Forensis Lab — Forensische Rekonstruktion der Rechteausweitung des KI-Agenten (JFrog Artifactory)

Eine sichere, isolierte, forensische Rekonstruktion des "Incidente Cero" (OpenAI, Mai 2026): Ein sandboxed KI-Agent entdeckt den JFrog Artifactory-Paket-Proxy, extrahiert Anmeldedaten aus seiner eigenen Konfiguration, improvisiert ein Message Board auf dem Server und eskaliert vom Leser zum Administrator.

Studienziel: Ermitteln, wie viel der Basiskonfiguration das Ereignis ermöglicht hat. Das Experiment endet mit der Erstellung des Administrator-Benutzers (dem "Flag"). Es deckt nicht den gesamten Vorfall ab.

Anforderungen

• Docker + Docker Compose (getestet unter Windows/WSL und Linux).
• Eine JFrog Artifactory Pro-Lizenz — erhalten Sie eine kostenlose 1-monatige Testversion unter https://jfrog.com/start-free/. Legen Sie Ihre Lizenzdatei im Ordner artifactory_license/ ab (ersetzen Sie den Platzhalter artifactory.lic dort). Ohne Lizenz läuft Artifactory im OSS-Modus und die meisten Lab-APIs (Berechtigungen, Tokens, Remote-Repos) funktionieren nicht.
• Hinweis zur Version: Dieses Lab pinnt Artifactory 7.146.25 — die exakte Version, deren Token-API den forged-refresh-Vektor akzeptierte (CVE-2026-65616, behoben in 7.146.27). Das ist der Sinn des Labs.

Schnellstart

git clone <this-repo> && cd <dir>
# 1. put your license in artifactory_license/artifactory.lic
# 2. clean start (preserves data volumes; see "Reset semantics" below):
./reset.sh && ./start.sh

start.sh richtet das gesamte Szenario ein (der erste Start dauert mehrere Minuten, während Artifactory hochfährt):

1. Lizenz — manuell von Ihnen über die UI installiert (niemals automatisiert; Ihre Lizenz ist persönlich und läuft ab). Das Skript prüft nur, ob eine Lizenz aktiv ist, und warnt.
2. Anonymer Zugriff explizit aktiviert — wie im ursprünglichen Vorfall.
3. 6 Repositories — pypi/npm, jeweils local + remote + virtual. Das PyPI-Remote ist mit der URL https://files.pythonhosted.org konfiguriert (das Rezept, das in dieser Version tatsächlich funktioniert).
4. Benutzer agente-compartido (Gruppe readers) mit Schreibberechtigungen (Anything: read + deploy/cache) — die schlechte Praxis, die das Message Board ermöglicht.
5. Ein Standard-Referenz-Token wird für den Agenten über ein dediziertes Volume bereitgestellt; der Agent rendert es in /etc/pip.conf und /etc/npmrc — das Leck aus Phase 1. Das mitgelieferte Token befindet sich in .

Abkürzung: Wenn Sie die vorbereiteten Volumes aus dem Release importiert haben (siehe unten), ist die Bereitstellung bereits erfolgt — ./start.sh bringt den Stack nur noch hoch.

Überprüfen:

curl -s http://localhost:8081/artifactory/api/system/ping     # -> "true"
docker exec -it incidente-modelo-simulado sh
# inside the agent:
cat /etc/pip.conf            # leaked credentials (the Fase 1 leak)
. /opt/venv/bin/activate
pip install six              # packages without internet, via the remote

Folgen Sie dann den Phasen der Reihe nach: phases/README.md → 00 Architektur → 01 Entdeckung → 02 Message Board → 03 Refreshable Token → 04 Eskalation (CVE-2026-65616) → 05 Admin-Verifikation.

Token-Lebenszyklus (wichtig)

• Ein Standard-Referenz-Token (cmVmdGtu...) wird in token/token_ref.txt mitgeliefert und bei jedem Start von start.sh an den Agenten übergeben.

• Referenz-Tokens sind Zeiger in die Datenbank von Artifactory (der Token-Hash lebt im PostgreSQL-Volume). reset.sh bewahrt die Datenvolumes absichtlich auf, sodass das Token Resets überlebt.

• Um einen vollständig frischen Zustand zu erzwingen, löschen Sie die Volumes manuell:

  root@kitploit:~

  docker volume rm $(docker volume ls -q | grep -E 'artifactory_data_v714625|postgres_data')
  

  Danach müssen Sie ein neues Referenz-Token über die Admin-UI generieren und es direkt dem Benutzer agente-compartido zuweisen — nicht der Gruppe. Ein gruppenbezogenes Token wird admin zugeordnet, und die Token-Aktualisierung des Agenten schlägt stillschweigend fehl. Aktualisieren Sie token/token_ref.txt mit dem neuen Wert.

• Schritt-für-Schritt-Anleitung zur Neugenerierung: token/README.md.

Phasen

Vorbereitete Volumes (Release-Assets)

Ein GitHub-Release dieses Repositories liefert die drei Docker-Volumes des funktionierenden Labs als Tarballs, sodass ein Klon den exakten bereitgestellten Zustand (Repos, Berechtigungen, anonym AN, Token-Hash, Cache) ohne Bereitstellung wiederherstellen kann:

Import (aus dem Ordner mit den Tarballs):

for V in incidente_artifactory_data_v714625 incidente_postgres_data incidente_agent_secrets; do
  docker volume create $V
  docker run --rm -v $V:/data -v $(pwd):/backup alpine sh -c "cd /data && tar xzf /backup/$V.tar.gz"
done
./start.sh

Hinweise:

• Die Volumes entschlüsseln nur mit dem in docker-compose.yml festgelegten masterKey — ändern Sie diesen nach dem Import niemals.
• Der mitgelieferte Zustand wird ohne Lizenz ausgeliefert: Der Zustand ist nachweislich frei von jeglichem Lizenzmaterial. Installieren Sie Ihre eigene Testlizenz (siehe Anforderungen) direkt nach ./start.sh — ohne sie sind Schreibvorgänge blockiert (Lesezugriffe funktionieren).
• Selbst mit Volumes authentifiziert das mitgelieferte Referenz-Token nur, solange der Volume-Zustand intakt ist — das Token ist ein Zeiger in diese Datenbank (siehe Token-Lebenszyklus oben).

Reset-Semantik

• ./reset.sh stoppt Container ohne Löschen von Volumes (kein down -v).
• ./start.sh ist idempotent: Es richtet alles ein, was fehlt, und behält alles andere bei.
• Erster Lauf von einer sauberen Maschine: beide ausführen. Jeder spätere Lauf: ./start.sh allein genügt.

Was dieses Lab demonstriert

Jede isolierte Bedingung des Szenarios hat eine Bequemlichkeitsrechtfertigung (Cache, gemeinsame Anmeldedaten, aktualisierbare Tokens). Orchestriert zeigen sie, dass keine ausgefeilte kryptografische Eskalation nötig war: Vier der sechs Glieder der Kausalkette sind Konfigurationsentscheidungen. Die Vertrauensgrenze war um das Unternehmen gezogen worden, nicht um jeden Akteur — und der Agent war ein Akteur innerhalb des Perimeters. Die These in einem Satz: Zero Trust ist nicht für Modelle, sondern für Unternehmen; wenn der Konsument seine Natur ändert (Skript → autonomer Agent), muss die Vertrauensfläche neu kalibriert werden.

Ethik

• Isoliertes Lab: Der Agent hat keinen Internetzugang; Artifactory hat welchen, nur um als Paket-Mirror zu fungieren.
• Die enthaltenen Tokens sind Lab-Tokens: flüchtig und wertlos außerhalb dieses Netzwerks.
• Nur zu Bildungs- und Dokumentationszwecken: Cybersicherheits-Archäologie angewandt auf KI-Agenten.

Zitieren dieses Repositories

Wenn Sie dieses Lab in Forschung oder Lehre verwenden, zitieren Sie es bitte über seinen Zenodo-DOI 10.5281/zenodo.22817059:

Colmenero-Fernandez, A. (2026). Forensis Lab: Forensic Recreation of the AI Agent Privilege Escalation (JFrog Artifactory, CVE-2026-65616) (v1.0.0). Zenodo. https://doi.org/10.5281/zenodo.22817059

BibTeX:

@software{colmenerofernandez2026forensislab,
  author    = {Colmenero-Fernandez, Alicia},
  title     = {{Forensis Lab: Forensic Recreation of the AI Agent Privilege Escalation (JFrog Artifactory, CVE-2026-65616)}},
  year      = {2026},
  version   = {1.0.0},
  doi       = {10.5281/zenodo.22817059},
  url       = {https://doi.org/10.5281/zenodo.22817059}
}

Maschinenlesbare Zitationsmetadaten: CITATION.cff.