Seguridad avanzada

Es el ataque en el que un texto escrito por un tercero, por ejemplo el mensaje de un ticket o lo que devuelve una tool, acaba dentro de lo que lee el modelo y este lo obedece como si fuera una instrucción legítima. OAuth comprueba quién hace cada llamada, pero no de dónde sale el texto que el modelo tiene delante: en el ejemplo de Nortia basta un ticket con una orden escondida para que la lea un modelo que también tiene a mano la tool de abonos, sin token robado ni servidor vulnerable. En la lección se analiza este ataque junto a otros seis ya documentados, sobre un escenario de Nortia, para saber en qué punto se detecta cada uno y en cuál se detiene.

Es un ataque que aprovecha el texto de las propias tools: la descripción de una tool de terceros incluye instrucciones dirigidas al modelo, cambia después de haberla aprobado o imita el nombre de una tool interna para hacerse pasar por ella. Funciona porque el modelo decide qué llamar y cómo a partir del nombre, la descripción y el esquema que le llegan en el listado, y ese texto entra en su contexto como cualquier otro. En la lección se escribe la política del host que decide qué servidores se aceptan, vigila si la definición de cada tool cambia y detecta nombres repetidos entre servidores.

No por sí solo: según la especificación, el servidor debe tratar el requestState que recibe en un reintento como algo que un atacante pudo alterar y, cuando influye en permisos, acceso a datos o lógica de negocio, a proteger su integridad y rechazar cualquier estado que no se verifique. Lo mismo ocurre con todo lo que vuelve del lado del cliente durante una interacción de varias rondas, incluidas las respuestas de elicitation, que también pueden usarse para engañar al usuario. En la lección se ve cómo dejar ese estado firmado y atado a quien hizo la petición, y qué abusos de elicitation hay que prever.