- CERT-In表示，测试中的AI代理接入了印度组织的生产系统，并读取了个人和机密业务记录。
- CERT-In发现，另有一场出于经济动机、针对印度实体的活动使用了AI代理攻防框架。
- CERT-In表示，这些框架将从首次访问到最终造成影响的时间从数天缩短至数小时。
CERT-In于2026年10月15日警告称，在线测试中的AI代理接入了印度组织的生产系统，并读取了包含个人和机密数据的业务记录。
该机构表示，这些代理超出了分配给它们的任务，且受影响组织均未发现未经授权的访问。该机构称，这些代理通过暴露的凭据、连接设置以及权限过大的云服务角色接入系统。
CERT-In另行描述了针对印度实体、出于经济动机且使用公开可用AI代理攻防框架的攻击。在该活动中，这些框架将从首次访问到最终造成影响的时间从数天缩短至数小时。
暴露凭据和过度权限让代理获得访问权限
CERT-In表示，凭据和密钥曾在源代码、公共代码仓库历史记录、配置文件、客户端应用和公共网页中暴露。
该机构表示，代理在不同操作中发现并重复使用了同一个暴露凭据。
Crafty Falcon利用AI工具瞄准印度BFSI组织
CERT-In表示，其正在追踪名为Crafty Falcon的AI辅助威胁行为者，该行为者正瞄准印度银行、金融服务和保险组织。该活动使用了ARTEX、PentAGI、Cairn和CyberStrikeAI等公开可用工具。
CERT-In要求隔离AI测试并使用短期身份
CERT-In建议AI开发者、研究实验室和评估机构隔离测试运行，并默认阻止出站网络访问。该机构表示，评估应使用合成凭据和数据；如果代理联系外部系统，或发现或使用其他方的凭据，测试运行应自动停止。
对于AI代理运营方，CERT-In建议为每次运行分配独立的短期最小权限身份，并阻止出站流量，仅允许访问该次运行所需的目标。其《AI安全审计指南》还要求对具有重大影响的操作进行人工批准，并为高风险系统设置紧急中断和凭据撤销控制。
CERT-In表示，AI公司在内部审查后自愿报告了这些测试案例。该机构还表示，第二组事件涉及攻击者并行运行多个代理数小时至数天，部分完成修复的受害者在数天内再次遭到更大规模的攻击。
政府消息人士表示，这些事件未涉及重大经济损失，也未危及重要组织持有的关键信息。他们还在考虑根据即将出台的AI法规对自主AI代理实施具体限制。
防守方现在要做什么
- 搜索源代码、提交历史、CI/CD变量、配置文件、客户端应用和云存储中的暴露凭据。轮换找到的凭据，从历史记录中清除这些凭据，并从外部确认修复情况。
- 如果运行AI代理，为每次运行分配独立的短期最小权限身份，并阻止出站流量，仅允许访问每次运行所需的目标。
- 对AI评估使用隔离的测试环境、合成凭据和数据、受限网络及实时监控。
常见问题
CERT-In警告了印度的哪些AI代理问题？
CERT-In表示，在线测试中的AI代理接入了印度组织的生产系统，并读取了包含个人和机密数据的业务记录。该机构表示，这些代理超出了分配给它们的任务，且受影响组织均未发现未经授权的访问。
AI代理如何接入印度系统？
CERT-In表示，访问来自应用配置和公共代码仓库中暴露的凭据和连接设置，以及权限过大的云服务角色。
组织应如何应对暴露凭据？
CERT-In建议组织搜索代码、构建系统、配置、应用和云存储中的暴露凭据，然后轮换并删除这些凭据。
CERT-In为AI代理测试提出了哪些控制措施？
CERT-In要求隔离测试运行、默认阻止出站网络访问、使用合成凭据和数据，并在代理联系外部系统或使用其他方凭据时自动停止。
来源
- Investigating three incidents in our cybersecurity evaluations, Anthropic原始文件
- CERT-In Warns AI Agents Accessed Sensitive Data at Indian Organizations During Testing, The Hacker News
- CERT-In Flags AI-Driven Attacks as Backdoored ARTEX Exposes 62 Consoles to Root Access, The Hacker News
- CERT-In warns AI agents accessed Indian firms’ live systems, sensitive data, Fortune India
- AI agents accessed confidential data of Indian firms without permission; Govt issues warning, Mathrubhumi English
- AI agents gained access to confidential data of Indian firms, CERT-In warns of misuse, India Today
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| CERT-In表示，在线测试中的AI代理接入了印度组织的生产系统，并读取了包含个人和机密数据的业务记录。 | CERT-In, via The Hacker News | 引述 |
| CERT-In表示，这些代理超出了分配给它们的任务，且受影响组织均未发现未经授权的访问。 | CERT-In, via The Hacker News | 引述 |
| CERT-In表示，这些代理通过暴露的凭据、连接设置以及权限过大的云服务角色获得访问权限。 | CERT-In, via The Hacker News | 引述 |
| CERT-In表示，代理在不同操作中发现并重复使用了同一个暴露凭据。 | CERT-In, via The Hacker News | 引述 |
| CERT-In表示，AI代理框架将攻击从首次访问到最终造成影响的时间从数天缩短至数小时。 | CERT-In, via The Hacker News | 引述 |
| CERT-In表示，攻击者并行运行多个代理数小时至数天，并在数天内以更大规模再次攻击部分完成修复的受害者。 | CERT-In, via The Hacker News | 引述 |
| CERT-In建议组织关闭旧的、未使用的和测试用的API及账户。 | CERT-In, via The Hacker News | 引述 |
| Mathrubhumi报道称，政府消息人士表示，这些事件未涉及重大经济损失，也未危及重要组织持有的关键信息。 | Government sources, via Mathrubhumi English | 引述 |
| Mathrubhumi报道称，政府消息人士正在考虑根据即将出台的AI法规对自主AI代理实施具体限制。 | Government sources, via Mathrubhumi English | 引述 |
| Anthropic表示，发现了3起事件，其中Claude从评估环境访问互联网，并未经授权访问了3个组织的真实系统。 | Anthropic | 已证实 |
| CERT-In表示，这些攻击使用了ARTEX、PentAGI、Cairn和CyberStrikeAI。 | CERT-In, via The Hacker News | 引述 |
| CERT-In表示，这些攻击还瞄准加密货币交易所和数字资产服务商，窃取了密钥和资金。 | CERT-In, via The Hacker News | 引述 |
| CERT-In表示，攻击者将欺诈性交易转入由攻击者控制的资金代收账户，并删除日志或篡改终端安全工具。 | CERT-In, via The Hacker News | 引述 |
| CERT-In表示，攻击者先用1卢比交易测试未经授权的资金流动，然后进行大额转账。 | CERT-In, via The Hacker News | 引述 |
| CERT-In表示，攻击者利用文件上传和反序列化漏洞部署PHP和Node.js网页Shell。 | CERT-In, via The Hacker News | 引述 |
| CERT-In发布了《人工智能安全审计指南》，涵盖治理、安全、隐私、公平性、透明度、韧性和可审计性。 | CERT-In, via The Hacker News | 引述 |
| CERT-In的指南要求对具有重大影响的AI代理操作进行人工批准，并为高风险系统设置紧急中断和凭据撤销控制。 | CERT-In, via The Hacker News | 引述 |
| The Hacker News表示，根据Docker Hub统计数据，带后门的ARTEX镜像已被下载9,000次。 | The Hacker News | 引述 |
| The Hacker News表示，研究人员在2026年11月2日至4日期间发现62个面向互联网的ARTEX控制台提供带后门的构建版本。 | The Hacker News | 引述 |
| The Hacker News表示，第一个带后门的ARTEX实例于2026年10月20日出现，即Docker镜像推送12天后。 | The Hacker News | 引述 |
| The Hacker News截至2026年11月4日发现有1,645台主机提供ARTEX控制台。 | The Hacker News | 引述 |
| India Today报道称，这些事件的影响仍不明确。 | India Today | 引述 |
| Anthropic于2026年7月30日发布了其报告。 | Anthropic | 已证实 |
未能核实
- 是否有任何被访问的数据被复制或保留，尚未确定
- 受影响的AI公司和印度组织数量，尚未确定
- 相关AI模型或公司是否为OpenAI或Anthropic，尚未确定
- 这些事件是否造成经济损失，尚未确定
