Что произошло
В апреле 2026 года статья по безопасности под названием "Your Agent, Their Asset" привлекла внимание как академического сообщества, так и сообщества инженеров ИИ. Четырнадцать исследователей из UC Santa Cruz, Беркли, лаборатории безопасности Tencent и команды безопасности ByteDance провели систематический пентест наиболее широко развёрнутого персонального ИИ-агента, успешно получив полный контроль и задокументировав 12 различных путей атак через отравление.
Это не теоретические изыскания — исследователи фактически выполнили атаки и проверили реализуемость каждого пути.
12 путей атак, классифицированных
Исследователи разделили 12 путей атак на три категории:
🔴 Отравление на уровне данных (4 пути)
- Инъекция в тренировочные данные: Внедрение вредоносных паттернов в наборы данных предобучения/дообучения агента
- Загрязнение базы знаний RAG: Внедрение misleading-документов в поисковую базу знаний агента
- Подделка хранилища памяти: Модификация постоянной памяти агента для изменения его поведенческой базовой линии
- Перехват контекстного окна: Внедрение тщательно сконструированных промптов в пользовательские диалоги для перезаписи системных инструкций
🟡 Перехват на уровне инструментов (4 пути)
- MITM-атака на MCP-сервер: Пер перехватом коммуникации между агентом и внешними инструментами, модификация ввода/вывода
- Атака через цепочку зависимостей навыков: Распространение вредоносного кода через зависимости сторонних навыков
- Эксплуатация утечки API-ключей: Использование сохранённых агентом API-ключей для доступа к внешним сервисам
- Повышение привилегий файловой системы: Получение доступа на уровне системы через права агента на файловые операции
🟠 Меж-агентное распространение (4 пути)
- Инфекция через коммуникацию мульти-агентов: Заражённый агент заражает другие через передачу сообщений
- Загрязнение общего рабочего пространства: Распространение вредоносных инструкций через общие рабочие пространства агентов
- Перехват цепочки вызовов инструментов: Вывод вызова инструмента агента A обрабатывается агентом B как доверенный ввод
- Перекрёстная утечка данных между тенантами: В мультитенантных средах агент одного пользователя получает доступ к данным другого
Что сделала исследовательская команда
- Получили полный доступ: Сначала получили полный доступ к целевому агенту (через легальные каналы или авторизацию пользователя)
- Выполнили атаки отравлением: Проверили реализуемость всех 12 путей поочерёдно
- Задокументировали масштаб воздействия: Количественно оценили утечку данных, финансовые потери или разрушение системы, которые могла вызвать каждая атака
- Ответственное раскрытие: Предоставили отчёты о уязвимостях соответствующим вендорам до публикации статьи
Ключевой вывод: большинство путей атак не требуют эксплуатации каких-либо уязвимостей в коде. Злоумышленникам нужно лишь понять модель доверия агента, чтобы достичь вредоносных целей через «легитимные» интерфейсы.
Влияние на индустрию
Время публикации этой статьи критически важно:
- CISA и Five Eyes только что выпустили «Руководство по безопасности Agentic AI» в начале мая
- Исследовательская команда Microsoft одновременно сообщила о проблемах перекрёстного заражения в мульти-агентных сетях
- Google DeepMind также опубликовала фреймворк, документирующий 6 типов атак перехвата ИИ-агентов
Это означает, что безопасность ИИ-агентов переходит из «академической заботы» в «промышленный приоритет».
Рекомендации по действиям
Краткосрочные (эта неделя):
- Проверьте, какие навыки/плагины установлены у вашего ИИ-агента, удалите ненужные
- Проверьте права API-ключей, используемых агентом, понизьте до минимально необходимых
Среднесрочные (этот месяц):
- Создайте процесс проверки безопасности ИИ-агентов в вашей команде
- Разверните логирование аудита и обнаружение аномалий для агентов в продакшене
Долгосрочные (этот квартал):
- Оцените необходимость внедрения инструментов сканирования безопасности агентов
- Рассмотрите adoption архитектуры нулевого доверия для проектирования мульти-агентных систем
Чем мощнее ИИ-агент, тем больше разрушений он может причинить при перехвате. Безопасность нельзя откладывать на потом — она должна быть заложена в архитектуру с первого дня.