Рой ИИ-агентов за $9,66 нашёл уязвимости в Authlib: что такое ИИ-агент в аудите

Сначала коротко о том, что такое ИИ агент в этой истории. Это программа на базе языковой модели, которая не только отвечает на промпт, но и сама планирует шаги, пишет себе инструменты и проверяет результат. DreamTeam собирает таких агентов в рой без начальника: им дают цель, общую доску задач, общую папку проекта с историей изменений (git) и право создавать себе инструменты.

После прошлой публикации читатели предложили автору фреймворка проверить исходники DreamTeam силами самого роя. Он заложил в копию проекта три «канарейки», то есть специально спрятанные ловушки. Потом отправил рой на две задачи, где обычно работают живые специалисты по безопасности.

Что измеряли?

Первая задача: найти оставшиеся слабые места в Authlib. Это популярная библиотека на Python для протоколов авторизации OAuth 2.0 и OIDC, по которым сайт проверяет, кто к нему входит. Версия 1.9.3 вышла после октябрьской волны CVE (публичных записей об уязвимостях), которые закрыли в ветке 1.9.x.

Рой смотрел на код, который только что чинили, поэтому лёгких находок там не оставалось. Отчёт отправили по правилам координированного раскрытия: сначала его получает мейнтейнер, то есть человек, который ведёт проект, и только потом информация становится публичной. Все принятые пункты уже исправлены в основном коде библиотеки.

Вторая задача: автономно пройти машины HackTheBox. Это легальный тренировочный полигон с серверами, уязвимыми по задумке. Автор взял две машины, выведенные из активного пула: Cap (лёгкий уровень, Easy) и MakeSense (средний уровень, Medium).

Рой работал на недорогой модели deepseek-v4.1-flash. В промпте были только адрес цели и запрет трогать что-либо ещё.

Что обнаружили?

• Аудит собственного кода. Рой нашёл все 3 канарейки и ещё 13 реальных проблем среди 27 находок.
• F1, главная находка в Authlib. У синхронного клиента не было безопасного значения по умолчанию для алгоритмов подписи ID-токена (цифрового пропуска пользователя). Если в метаданных провайдера стояло none, клиент принимал неподписанный токен. Атака срабатывала только при злонамеренном или взломанном провайдере либо при загрузке метаданных без TLS (защищённого соединения).
• F2, два отдельных момента. Параметр claims_options молча снимал проверку издателя токена, а значение nonce=None отключало проверку одноразового кода.
• F3, самая чистая находка. Эндпоинт выхода из аккаунта проверял у подсказки только подпись и принимал любой JWT (токен стандартного формата), подписанный провайдером. Итог: принудительный выход пользователя, разновидность CSRF (действие от имени человека без его ведома). Захвата аккаунта такая атака не даёт.
• F4, поддерживающая находка. Метаданные и ключи загружались без проверки защищённого соединения и с переходом по редиректам. Так F1 могла превратиться в сетевую атаку.
• Решение мейнтейнера. Éloi Rivard принял три пункта: F1, проверку издателя из F2 и F3. Ещё два, nonce=None и F4, он отклонил как ответственность приложения.
• Новизна. Находки не пересеклись с уже опубликованными CVE.
• Цена. 8 агентов, 9,66 доллара и 3 часа 4 минуты работы.

Правки выходят в Authlib 1.10 с пометкой о ломающем изменении: синхронный клиент по умолчанию принимает только алгоритм RS256. По HackTheBox автор приводит стоимость прохождения Cap, 0,33 доллара. Подробных итогов по двум машинам в опубликованной части нет.

Что это значит для вас?

Автору Дзена. Этот кейс удобно брать в материалы, когда нужно на живом примере объяснить, что такое ИИ агент и чем рой отличается от чат-бота. Только не обещайте читателю «взлом за копейки»: в источнике речь про проверку кода и учебный полигон.

Маркетологу. Здесь важна схема работы, а не тема безопасности. Агенты сами раскладывают задачи по общей доске и проверяют друг друга. Тот же принцип взаимной проверки можно переносить на рутину вроде сверки фактов в текстах.

Предпринимателю. Если ваш сайт использует Authlib для входа пользователей, запланируйте обновление до 1.10 и заранее проверьте настройки: правка ломает старое поведение. DreamTeam открыт под лицензией MIT. Из доступных в РФ моделей есть YandexGPT и GigaChat, но работает ли фреймворк с ними, автор не сообщает.

Рой за 10 долларов нашёл в свежепропатченном коде проблемы, ради которых выпустили новый релиз. Значит, дешёвый аудит агентами скоро станет обычным шагом перед любым запуском. Безопасность при этом обеспечивают ограничения доступа, а не формулировки промпта.

По данным автора фреймворка DreamTeam: репозиторий на GitHub