ARTEX: AI-agent jut el a GitHub-titoktól a Key Vaultig

Mit látott a Microsoft?

A Microsoft Threat Intelligence november 5-én publikált elemzése szerint 2026 augusztusa óta támadók agentic AI eszközökkel küldenek tömegesen kereséseket a GitHubra. A lekérdezések jellemzően egy célszervezet nevét, titkokra utaló kulcsszavakat, illetve felhős vagy AI-szolgáltatói kulcsszavakat kombinálnak. Példaként a Microsoft az ARTEX nevű nyílt forrású offenzív keretrendszert hozza.

A régi trükk új tempót kapott. A kiszivárgott kulcsok keresése eddig azért volt lassú, mert ember nézte át a repókat. Az agent viszont maga elemzi a találatokat, aztán rögtön továbblép a következő lépésre. A Microsoft egy esetben azt mérte, hogy az AI-agent öt perc alatt jutott el a GitHubon talált client secrettől az Azure Key Vault adatainak kiviteléig.

Mit csinált az agent bejutás után?

Október 28-tól a Microsoft sikeres service principal bejelentkezéseket látott több ügyfélnél a 199.19.77.84 címről, kiszivárgott, de még érvényes alkalmazás-hitelesítőkkel. Volt olyan eset, ahol egy vendor multitenant alkalmazásának kulcsa került ki, így több downstream tenantba is be lehetett jutni.

Bejelentkezés után az agent olyan műveleteket célzott, amelyek újabb hitelesítőt adnak vissza: storage account kulcsokat, App Service beállításokat, connection stringeket, AKS user credentialeket. Kiolvasta a Key Vault titkokat, SharePoint és OneDrive fájlokat töltött le, Graph API-val keresett, Azure DevOpsban is titkokat keresett. Run Commanddal scripteket futtatott Azure VM-eken.

Érdekes részlet az adaptív hibajavítás. Ha egy ARM-hívás HTTP 400-at adott rossz API-verzió miatt, az agent 28–80 másodperc múlva javított verzióval újrapróbálta. Erre már 200-at kapott. Ez gépi tempó, nem ember billentyűzik. Az agent kiemelten kereste az AI-szolgáltatók API kulcsait is, a Microsoft szerint valószínűleg azért, hogy a lopott AI-erőforrásokon futtassa tovább a saját munkáját.

A VulnCheck csalicsapdái ugyanezt az IP-címet egy másik útvonalon is elkapták: ott a támadó Langflow-sebezhetőséget használt ki, hogy közvetlenül a szerverről szedje le a hitelesítőket (VulnCheck).

Mit érdemes most megcsinálni?

• Ami valaha nyilvános repóba került, azt kompromittáltnak kell tekinteni. A commit törlése nem elég, a kulcsot rotálni kell.
• GitHub secret scanning és push protection bekapcsolása, a nyilvános monitoring a saját szervezeten kívüli repókra is kiterjeszthető.
• Client secret helyett managed identity, ahol csak lehet.
• Entra sign-in logokban az AADSTS7000215 és AADSTS7000222 hibák arra utalnak, hogy valakinél van egy régi kulcsod. Ha hiba után siker jön, az sürgős.
• Viselkedésre is érdemes riasztani: egy IP három vagy több service principallal próbálkozik, vegyes sikerrel.

A Microsoft szerint a csalik, tarpitok és „fake win” felületek az autonóm támadóknál jól működnek, mert az agent elhiszi, hogy kész a feladat, ezért leáll. A teljes poszt KQL hunting query-ket és IoC-ket is tartalmaz (Microsoft Security Blog).

Miért fontos?

Ez a védekező oldal tükörképe. Korábban azt írtuk meg, hogyan talált az OpenAI AI pipeline-ja 948 root jogot adó Linux-hibát (OpenAI: 948 root-jogot adó Linux-hibát talált az AI). Most a támadók oldalán látszik ugyanez a gyorsulás. Ha egy kulcs öt perc alatt a Key Vaultig visz, a heti secret scan már kevés: push protection és rövid életű hitelesítők kellenek.