Detecting Privilege Escalation in Polyglot Microservices via Agentic Program Analysis
Dit artikel introduceert Neo, een agentisch programma-analyseframework dat grote taalmodellen combineert met klassieke programma-analyse om privilege-escalatiekwetsbaarheden in complexe, polyglotte microservice-architecturen effectief op te sporen, waarbij met hoge precisie en recall 24 zero-day-fouten zijn geïdentificeerd in 25 open-source applicaties.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je een enorme, high-tech stad voor waar elk gebouw een aparte, gespecialiseerde winkel is. De ene winkel verkoopt kleding, een andere regelt bankoverschrijvingen en een derde beheert gebruikersaccounts. In de moderne digitale wereld heten deze "winkels" microservices. Ze zijn geweldig omdat ze onafhankelijk kunnen groeien en zichzelf kunnen herstellen als ze kapotgaan. Omdat ze echter allemaal verschillende winkels zijn, gebouwd door verschillende mensen met verschillende hulpmiddelen (sommigen gebruiken Python, anderen Java, weer anderen Go), wordt het bijhouden van wie wat mag doen een nachtmerrie.
Hier komt NEO om de hoek kijken. Denk aan NEO als een superintelligente, onuitputtelijke veiligheidsdetective die twee krachtige vaardigheden combineert:
- De menselijke intuïtie van een Large Language Model (LLM): Net als een detective die een brief kan lezen en de intentie achter de woorden begrijpt (bijvoorbeeld: "Deze persoon probeert zijn rol te wijzigen").
- De precisie van een robot die een plattegrond leest: Net als een detective die direct elke stap kan traceren die een persoon door de hele stad heeft gezet, over verschillende gebouwen heen, zonder verdwaald te raken.
Het Probleem: De "Rollenspel"-Glitch
Het artikel beschrijft een specifiek gevaar dat Privilege Escalation (privilege-escalatie) wordt genoemd. Stel je een klant voor genaamd Alice die haar profiel wil wijzigen van "Reguliere Gebruiker" naar "Ontwikkelaar".
- Ze loopt de Gateway-winkel binnen (de voordeur). De bewaker controleert haar ID (Authenticatie). "Oké, jij bent Alice."
- Ze gaat naar de Profiel-winkel. De bediene neemt haar verzoek en geeft het door aan de Gebruikersbeheer-winkel.
- De Gebruikersbeheer-winkel wijzigt haar rol.
Het Gebrek: De winkels spraken niet goed met elkaar. De eerste winkel controleerde wie ze was, maar de laatste winkel controleerde niet wat ze mocht doen. Een aanvaller zou het systeem kunnen misleiden door te zeggen: "Wijzig Alice's rol naar Admin" in plaats van "Ontwikkelaar". Omdat de winkels niet gecoördineerd waren, laat het systeem de aanvaller de baas worden. Dit is als een hotelgast die de keuken binnenloopt, de chef vertelt: "Ik ben nu de manager, geef me de sleutels van de kluis", en de chef, die niet weet dat de gast slechts een gast is, ze aan hem overhandigt.
De Uitdaging: Waarom is dit zo moeilijk te vinden?
Het vinden van deze gaten is ongelooflijk moeilijk om drie redenen:
- De Polyglot-puzzel: De stad is gebouwd met verschillende talen. De Gateway spreekt misschien Java, terwijl de Gebruiksbeheerder Python spreekt. Oude beveiligingstools zijn als vertalers die slechts één taal spreken; ze kunnen het gesprek niet volgen over de grens heen.
- De verborgen betekenis: Een computer ziet code als symbolen. Het weet niet dat
setUserRole()een "krachtzet" is die een speciaal permit vereist. Het ziet slechts een functienaam. Mensen begrijpen de betekenis, maar computers hebben hulp nodig. - Het doolhof: Het pad van de voordeur naar de kluis kan zich kronkelen door 10 verschillende gebouwen, waarbij middleware, routers en decorators betrokken zijn. Oude tools raken verdwaald in het doolhof.
De Oplossing: Hoe NEO Werkt
De onderzoekers bouwden NEO, een "Agentic" systeem. Denk aan NEO niet als een statische scanner, maar als een detective met een sluipplan en een magische toolkit.
1. De Magische Toolkit (Code Search Primitives)
In plaats van de detective te vragen elk boek in de bibliotheek te lezen (wat eeuwen zou duren en hun brein zou overweldigen), geeft NEO hen specifieke, krachtige hulpmiddelen:
- "Vind de Naam"-hulpmiddel: Vindt direct elke functie genaamd "update" of "rol".
- "Traceer de Stroom"-hulpmiddel: Volgt een stukje data (zoals een gebruikersverzoek) van de voordeur tot aan de kluis, zelfs als het springt tussen verschillende talen.
- "Wie Belde Wie"-hulpmiddel: Kaart de hele bevelketen uit om te zien wie met wie praat.
Deze tools fungeren als een universele vertaler, waardoor de detective Java, Python en Go even goed kan begrijpen zonder in de war te raken door de syntaxis.
2. Het Brein van de Detective (De LLM Agent)
NEO gebruikt een Large Language Model (LLM) als zijn brein.
- Dynamische Planning: In plaats van een stijve checklist te volgen, bekijkt de detective de kaart, ziet een verdacht pad en besluit: "Ik moet de router in het volgende gebouw controleren." Vervolgens gebruikt hij de Magische Toolkit om in te zoomen op die specifieke plek.
- Semantisch Begrip: De detective leest de code en begrijpt: "Ah, deze functie wijzigt de machtigingen van een gebruiker. Dat is een 'geprivilegieerde operatie' en vereist een strenge controle."
- Validatie: De detective gokt niet zomaar. Hij vraagt: "Is er een bewaker bij deze deur?" Als hij een controle vindt, leest hij de regels van de bewaker om te zien of ze streng genoeg zijn. (Bijvoorbeeld: "De bewaker controleert of je bent ingelogd, maar controleert hij of je mag zijn als Admin? Nee? Dan is het een kwetsbaarheid.")
De Resultaten: Een Recordbrekende Jacht
De onderzoekers testten NEO op 25 real-world microservice-toepassingen (zoals online winkels en ticketsystemen) met miljoenen regels code.
- De Ontdekking: NEO vond 24 gloednieuwe (zero-day) kwetsbaarheden die niemand eerder kende.
- Nauwkeurigheid: Het had ongeveer 81% van de tijd gelijk wanneer het alarm sloeg en ving 85% van de echte problemen op.
- Vergelijking:
- Oude Tools (zoals MScan of CodeQL): Dit zijn als detectives die slechts één taal spreken of slechts naar één gebouw kijken. Ze misten de meeste aanvallen die over gebouwen heen gingen.
- Andere AI Agents (zoals EnIGMA): Dit zijn als detectives die proberen elke pagina van elk boek in de bibliotheek te lezen. Ze raken overweldigd, raken tijd te kort en missen de aanwijzingen.
- NEO: Door de "Magische Toolkit" te gebruiken om alleen de relevante pagina's te pakken en het "Detective-brein" om het verhaal te begrijpen, vond NEO 24 meer kwetsbaarheden dan de volgende beste methode.
De Conclusie
NEO bewijst dat je niet hoeft te kiezen tussen "slimme AI" en "precieze code-analyse". Door ze te combineren, krijg je een systeem dat de complexe, meertalige, meervoudige-wereld van moderne cloudsoftware kan navigeren om beveiligingsgaten te vinden die voorheen onzichtbaar waren.
De onderzoekers rapporteerden verantwoordelijk al hun bevindingen aan de eigenaren van de software. Veel daarvan zijn al opgelost, waardoor deze digitale steden veiliger zijn voor iedereen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.