Авторы исследования сообщили, что локальные LLM-агенты, программы, которые выполняют задачи с помощью языковой модели, не защищают собственные журналы выполнения, записи о действиях агента, от изменений агентом. В испытаниях все программы, в которых работают агенты, кроме Muse Code, позволили удалить такие журналы по запросу без срабатывания защитных средств мониторинга.

Исследователи также подтвердили, что внешний атакующий может использовать эту уязвимость, чтобы добиться удаления журналов выполнения. Они советуют вести журналирование через независимый инструмент для сбора журналов, неподконтрольный агенту, чтобы сохранять целостность журналов даже при полном взломе системы.

Проверка утверждений:

  • Авторы исследования сообщили, что локальные LLM-агенты, включая Claude Code и Codex, не защищают собственные журналы выполнения от изменений агентом. (подтверждено самой публикацией: доказательство; «We show that local LLM agents such as Claude Code, Codex, Antigravity, Open Code and Grok Build fail to enforce this boundary.»)
  • Во всех протестированных оболочках, кроме Muse Code, агент мог удалить свои журналы по запросу без срабатывания защитного мониторинга. (подтверждено самой публикацией: доказательство; «All tested harnesses, except Muse Code, allowed agents to delete their traces when asked, without triggering monitor guardrails.»)
  • Авторы также подтвердили, что внешний атакующий может использовать этот разрыв, чтобы добиться удаления журналов выполнения. (подтверждено самой публикацией: доказательство; «We also validate that external attackers can exploit this gap to induce trace deletion.»)
  • Авторы советуют вести журналирование через независимый перехватчик вне контроля агента, чтобы сохранять целостность журналов даже при полной компрометации хоста. (подтверждено самой публикацией: доказательство; «We advise practitioners to ensure trace logging happens through an independent interception mechanism outside of the agent’s control, preserving trace integrity even in cases of full host compromise.»)

Первоисточники:

оценка 80,0 из 100 · тип: исследование