Cross-Agent Campaign Attribution: Linking Asynchronous Attacks Across LLM Agents

Stel je een wereld voor waarin je digitale assistenten — agenten die code schrijven, klantvragen beantwoorden of gegevens analyseren — lijken op een team van onafhankelijke detectives. Elke detective werkt in zijn eigen kantoor, met zijn eigen notitieblok, en ze praten niet met elkaar terwijl ze aan het werk zijn. Stel je nu voor dat een meestercrimineel de geheimen wil stelen. In plaats van te proberen tegelijkertijd één kantoor binnen te vallen, stuurt deze crimineel een reeks kleine, verwarrende aanwijzingen naar verschillende detectives op verschillende tijdstippen. Aan Detective A lijkt de aanwijzing op een onschuldige typfout. Aan Detective B lijkt het op een vreemde opmaakfout. Aan Detective C lijkt het op een normale vraag. Als elke detective alleen naar zijn eigen notitieblok kijkt, zien ze niets verdachts. Ze denken: "Oh, gewoon een glitch." Maar als je even afstand zou kunnen nemen om naar de notitieblokken van het hele team tegelijk te kijken, zou je kunnen beseffen dat al deze kleine glitches eigenlijk deel uitmaakten van één grote, gecoördineerde overval. Dit is het probleem van "cross-agent" aanvallen: de slechteriken verstoppen zich in de gaten tussen onafhankelijke systemen.

Dit artikel behandelt een specifiek hoekje van computerbeveiliging genaamd LLM-agent defensie. In eenvoudige termen zijn Large Language Model (LLM) agenten slimme computerprogramma's die tools kunnen gebruiken (zoals het internet doorzoeken of bestanden lezen) om taken uit te voeren. Meestal testen beveiligingsteams deze agenten door ze één vraag tegelijk te stellen om te zien of ze worden misleid. Maar in de echte wereld kunnen aanvallen dagenlang duren, over verschillende teams heen gebeuren en via verschillende programma's verlopen. De grote vraag is: Kunnen we deze verspreide, geïsoleerde gebeurtenissen aan elkaar koppelen om te beseffen dat ze allemaal van dezelfde slechterik afkomstig zijn, zelfs als we niet weten wie die slechterik is? De auteurs van dit artikel zeggen "ja", maar met een zeer specifieke, slimme methode die er niet op berust dat de agenten met elkaar praten.

De onderzoekers, afkomstig van een bedrijf genaamd Tynapse, introduceren een nieuwe manier om deze "geestcampagnes" te vangen. Ze noemen hun methode A2FV (Asynchronous Attribution Fingerprint Vectors). Denk aan A2FV als een super slimme detective die buiten de kantoren van alle agenten staat en kijkt naar de post die zij verzenden en ontvangen. Deze detective hoeft niet de geheime gedachten in de hoofden van de agenten te lezen (wat onmogelijk is). In plaats daarvan kijkt de detective naar de "voetafdrukken" die in de post zijn achtergelaten.

Zo werkt de detective:

1. De Structurele Voetafdruk: Wanneer een agent een tool gebruikt (zo zoals "zoeken" of "bestand lezen"), laat dat een patroon achter. Zelfs als de slechterik de woorden die ze gebruiken verandert, blijft de volgorde van de tools waar ze om vragen vaak hetzelfde. Het is als een crimineel die altijd hetzelfde specifieke type schoen draagt, zelfs als hij van jas en hoed wisselt.
2. De Stijlistische Voetafdruk: Dit is de "handschrift" van de aanval. Zelfs als de slechterik hun bericht herschrijft, gebruiken ze misschien nog steeds dezelfde vreemde interpunctie, dezelfde manier van formuleren, of dezelfde specifie of specifieke typfouten. Het is als een vervalser die een handtekening kan kopiëren, maar niet kan stoppen met het gebruik van zijn eigen unieke hellingshoek van de letters.
3. De Timing Voetafdruk: Dit houdt bij hoe lang de tijd tussen verzoeken is. Hoewel het papier vond dat dit een zwakkere aanwijzing was in hun specifieke tests, maakt het nog steeds deel uit van het gereedschapskist van de detective, zoals controleren of een crimineel altijd op exact hetzelfde tijdstip van de dag aanbelt.

Het team bouwde een speciale testomgeving genaamd SCD-v1 om te zien of hun detective de zaak daadwerkelijk kon oplossen. Ze creëerden een mix van normaal, saai verkeer en nep-aanvallen waarbij een "slechterik" gerelateerde aanwijzingen naar verschillende agenten over een bepaalde tijd stuurde. Ze zorgden ervoor dat de agenten geen aantekeningen konden delen en dat de aanvallen gespreid waren, precies zoals in de echte wereld.

De resultaten waren zeer veelbelovend. Wanneer ze hun A2FV-detective vroegen om de sessies te koppelen, had deze het ongeveer 82% van de tijd goed (een score van 0,82). Om dit in perspectief te plaatsen: ze probeerden andere methoden die alleen naar de "veiligheidsscore" van elke individuele boodschap keken of een gigantische AI vroegen om het geheel te beoordelen. Die andere methoden gokten in feite willekeurig en hadden het slechts in ongeveer 50% van de gevallen goed. Het artikel suggereert dat de "structurele" en "stilistische" voetafdrukken hier de echte helden waren en het meeste gewicht droegen bij het oplossen van de puzzel.

De auteurs zijn echter ook zeer voorzichtig om niet te zeggen dat dit een wondermiddel is dat alles oplost. Ze testten wat er gebeurt als de slechterik probeert hun stijl of timing te veranderen om zich te verbergen. Ze ontdekten dat hoewel een slimme slechterik het moeilijker kan maken om de aanvallen te groeperen in een enkele "campagne" (zoals het verspreiden van de aanwijzingen), ze de connectie tussen de individuele aanwijzingen niet volledig konden uitwissen. De "vingerafdruk" bleef zichtbaar genoeg om de sessies te koppelen, zelfs als de slechterik probeerde zichzelf te vermommen.

De auteurs controleerden ook of hun methode slechts een toevalstreffer was van de specifieke computerprogramma's die ze gebruikten. Ze voerden dezelfde tests uit met verschillende AI-modellen (zoals Qwen en Gemini) en merkten dat de resultaten standhielden. Ze controleerden zelfs of de "slechteriken" simpelweg dezelfde onderwerpen gebruikten (zoals "het stelen van wachtwoorden") om het systeem te misleiden. Ze ontdekten dat zelfs wanneer de onderwerpen hetzelfde waren, de methode nog steeds het verschil kon zien tussen een echte gecoördineerde aanval en gewoon willekeurige mensen die vergelijkbare vragen stelden.

Kortom, dit artikel suggereert dat we een nieuwe laag van beveiliging nodig hebben voor AI-agenten. We kunnen niet langer elke agent in isolatie bewaken. We hebben een "centrale waarnemer" nodig die naar de verspreide, asynchrone voetafdrukken kan kijken die een aanvaller achterlaat en kan zeggen: "Hé, deze drie afzonderlijke incidenten behoren eigenlijk toe aan dezelfde meesterbrein." Hoewel dit geen perfect schild is tegen elke mogelijke toekomstige truc (vooral als de slechterik echt slim wordt en in realtime aanpast), bewijst het dat het koppelen van deze verspreide aanvallen mogelijk en meetbaar is. Het verandert een verwarrende chaos van geïsoleerde meldingen in een oplosbaar mysterie, waardoor beveiligingsteams een veel grotere kans krijgen om de slechteriken te betrappen voordat ze de sleutels van het koninkrijk stelen.