面向互联网的AI系统正成为机会主义攻击者的新目标。安全专家发现，威胁行为者正在积极搜索Model Context Protocol（MCP）服务器、AI助手配置文件以及暴露在外的本地语言模型服务。
这一活动发生在流量较低的网站上，这些网站似乎并未托管AI基础设施。这一点之所以重要，是因为它表明这是一次广泛的侦察行动，而不是针对特定组织或开发者的定向入侵。
互联网风暴中心（Internet Storm Center）的分析师在审查一个小型网络托管商两周的Apache和ModSecurity日志时发现了这一活动。研究人员共发现约200次与AI Agent侦察相关的请求，其中MCP握手探测请求来自49个不同的源IP地址。
互联网风暴中心在与Cyber Security News（CSN）分享的报告中指出，这些扫描反映出AI部署领域日益严重的安全问题。开发者可能在不经意间暴露MCP服务、将助手设置留在公共Web目录中，或让本地模型可从互联网访问，而攻击者已经在寻找这些配置失误。
攻击者使用有效MCP初始化请求进行扫描
此次活动最值得注意的部分是使用了有效的MCP初始化请求，而非简单的路径检查。扫描器并不是简单地询问某个Web地址是否存在然后继续下一步，而是发送了格式正确的JSON-RPC消息，旨在启动MCP对话。
这种攻击方式使攻击者能够判断某个可达服务是否表现得像MCP服务器。如果服务器响应，下一阶段可能涉及识别可用的工具、连接的数据源以及AI Agent有权执行的操作。
MCP服务器可以让AI Agent访问数据库、内部API、文件系统、工单系统以及其他业务资源。当MCP服务器暴露在外且未使用身份验证时，实质上为外部人员提供了一份机器可读的服务和数据地图，显示了Agent能够访问的资源。
这些探测的广泛分布也表明这是一场更大规模的行动。
请求来自许多不同的IP地址，这使得活动看起来不像学术测试，而更像分布式全网扫描，旨在大规模发现存在漏洞的部署。
组织应审查访问日志中可疑的MCP流量。不使用MCP的系统应将此类请求视为有用的侦察信号，并在适当位置予以阻止。
确实运行MCP服务器的组织应确认其要求强身份验证，并且除非严格必要，否则不得直接从公共互联网访问。限制网络访问还能降低扫描器首先发现服务的可能性。
凭据与模型面临风险
同一扫描活动还搜索与AI编码助手相关的文件，包括开发者可能无意中放在已部署Web目录中的设置文件和凭据文件。这些文件可能包含连接细节、服务设置以及可能具有价值的密钥。
使用轻量级存在性检查来探测凭据相关文件，表明操作者正在针对大量目标优化扫描。他们并非下载每个可能的文件，而是首先检查潜在有用资源是否存在。
研究人员还观察到重复尝试定位未经过身份验证的模型服务接口。一个公开可访问的模型端点可能让攻击者免费使用计算资源、了解已安装的模型，或成为在环境中进行进一步活动的立足点。
这些扫描还伴随有尝试滥用服务器端请求伪造（SSRF）来攻击云元数据服务的行为。这种技术对AI工具尤其相关，因为Agent和辅助服务通常包含从用户提供的Web地址获取内容的功能。
防御者应从外部网络检查面向公众的系统，确保AI相关配置文件不被Web服务器提供，并审查URL获取功能，确保其具备针对内部和云元数据目的地的保护措施。云环境还应尽可能启用元数据服务保护，包括GCP头部强制和AWS IMDSv2。
入侵指标（IoCs）：
注意：IP地址和域名已进行去毒化处理（例如 _[.]_ ），以防止意外解析或超链接。仅在受控的威胁情报平台（如MISP、VirusTotal或SIEM）中进行还原。
参考来源：
Internet-Wide Scans Target MCP Servers, Claude Credentials, and Exposed AI Models
欢迎关注云栈社区获取更多安全资讯。
发表于 2 小时前
|
查看: 2|
回复: 0
