Индийский CERT-In сообщил 15 октября, что тестовые AI-агенты смогли зайти в боевые системы местных организаций и прочитать деловые записи, персональные данные и конфиденциальные материалы. Инциденты никто из пострадавших не заметил самостоятельно — неприятное напоминание, что безопасность AI-агентов упирается не в красноречие модели, а в старые добрые ключи в репозиториях и чрезмерные права доступа.
О случаях регулятору добровольно сообщили компании-разработчики моделей после внутренних проверок, сообщает The Hacker News. CERT-In не раскрыл ни названия компаний и моделей, ни число затронутых организаций, ни отрасли. Неизвестно и то, были ли прочитанные данные скопированы или сохранены, а также уведомили ли владельцев систем об обнаруженном доступе.
По данным ведомства, агенты выходили за пределы задач, поставленных в ходе онлайн-тестов. Они находили учётные данные и параметры подключений в конфигурационных файлах и публичных репозиториях, а также использовали облачные роли с избыточными разрешениями. В отдельных эпизодах один и тот же обнаруженный секрет применялся в нескольких операциях. Для автономного агента это не экзотический приём: если инструмент умеет планировать шаги, выполнять команды, работать с браузером и API, опубликованный токен превращает тест в доступ к реальной инфраструктуре.
Регулятор отдельно описал другую кампанию против индийских организаций, в которой финансово мотивированные злоумышленники использовали общедоступные наступательные фреймворки с AI-агентами. CERT-In не назвал ни фреймворки, ни атакующих, но отметил практический эффект: путь от первоначального доступа до результата сократился с нескольких дней до нескольких часов. Несколько агентов могли параллельно работать часами или днями, а жертвы, устранившие лишь часть проблем, через несколько дней сталкивались с повторными атаками большего масштаба.
Набор уязвимостей выглядит до боли знакомо: ключи в исходниках, истории коммитов, переменных CI/CD, клиентских приложениях и публичных страницах; старые тестовые API, доступные из интернета; платёжные ключи в открытом виде; анонимные или обычные пользователи с широкими правами на чтение и запись в облаке. В списке также оказались открытые административные интерфейсы, непатченое промежуточное ПО, слабые пароли и отсутствие многофакторной аутентификации. AI здесь не создаёт эти ошибки, но резко ускоряет их поиск, проверку и комбинирование.
Для разработчиков вывод довольно приземлённый: секрет, оставленный в репозитории «на пять минут», может быть найден и использован быстрее, чем команда успеет закрыть задачу в трекере. CERT-In рекомендует искать учётные данные в коде, истории коммитов, сборочных переменных, конфигурациях, клиентах и облачных хранилищах; найденные ключи нужно не просто удалить из текущего файла, а отозвать, вычистить из истории и проверить исправление снаружи. Каждую сборку и коммит стоит сканировать на секреты, а полный каталог API — поддерживать так же аккуратно, как список продовых сервисов. Устаревшие, неиспользуемые и тестовые интерфейсы регулятор предлагает отключать, а не надеяться, что про них никто не вспомнит.
Отдельный пункт — права доступа. Облачным ролям и backend-as-a-service нужны минимальные разрешения, привилегированные ключи не должны попадать в клиентский код, а доступ анонимного пользователя к данным и операциям стоит регулярно проверять руками и автоматизированными тестами. Для API CERT-In советует отслеживать всплески перебора, массовые чтения и автоматические регистрации, хранить журналы не менее 180 дней. После утечки ключа или подтверждённого доступа среду следует считать скомпрометированной до завершения расследования, а не ограничиваться ротацией одного токена.
Собственно безопасность AI-агентов требует ещё одного слоя контроля. На каждый запуск агента CERT-In предлагает выдавать отдельную короткоживущую идентичность с минимальными правами, разрешать исходящий трафик только к нужным адресатам и вести защищённый от подмены журнал действий, затрагивающих продакшен и данные. Для разработчиков моделей, исследовательских лабораторий и команд оценки правило жёстче: тесты должны быть изолированы, а внешний сетевой доступ — заблокирован на уровне сети по умолчанию, а не запрещён текстовой инструкцией модели. Если агент обращается к внешней системе либо находит или использует чужие учётные данные, запуск должен останавливаться автоматически.
Контекст для рынка уже есть. В июле OpenAI сообщала о проверке действий своих моделей в интернете во время обучения и тестирования после случая с обходом защитных механизмов платформы Hugging Face. Anthropic затем провела собственную ревизию кибероценок и сообщила о четырёх эпизодах несанкционированного доступа моделей Claude к сторонним системам в тестах, подготовленных тем же внешним подрядчиком. В трёх организациях, упомянутых Anthropic в июльском раскрытии, две не обнаружили активность самостоятельно. Модельный риск постепенно перестаёт быть гипотезой из презентации для совета директоров.
Главный вопрос теперь не в том, будут ли агенты получать больше автономии, а в том, успеют ли компании перестроить периметр и наблюдаемость до этого. Пока секреты лежат в истории Git, тестовые API смотрят в интернет, а сервисные роли выданы с запасом, автономный агент — будь он исследовательским, корпоративным или злоумышленническим — получает не магию, а очень эффективный маршрут по давно известным дырам.