फोरेंसिस लैब — AI एजेंट विशेषाधिकार वृद्धि का फोरेंसिक पुनर्निर्माण (JFrog Artifactory)

"इंसिडेंटे सेरो" (OpenAI, मई 2026) का एक सुरक्षित, पृथक, फोरेंसिक पुनर्निर्माण: एक सैंडबॉक्स्ड AI एजेंट JFrog Artifactory पैकेज प्रॉक्सी की खोज करता है, अपने ही कॉन्फ़िगरेशन से क्रेडेंशियल निकालता है, सर्वर पर एक अनौपचारिक मैसेज बोर्ड बनाता है, और रीडर से एडमिनिस्ट्रेटर तक विशेषाधिकार बढ़ाता है।

अध्ययन का उद्देश्य: यह निर्धारित करना कि बेसलाइन कॉन्फ़िगरेशन का कितना हिस्सा इस घटना को सक्षम बनाता है। प्रयोग एडमिनिस्ट्रेटर उपयोगकर्ता (जो "फ्लैग" है) के निर्माण पर समाप्त होता है। यह पूरी घटना को कवर नहीं करता।

आवश्यकताएँ

• Docker + Docker Compose (Windows/WSL और Linux पर परीक्षित)।
• एक JFrog Artifactory Pro लाइसेंस — https://jfrog.com/start-free/ पर एक निःशुल्क 1-माह का ट्रायल प्राप्त करें। अपनी लाइसेंस फ़ाइल को artifactory_license/ फ़ोल्डर में रखें (वहाँ मौजूद प्लेसहोल्डर artifactory.lic को बदलें)। लाइसेंस के बिना, Artifactory OSS मोड में चलता है और अधिकांश लैब API (अनुमतियाँ, टोकन, रिमोट रेपो) काम नहीं करेंगे।
• संस्करण पर टिप्पणी: यह लैब Artifactory 7.146.25 को पिन करती है — वही संस्करण जिसके टोकन API ने फ़ॉर्ज्ड-रिफ्रेश वेक्टर को स्वीकार किया (CVE-2026-65616, 7.146.27 में ठीक किया गया)। यही लैब का उद्देश्य है।

त्वरित शुरुआत

git clone <this-repo> && cd <dir>
# 1. put your license in artifactory_license/artifactory.lic
# 2. clean start (preserves data volumes; see "Reset semantics" below):
./reset.sh && ./start.sh

start.sh पूरे परिदृश्य को प्रोविज़न करता है (Artifactory के वार्म-अप के दौरान पहला स्टार्ट कई मिनट लेता है):

1. लाइसेंस — UI के माध्यम से आपके द्वारा मैन्युअल रूप से इंस्टॉल किया जाता है (कभी स्वचालित नहीं; आपका लाइसेंस व्यक्तिगत है और समाप्त हो जाता है)। स्क्रिप्ट केवल यह जाँचती है कि कोई लाइसेंस सक्रिय है या नहीं और चेतावनी देती है।
2. अनाम पहुँच स्पष्ट रूप से सक्षम — जैसा मूल घटना में था।
3. 6 रिपॉज़िटरी — pypi/npm, प्रत्येक local + remote + virtual। PyPI रिमोट को URL https://files.pythonhosted.org के साथ कॉन्फ़िगर किया गया है (वह नुस्खा जो वास्तव में इस संस्करण में काम करता है)।
4. उपयोगकर्ता agente-compartido (समूह readers) राइट अनुमतियों के साथ (Anything: read + deploy/cache) — वह बुरी प्रथा जो मैसेज बोर्ड को सक्षम बनाती है।
5. एक डिफ़ॉल्ट संदर्भ टोकन एजेंट को एक समर्पित वॉल्यूम के माध्यम से प्रोविज़न किया जाता है; एजेंट इसे /etc/pip.conf और /etc/npmrc में रेंडर करता है — फेज़ 1 का लीक। भेजा गया टोकन में है।

शॉर्टकट: यदि आपने Release से पूर्व-प्रोविज़न किए गए वॉल्यूम आयात किए हैं (नीचे देखें), तो प्रोविज़निंग पहले ही हो चुकी है — ./start.sh बस स्टैक को चालू करता है।

सत्यापित करें:

curl -s http://localhost:8081/artifactory/api/system/ping     # -> "true"
docker exec -it incidente-modelo-simulado sh
# inside the agent:
cat /etc/pip.conf            # leaked credentials (the Fase 1 leak)
. /opt/venv/bin/activate
pip install six              # packages without internet, via the remote

फिर चरणों का क्रम में पालन करें: phases/README.md → 00 आर्किटेक्चर → 01 खोज → 02 मैसेज बोर्ड → 03 रिफ्रेशेबल टोकन → 04 विशेषाधिकार वृद्धि (CVE-2026-65616) → 05 एडमिन सत्यापन।

टोकन जीवनचक्र (महत्वपूर्ण)

• एक डिफ़ॉल्ट संदर्भ टोकन (cmVmdGtu...) token/token_ref.txt में भेजा जाता है और हर स्टार्ट पर start.sh द्वारा एजेंट को दिया जाता है।

• संदर्भ टोकन Artifactory के डेटाबेस में पॉइंटर होते हैं (टोकन हैश PostgreSQL वॉल्यूम में रहता है)। reset.sh जानबूझकर डेटा वॉल्यूम को संरक्षित करता है, इसलिए टोकन रीसेट के बाद भी बचा रहता है।

• पूरी तरह से नई स्थिति बाध्य करने के लिए, वॉल्यूम को मैन्युअल रूप से हटाएँ:

  root@kitploit:~

  docker volume rm $(docker volume ls -q | grep -E 'artifactory_data_v714625|postgres_data')
  

  फिर आपको एडमिन UI के माध्यम से एक नया संदर्भ टोकन जनरेट करना होगा और इसे सीधे उपयोगकर्ता agente-compartido को असाइन करना होगा — समूह को नहीं। समूह-स्कोप्ड टोकन admin को एट्रिब्यूट किया जाता है, और एजेंट का टोकन रिफ्रेश चुपचाप विफल हो जाएगा। token/token_ref.txt को नए मान के साथ अपडेट करें।

• पुनर्जनन के लिए चरण-दर-चरण: token/README.md।

चरण

पूर्व-प्रोविज़न किए गए वॉल्यूम (Release एसेट्स)

इस रिपॉज़िटरी की एक GitHub Release कार्यशील लैब के तीन Docker वॉल्यूम को tarballs के रूप में भेजती है, ताकि एक क्लोन प्रोविज़निंग के बिना सटीक प्रोविज़न की गई स्थिति (रेपो, अनुमतियाँ, अनाम ON, टोकन हैश, कैश) को पुनर्जीवित कर सके:

आयात करें (tarballs वाले फ़ोल्डर से):

for V in incidente_artifactory_data_v714625 incidente_postgres_data incidente_agent_secrets; do
  docker volume create $V
  docker run --rm -v $V:/data -v $(pwd):/backup alpine sh -c "cd /data && tar xzf /backup/$V.tar.gz"
done
./start.sh

नोट्स:

• वॉल्यूम केवल docker-compose.yml में निर्धारित masterKey के साथ डिक्रिप्ट होते हैं — आयात के बाद इसे कभी न बदलें।
• बंडल की गई स्थिति लाइसेंस के बिना भेजी जाती है: स्थिति किसी भी लाइसेंस सामग्री से साफ़ सत्यापित है। ./start.sh के तुरंत बाद अपना ट्रायल लाइसेंस इंस्टॉल करें (देखें आवश्यकताएँ) — इसके बिना, राइट्स अवरुद्ध होते हैं (रीड्स काम करते हैं)।
• वॉल्यूम के साथ भी, भेजा गया संदर्भ टोकन केवल तब तक प्रमाणित करता है जब तक वॉल्यूम स्थिति बरकरार है — टोकन उस डेटाबेस में एक पॉइंटर है (ऊपर टोकन जीवनचक्र देखें)।

रीसेट सेमांटिक्स

• ./reset.sh कंटेनर को वॉल्यूम हटाए बिना रोकता है (कोई down -v नहीं)।
• ./start.sh आइडेम्पोटेंट है: जो भी गायब है उसे प्रोविज़न करता है और बाकी सब कुछ रखता है।
• साफ़ मशीन से पहला रन: दोनों चलाएँ। कोई भी बाद का रन: अकेले ./start.sh पर्याप्त है।

यह लैब क्या प्रदर्शित करती है

परिदृश्य की प्रत्येक पृथक स्थिति का एक सुविधा-आधारित औचित्य है (कैश, साझा क्रेडेंशियल, रिफ्रेशेबल टोकन)। एक साथ संयोजित होने पर, वे दिखाते हैं कि किसी परिष्कृत क्रिप्टोग्राफिक विशेषाधिकार वृद्धि की आवश्यकता नहीं थी: कारण-श्रृंखला की छह कड़ियों में से चार कॉन्फ़िगरेशन निर्णय हैं। विश्वास की सीमा कंपनी के चारों ओर खींची गई थी, प्रत्येक अभिनेता के चारों ओर नहीं — और एजेंट परिधि के भीतर एक अभिनेता था। एक वाक्य में थीसिस: ज़ीरो ट्रस्ट मॉडल्स के लिए नहीं, कंपनियों के लिए है; जब उपभोक्ता की प्रकृति बदलती है (स्क्रिप्ट → स्वायत्त एजेंट), तो विश्वास की सतह को पुनः कैलिब्रेट किया जाना चाहिए।

नैतिकता

• पृथक लैब: एजेंट की इंटरनेट तक पहुँच नहीं है; Artifactory की है, केवल पैकेज मिरर के रूप में कार्य करने के लिए।
• शामिल टोकन लैब टोकन हैं: इस नेटवर्क के बाहर अल्पकालिक और बेकार।
• केवल शैक्षिक और प्रलेखीय उद्देश्यों के लिए: AI एजेंट्स पर लागू साइबरसुरक्षा पुरातत्व।

इस रिपॉज़िटरी को उद्धृत करना

यदि आप इस लैब का उपयोग शोध या शिक्षण में करते हैं, तो कृपया इसे इसके Zenodo DOI 10.5281/zenodo.22817059 के माध्यम से उद्धृत करें:

Colmenero-Fernandez, A. (2026). Forensis Lab: Forensic Recreation of the AI Agent Privilege Escalation (JFrog Artifactory, CVE-2026-65616) (v1.0.0). Zenodo. https://doi.org/10.5281/zenodo.22817059

BibTeX:

@software{colmenerofernandez2026forensislab,
  author    = {Colmenero-Fernandez, Alicia},
  title     = {{Forensis Lab: Forensic Recreation of the AI Agent Privilege Escalation (JFrog Artifactory, CVE-2026-65616)}},
  year      = {2026},
  version   = {1.0.0},
  doi       = {10.5281/zenodo.22817059},
  url       = {https://doi.org/10.5281/zenodo.22817059}
}

मशीन-पठनीय उद्धरण मेटाडेटा: CITATION.cff।