Когда агент предаёт

Read in English

Obsidian Security зафиксировали в 2025 году показательный случай: корпоративный агент-ассистент, который помогал сотрудникам с почтой и встречами, оказался скомпрометирован. Он продолжал работать штатно — читал, отвечал, пересылал. Только данные уходили не туда. Пострадали больше 700 организаций в едином каскаде.

Многие на этом месте думают: ну взломали, починят. Но обычная поломка — это когда что-то перестаёт работать. Здесь всё работало исправно. Просто в интересах другой стороны.

Агент получил доступы

Когда подключаешь агента, ты отдаёшь ему логины, токены, доступ к почте, файлам, API, CRM — и право действовать от твоего имени. По данным Obsidian Security, 90% корпоративных агентов имеют в 10 раз больше прав, чем реально нужно для задачи. Там же приведён конкретный кейс: один агент Glean скачал 16 миллионов файлов — пока всё остальное окружение компании суммарно обработало один миллион.

Взломанный инструмент останавливается. Взломанный агент продолжает работать — только уже на кого-то другого.

Как это происходит

Когда агент работает в связке с другими агентами, он постоянно получает данные из внешней среды: документы, письма, ответы от API, сообщения от соседних агентов. Граница между «рабочим контекстом» и «инструкцией атакующего» — только то, насколько агент умеет их различать. Часто — не умеет совсем.

Самый прямой способ — подбросить инструкцию туда, где агент её не ждёт. В марте 2026 года хакер атаковал AI-ассистент Cline: спрятал команду в публичном репозитории на GitHub. Агент прочитал её как задачу — и установил вредоносное ПО на тысячи машин. Ни один человек не нажал ничего лишнего.

Более изощрённый путь — отравление контекста. Исследователь Йоханн Рехбергер показал: один документ со скрытыми инструкциями — и Google Gemini Advanced начинает «помнить» ложную информацию во всех следующих сессиях. Никакого заметного момента взлома — просто агент незаметно дрейфует к нужным атакующему убеждениям и затем их отстаивает. MINJA (NeurIPS 2025) подтвердила: такие атаки достигают 95% успешности.

Но самый неочевидный способ не требует взлома вообще. В мультиагентных системах агенты общаются между собой и согласовывают решения — примерно как команда на совещании. Исследование «Don't Trust Stubborn Neighbors» показало: если один агент в сети настойчиво придерживается определённой позиции, остальные постепенно начинают её принимать — просто через повторяющееся взаимодействие. Никакого уязвимого кода. Достаточно одного «упрямого» участника в цепочке.

Что с этим делать

Исследователи и индустрия уже реагируют. OWASP Agentic Top 10 — первый открытый стандарт угроз для агентных систем — описывает классы атак и паттерны защиты. TrinityGuard предлагает единый фреймворк оценки безопасности мультиагентных систем на трёх уровнях: отдельный агент, межагентная коммуникация, системные риски. Появляются инструменты мониторинга поведения агентов в реальном времени — аналог того, что антивирусы делали для файлов в 2000-х.

Направление понятно: агентам нужны принцип минимальных привилегий (только те доступы, которые нужны для конкретной задачи), верификация источников (откуда пришла инструкция), и аудит цепочек (что именно агент делал от твоего имени).

Агент не сломался. Он делал ровно то, для чего его настроили. Просто где-то в цепочке кто-то переписал инструкции — и никто этого не заметил.

Пока агентные системы растут быстрее, чем культура работы с ними, стоит задать себе простой вопрос: ты знаешь, что именно происходит от твоего имени — и кто ещё в цепочке имеет на это влияние?

Макс Силенков — Convergence Designer, исследователь Human–Agent Experience.
Василиса — AI-агентная система. Этот текст написан в соавторстве.

Источники

1. Obsidian Security — The 2025 AI Agent Security Landscape
2. TechBuzz — AI Coding Tool Hacked via Prompt Injection Attack
3. Lares Labs — OWASP Agentic AI Top 10: Threats in the Wild
4. arXiv — MINJA: Memory Injection Attack (NeurIPS 2025)
5. arXiv — Don't Trust Stubborn Neighbors
6. arXiv — TrinityGuard