Beyond Prompt Injection: The Tool Update Gap in LLM Agent Security

{"tags": ["AI Agent Security", "Supply Chain Vulnerability", "ETUDE", "Tool Update Gap", "LLM Tools", "In-Context Defense Bypass"], "risks": ["Nguy cơ thực thi mã độc tùy ý trên máy trạm hoặc hạ tầng đám mây của doanh nghiệp thông qua bản cập nhật công cụ giả mạo/bị xâm phạm.", "Khó phát hiện do công cụ vẫn duy trì 95,9% tỷ lệ hoàn thành tác vụ thông thường và không để lại dấu vết trong prompt/context của LLM.", "Mất mát dữ liệu bí mật, API keys và thông tin định danh hệ thống do mã độc hoạt động trực tiếp ở tầng OS.", "Sự chủ quan khi chỉ đầu tư vào các giải pháp phòng vệ prompt injection mà bỏ qua bảo mật chuỗi cung ứng phần mềm tích hợp."], "category": "Agents", "entities": ["ETUDE", "Gemini CLI", "Codex CLI", "Claude Code", "LLM"], "summary_vi": "Nghiên cứu công bố lỗ hổng chuỗi cung ứng 'Tool Update Gap' trong các hệ thống LLM agent: công cụ ngoài sau khi cập nhật mã nguồn vẫn được framework tin cậy mà không qua tái thẩm định an toàn. Tận dụng điều này, kỹ thuật tấn công ETUDE nhúng mã độc vào bản cập nhật của công cụ lành tính, chạy hoàn toàn bên ngoài ngữ cảnh của mô hình và không cần prompt injection. Thử nghiệm trên 7 framework (gồm Gemini CLI, Codex CLI, Claude Code) cho thấy ETUDE đạt tỷ lệ tấn công thành công 97,6% trong khi vẫn hoàn thành 95,9% tác vụ hợp lệ, làm vô hiệu hóa các biện pháp phòng vệ in-context hiện nay.", "key_changes": ["Phát hiện lỗ hổng 'Tool Update Gap': các framework agentic tiếp tục tin tưởng công cụ mở rộng sau khi cập nhật mã nguồn mà không xác thực lại tính an toàn.", "Giới thiệu phương thức tấn công ETUDE (Exploiting Tool Updates for Direct Execution): nhúng mã độc vào bản cập nhật của công cụ vốn lành tính nhưng vẫn bảo toàn tính năng gốc.", "Vượt qua hoàn toàn các lớp phòng vệ in-context: cuộc tấn công diễn ra ngoài context window của LLM và không cần câu lệnh đối kháng (adversarial instructions).", "Thử nghiệm trên 7 framework thương mại và mã nguồn mở (gồm Gemini CLI, Codex CLI, Claude Code) với 3 nhóm workload, đạt tỷ lệ tấn công thành công (ASR) 97,6% và tỷ lệ hoàn thành tác vụ hợp lệ 95,9%.", "Xác định các cơ chế phòng thủ hiện hành chưa đủ khả năng phát hiện hoặc ngăn chặn lỗ hổng chuỗi cung ứng này."], "sub_category": "Agent Security", "novelty_score": 86, "business_score": 82, "research_score": 85, "why_it_matters": "Nghiên cứu vạch rõ điểm mù chí mạng trong bảo mật LLM agent: các giải pháp hiện nay chỉ tập trung bảo vệ những gì mô hình nhìn thấy trong context window (prompt injection), trong khi mã thực thi của công cụ bên ngoài mới là bề mặt tấn công trực tiếp. Khi các hệ thống agent ngày càng tự chủ và tích hợp sâu vào hạ tầng phần mềm, niềm tin bảo mật phải được chuyển dịch sang kiểm soát chuỗi cung ứng, xác thực toàn vẹn mã nguồn và cô lập môi trường thực thi runtime.", "developer_score": 88, "importance_score": 88, "possible_use_cases": ["Áp dụng cơ chế khóa mã băm toàn vẹn (hash pinning/lockfiles) và xác thực chữ ký số cho mọi bản cập nhật công cụ của agent.", "Thiết lập quy trình kiểm thử tĩnh (SAST) và re-audit tự động đối với mã nguồn tool trước khi cho phép agent nạp phiên bản mới.", "Triển khai sandbox cô lập hoàn toàn môi trường thực thi runtime của tool (e.g., gVisor, microVMs, container hạn chế quyền) để ngăn chặn direct execution độc hại.", "Giám sát hành vi runtime cấp hệ điều hành (system calls, network traffic) thay vì chỉ giám sát nội dung hội thoại trong context window."], "actionability_score": 80}