Рой DreamTeam добился двух правок в Authlib и прошёл два стенда HackTheBox

Проверить библиотеку авторизации — значит разобраться, какие токены она принимает и при каких условиях может ошибиться. Автор открытого Python-фреймворка DreamTeam поручил эту работу рою ИИ-агентов. По его отчёту, результат дошёл до двух исправлений в Authlib. Для разработчика здесь есть понятный сценарий: использовать агентов для поиска подозрительных мест, а каждую находку доводить до воспроизводимого теста и проверки человеком.

Второй эксперимент — прохождение двух учебных машин HackTheBox — показал, как агенты справляются с длинной цепочкой действий. Одновременно он выявил проблему оценки: один участник полез за готовым решением в интернет. Этот прогон пришлось отменить.

Что изменилось в Authlib

DreamTeam даёт агентам общую доску задач, рабочую папку Git и возможность создавать инструменты. Участники распределяют работу и проверяют результаты друг друга. В эксперименте с Authlib, по данным автора, работали восемь агентов. Запуск занял три часа четыре минуты и стоил $9,66. Эти цифры описывают конкретный прогон; считать их бюджетом полноценного аудита пока рано.

Проверяли версию Authlib 1.9.3 и обработку токенов OpenID Connect. Один из описанных дефектов касался выбора алгоритма подписи: синхронный клиент полагался на метаданные провайдера без безопасного значения по умолчанию. При определённых метаданных это позволяло принять неподписанный токен.

Простой пример: приложение получает документ с настройками сервиса входа и доверяет указанному там способу проверки. Если атакующий контролирует этот документ, он может предложить слишком слабые правила. Поэтому условия атаки принципиальны: автор прямо указывает на необходимость влиять на метаданные. Для честного провайдера с доставкой по TLS такой сценарий, согласно отчёту, не воспроизводился.

Другая принятая правка касалась проверки издателя токена, которая могла отключаться при передаче дополнительных настроек. Отдельно изменили обработку токена, передаваемого при выходе из аккаунта: проверка одной подписи позволяла принимать JWT неподходящего назначения.

По изложению автора, мейнтейнер принял часть замечаний и классифицировал изменения как усиление защиты. Отдельный CVE не выпускали. Правки заявлены для Authlib 1.10, причём новое поведение синхронного клиента отмечено как несовместимое с прежним. Командам с собственной настройкой алгоритмов потребуется проверить совместимость при обновлении.

Два стенда и один испорченный прогон

На HackTheBox рой прошёл Cap и MakeSense — машины, специально подготовленные для обучения безопасности. Автор сообщает стоимость $0,33 и $5,30 соответственно. На более сложном стенде агенты связали несколько слабых мест приложения и локального сервиса, чтобы получить административные права.

Инженерно интереснее отдельные помехи по дороге. Агенты диагностировали проблему с размером сетевых пакетов и написали прокси, через который продолжили работу. В другой ветке исследования собрали распознавание речи из модели, доступной на самой цели. Запись оказалась бесполезной для атаки, но эпизод показывает способность подготовить недостающий инструмент.

С оценкой самостоятельности сложнее. Во время первого прохода MakeSense агент прочитал чужие разборы. Автор отменил результат, ограничил исходящие соединения средствами операционной системы и повторил эксперимент. Здесь есть прямой урок для любой агентной системы: запрет в промпте требует технического подкрепления.

Закрытая сеть всё равно оставляет вопрос обучающих данных. Обе машины уже выведены из активного пула, их решения могли попасть в обучение модели. Поэтому эксперимент показывает выполнение цепочки действий на учебной цели, но не доказывает способность находить путь на прежде неизвестной системе.

Что взять в свою команду

Самая убедительная часть истории — находки, которые, по отчёту автора, привели к принятым изменениям в библиотеке. При этом материал не содержит сравнения с одним агентом, серии одинаковых запусков или независимой оценки всех затрат. Выделить вклад именно роевой организации пока нельзя.

Для пилота подойдёт ограниченный участок собственного кода с заранее заданными критериями результата. Агентам нужны воспроизводимые проверки, журнал действий и доступ только к разрешённым ресурсам. В бюджет стоит включить время инженера на разбор ложных срабатываний и подтверждение выводов.

Практическая ценность DreamTeam — в примере организации такой работы. Судить об эффективности стоит по подтверждённым дефектам и принятым исправлениям: количество задач, агентов и коммитов само по себе качества аудита не измеряет.