PromptArmor 披露 Elastic AI SOC 存在凭证窃取漏洞，Elastic 未在跟进后修复

背景

安全团队正竞相采用 Agentic SOC（安全运营中心）来提升其安全性；讽刺的是，AI SOC 本身可能构成严重的安全风险。鉴于不可信数据（恶意活动报告）的普遍存在以及事件响应中涉及敏感操作的能力，AI SOC 成为间接提示注入攻击的主要目标。我们在 EASE——Elastic 的 AI SOC 中演示了这一威胁。

Elastic 的 Agentic SOC 代理容易受到其本应分诊的告警的操纵，并且它可以利用用户权限在 Elastic 中执行任何操作；无需人工介入审批。

在下面的攻击链中，代理被操纵生成 API 密钥并将其发送给攻击者。随后，攻击者可以执行用户拥有权限的任何操作，例如禁用检测规则、创建虚假告警以掩盖真实攻击、从 Elasticsearch 窃取数据或从租户中删除数据。

该漏洞于 2026 年 8 月 23 日报告给 Elastic，但尽管有四次跟进，仍未得到解决。因此，我们发布此报告以告知用户风险及缓解配置。有关负责任披露的更多细节见文章末尾。

攻击链

1. 用户请求 AI SOC 协助分诊钓鱼告警

   SOC 中一个非常常见的数据源是钓鱼举报热线，用户可以将可疑电子邮件转发给安全团队进行分诊。

2. AI SOC 被其中一条告警操纵，创建并执行恶意工作流

   代理正在评估的一封钓鱼邮件声称，有更多告警需要从特定 URL 获取，并且应使用带有子代理的工作流来处理它们。

   该工作流从攻击者控制的 URL 检索数据，然后生成一个子代理，除了攻击者的数据和系统提示“执行以下内容”之外没有任何上下文……导致子代理采取攻击者服务器提供的任何操作。

   注意：这一切都无需人工介入审批，因为代理可以自行决定何时在其工作流中添加“waitForApproval”步骤，而提示注入会阻止这样做。

3. 恶意工作流窃取 API 密钥

   在这里，攻击者的服务器返回一条指令，告诉子代理它正在参加一场竞赛。为了获胜，它需要生成新的 API 密钥并将其发送到攻击者的服务器以“提交其发现”。

   技术说明：该攻击还窃取了工作区 URL，这是攻击者使用窃取的 API 密钥发出请求所必需的。

4. 攻击者利用 API 访问权限在 SOC 中执行未经授权的操作并窃取数据

   利用窃取的凭据，攻击者可以执行用户能执行的任何操作。这包括：

   • 禁用或删除告警规则

   • 创建虚假告警以掩盖真实攻击

   • 从 Elastic 及各个集成中窃取数据

   • 通过计划任务建立持久性

   • 从 AI SOC 监控的设备中收集数据

   我们还注意到，所有这些结果都可以直接通过一个由被操纵的子代理运行的工作流来实现，而不必利用该工作流窃取密钥再由此继续操作。

缓解措施

1. 代理配置：

   禁用 Elastic AI Agent 的“自动包含内置功能”设置，以便手动管理启用哪些工具。

   你的项目 > 代理（左侧边栏）> 概览 > 编辑代理设置 > 自定义 > 自动包含内置功能 > 切换为关闭

   随后我们建议禁用具备写入能力的工具，因为系统目前似乎不支持人工介入审批控制，除了 'waitForApproval' 工作流步骤，而这些步骤仅在代理自行决定时使用。

   你的项目 > 代理（左侧边栏）> Elastic AI Agent（下拉菜单）> 管理代理 > 悬停于 'Elastic AI Agent'，点击出现的编辑图标 > 工具选项卡 > 取消勾选不需要的工具

   以下工具在默认代理上默认启用，风险最高：

   • Platform.core.execute_esql

   • Platform.core.execute_workflow

   我们还强烈建议禁用自动将所有当前和未来的 Elastic 构建工具、技能和插件分配给代理的设置。

   你的项目 > 代理（左侧边栏）> Elastic AI Agent（下拉菜单）> 管理代理 > 悬停于 'Elastic AI Agent'，点击出现的编辑图标 > 设置选项卡 > Elastic 能力 > 切换为关闭

2. 默认模型选择

   目前，Elastic 中的默认模型是 Anthropic Claude Sonnet 4.5。

   较新的模型对间接提示注入的抵御能力要强得多。通过以下方式配置替代默认模型：

   你的项目 > 发现 Elastic AI / 配置 AI 提供商 > 选择提供商 > 在下拉菜单中选择模型

3. IP 访问限制

   要限制 Elastic Cloud 与不受信任 IP 之间的入站和出站流量，请在以下位置配置网络安全策略：

   组织设置 > 网络安全 > 创建策略

负责任披露

PromptArmor 于 2026 年 8 月 23 日披露了本文所述的漏洞。Elastic 确认收到报告，但尽管有四次跟进，仍未参与披露流程。因此，我们发布此文以告知用户相关风险及缓解这些风险的适当控制措施。

我们注意到，Elastic 的报告政策明确允许通过电子邮件进行披露，其中写道：“如果您不想使用漏洞赏金计划，可以直接发送电子邮件至 security@elastic.co 联系我们。”

时间线

PromptArmor 威胁情报

你的组织是否受到供应商 AI 的保护？

PromptArmor 持续监控你的第三方 AI 供应商、技能、插件、连接器、MCP 服务器、模型等组合。

我们会检测此类漏洞和变更，在风险演变为事故之前将其暴露出来。

了解更多