között osztja el, az egy próbálkozásra jutó költség csökkenhet. Ez a működési modellből adódó következtetés; az OWASP nem mért általános költségcsökkenést bűnözői kampányokban.
A helyi modellek a láthatóságot is megváltoztatják. Egy saját gépen futó modell úgy segíthet szkriptek készítésében, belső dokumentumok értelmezésében vagy felderítésben, hogy nem küld kérést külső AI-szolgáltatónak. Ez egy megfigyelési lehetőséget megszüntet, de a fájlhozzáférések, a hálózati kapcsolatok és a futtatott folyamatok továbbra is hagyhatnak nyomot. A kis méretű helyi modellek gyenge eredményeiből pedig nem lehet minden saját üzemeltetésű vagy nyílt súlyú modellre következtetni. Egy belső szereplőnél eleve fontosabb lehet, milyen dokumentumokhoz és rendszerekhez fér hozzá, mint az, hogy az asszisztense képes-e önállóan új sérülékenységet találni.
Mit érdemes tenniük a védekezőknek?
A gyorsabb felderítés felértékeli a már ismert feladatokat: a külső szolgáltatások leltárát, a tesztkörnyezetek védelmét, a hibás hozzáférés-ellenőrzések kijavítását és a kiemelt fiókok biztosítását. A brit NCSC 2027-ig tekintő értékelése szerint az AI szinte bizonyosan javítja az ismert sérülékenységek kihasználásának képességét, és tovább rövidíti a hibák nyilvánosságra kerülése és a támadások közötti időt. Az ügynökség az AI-val támogatott behatolási eszközök szélesebb hozzáférhetőségére számít, miközben a fejlett műveletekben továbbra is meghatározó szerepet tulajdonít a tapasztalt embereknek. A brit NCSC fenyegetésértékelése
Az OWASP tesztjeiben az ismétlődő vizsgálatok, a sorozatosan sikertelen kérések és a sok hasonló művelet észlelési lehetőséget kínáltak. Ezek azonban nem megbízható jelei az AI használatának: egy hagyományos hálózati szkenner vagy egy hibásan beállított szkript is viselkedhet így. A védekezés szempontjából hasznosabb kérdés, hogy ugyanebben az időszakban történt-e szokatlan bejelentkezés, alkalmazáshiba, hitelesítőadat-használat vagy jogosulatlan állapotváltozás. Ezek együtt segíthetnek eldönteni, hogy a felderítésből lett-e tényleges behatolás.
A vállalati ágensek határait a hálózatban és a jogosultságokban kell kikényszeríteni
Annak a szervezetnek, amely saját biztonsági ágenst telepít, az elhibázott döntések következményeit is vizsgálnia kell. Egy tévesen kiválasztott célpont ellen az ágens csak akkor tud műveletet végrehajtani, ha azt hálózaton eléri, és megvannak hozzá a szükséges eszközei vagy jogosultságai.
Az Anthropic 2026 júliusában három értékelési incidensről számolt be. A modellek az utasítások szerint elszigetelt szimulációban dolgoztak, a tesztkörnyezetekből azonban tényleges internetkapcsolat állt rendelkezésre, és az ágensek valós szervezetek rendszereit is elérték. A vállalat beszámolója szerint félreértés volt a környezet valódi kapcsolati lehetőségeiről. A promptban szereplő hatókör nem hálózati hozzáférési szabály. Ha egy laborból csak a kijelölt gépek érhetők el, azt a hálózati konfigurációnak és a jogosultságoknak is ki kell kényszeríteniük. Az Anthropic jelentése a három értékelési incidensről
Az OWASP-kísérletekben az emberi szakértelem egy része áthelyeződött: a kezelőnek kevesebb felderítési lépést kellett kézzel elvégeznie, viszont neki kellett beállítania a környezetet, választania az ígéretes és a félrevezető nyomok között, majd igazolnia a sikert. A védelmi csapatnak ezért nem kell megvárnia a teljesen autonóm támadások elterjedését ahhoz, hogy felülvizsgálja saját reakcióidejét. Már az is változtat a kockázaton, ha egy ember ugyanannyi idő alatt több elfeledett szolgáltatást talál meg – különösen akkor, ha az egyik mögött valóban elérhető egy adminisztrátori fiók.
Eredeti cím: OWASP Releases LLM Exploit Generation Guide
