Resumo Técnico: Compreendendo Erros de Confiança Implícita em Redes de Núcleo de Operadoras através de Descoberta e Análise de Falhas por Multi-Agentes

1. Declaração do Problema

As Redes de Núcleo Celular (CNs) são infraestruturas críticas historicamente protegidas por isolamento físico, operando sob um modelo de confiança implícita onde as interfaces internas entre funções de rede são assumidas como seguras e livres de tráfego malicioso. No entanto, a migração das CNs para implantações nativas da nuvem corroeu esse perímetro físico. Configurações incorretas e mudanças arquitetônicas agora permitem que adversários externos alcancem interfaces anteriormente internas (ex: via abuso de túneis GTP-U ou configurações incorretas de nuvem).

O artigo identifica um padrão de vulnerabilidade sistêmica denominada Erros de Confiança Implícita (iTrue). Através de uma análise de causa raiz de problemas no GitHub em implementações de código aberto de CN, os autores descobriram que os componentes frequentemente falham ao validar mensagens recebidas de pares internos. Essas falhas se manifestam em três categorias recorrentes:

1. Falta de Validação Sintática: Falha em verificar campos obrigatórios, formato básico ou restrições de comprimento.
2. Falta de Validação Semântica: Falha em aplicar invariantes dependentes de estado ou validar intervalos de valores.
3. Falta de Verificação de Disponibilidade de Recursos: Falha em verificar a disponibilidade de recursos antes da alocação.

Quando as interfaces internas tornam-se externamente alcançáveis, essas suposições de "confiança cega" levam a consequências graves, incluindo Negação de Serviço (DoS) e sequestro de sessão. A pesquisa de segurança existente concentrou-se amplamente na fronteira entre o Equipamento do Usuário (UE) e a CN (NAS/NGAP) ou no plano de usuário GTP-U, deixando a comunicação interna do plano de controle (PFCP, GTP-C) sistematicamente subexplorada.

2. Metodologia: O Sistema iFinder

Para enfrentar o desafio de descobrir essas vulnerabilidades em escala, mitigando as alucinações comuns na análise de Grandes Modelos de Linguagem (LLMs), os autores projetaram o iFinder, um sistema multi-agente impulsionado por LLM. O sistema opera através de um pipeline de quatro estágios:

A. Pré-processamento

• Destilação de Padrões: O sistema analisa vulnerabilidades conhecidas de problemas do GitHub para destilar padrões de detecção. Esses padrões são expressos como triplas independentes de linguagem e protocolo: <elemento, operação perigosa, validação ausente>.
• Extração de Especificação: Ele extrai procedimentos de protocolo e esquemas de mensagens das especificações 3GPP para fundamentar os agentes em definições formais de protocolo.

B. Agente de Descoberta (DA - Discovery Agent)

• Análise Retroativa: Em vez de escanear todo o código-fonte (o que excede limites de contexto e induz alucinações), o DA realiza uma análise retroativa baseada em LLM. Ele localiza "operações perigosas" (ex: desreferenciação de memória baseada em campos de mensagem) e rastreia o caminho de execução retroativamente até o manipulador da mensagem.
• Verificação de Validação: Ele verifica se a validação necessária (sintática, semântica ou de recurso) existe antes da operação perigosa. Se estiver ausente, ele sinaliza um candidato a iTrue.

C. Agente de Vistoria (VA - Vetting Agent)

• Cruzamento de Código-Especificação: Para reduzir falsos positivos causados pelo DA não detectar verificações realizadas em estados de protocolo anteriores, o VA mapeia o candidato para o procedimento 3GPP específico.
• Expansão de Contexto: Ele identifica mensagens precursoras na especificação, localiza seus manipuladores de código correspondentes e reavalia se a validação existe no contexto do procedimento completo, não apenas no trecho local.

D. Agente de Exploração (EA - Exploitation Agent)

• Geração e Refinamento de PoC: O EA gera um exploit de Prova de Conceito (PoC) baseado no candidato.
• Loop Sensível ao Feedback: Ele executa o PoC em um ambiente de teste conteinerizado. Se o exploit falhar, o agente analisa logs de execução para diagnosticar a falha (ex: dependências de estado ausentes) e refina iterativamente o PoC. Este loop continua até que a vulnerabilidade seja acionada ou o orçamento de teste seja esgotado.

3. Principais Contribuições

1. Análise Sistemática de Causa Raiz: O primeiro estudo a analisar sistematicamente vulnerabilidades em implementações de código aberto de CN, identificando os erros de confiança implícita (iTrue) como um padrão pervasivo e recorrente, em vez de bugs isolados.
2. Framework iFinder: O desenvolvimento do primeiro sistema multi-agente para descoberta automatizada de vulnerabilidades em redes de núcleo de operadoras. Ele introduz técnicas inovadoras para lidar com protocolos de estado:
   • Cruzamento de Código-Especificação: Fundamentando a análise em procedimentos 3GPP para recuperar o contexto completo de execução e reduzir falsos positivos.
   • Refinamento Sensível ao Feedback: Usando o feedback de execução em tempo de execução para corrigir iterativamente exploits gerados por LLM, garantindo que sejam acionáveis.
3. Descoberta em Larga Escala: A implementação e avaliação do iFinder em sete implementações proeminentes de CN de código aberto (Open5GS, free5GC, OAI, SD-Core, eUPF) cobrindo sistemas 4G e 5G.

4. Resultados

A execução do iFinder nas implementações alvo resultou nos seguintes dados:

• Vulnerabilidades Descobertas: 84 vulnerabilidades anteriormente desconhecidas foram encontradas nos protocolos PFCP e GTP-C.
• Validação: 83 achados foram confirmados por desenvolvedores, e 81 receberam CVEs.
• Impacto no Mundo Real:
  • Uma falha de sequestro de sessão foi confirmada em duas redes de núcleo 5G comerciais reais. Esta falha permite que um atacante injete um PFCP Session Modification Request com um ID de PDR duplicado e maior prioridade, fazendo com que a Função de Plano de Usuário (UPF) redirecione o tráfego de uplink da vítima para o atacante. Um fornecedor já corrigiu isso (CVE-2026-8233); o outro está em remediação.
  • Uma vulnerabilidade de DoS afetando uma rede de núcleo 5G comercial também foi confirmada (CVE-2026-8232).
• Métricas de Desempenho:
  • Comparado a uma linha de base de apenas prompts, o iFinder melhorou o F1 score de 31,8% para 71,4%.
  • O Agente de Vistoria reduziu os falsos positivos de 62 para 19 (a Precisão aumentou de 36,7% para 65,5%).
  • O Agente de Exploração gerou com sucesso PoCs válidos para 19 de 22 vulnerabilidades de verdade fundamental (ground-truth), comparado a apenas 8 para a linha de base.

5. Significância e Alegações

O artigo alega que as vulnerabilidades iTrue representam uma fraqueza sistêmica em redes de núcleo de operadoras, enraizada em suposições legadas de que as interfaces internas estariam isoladas de ambientes não confiáveis. À medida que as CNs migram para a nuvem, essas suposições são invalidadas, expondo infraestruturas críticas a riscos severos.

Os autores enfatizam que:

• Pervasividade: As falhas não estão isoladas a implementações ou linguagens específicas (encontradas em C, C++ e Go), mas são recorrentes através de protocolos (GTP-C e PFCP) e gerações (4G e 5G).
• Gravidade: Esses erros permitem ataques que vão além de simples travamentos, incluindo o sequestro de sessão, que compromete a privacidade e a integridade dos dados do usuário.
• Necessidade de Defesa em Profundidade: Os achados destacam a necessidade urgente de proteção elevada dentro dos domínios de confiança originais, incluindo validação rigorosa em interfaces internas, autenticação mútua e práticas de implantação de confiança zero (zero-trust).

Os autores planejam tornar o iFinder publicamente disponível para auxiliar no aumento da segurança das redes de núcleo celular, aderindo às práticas de divulgação responsável ao reter o código de exploit não corrigido.