Мы дружно наделили ИИ-агентов правами запускать код, читать файлы и лазить по почте. Что могло пойти не так? Да примерно всё.
Что случилось. Исследователь Чинмохан Наяк показал, как связать три уязвимости в OpenClaw - это ИИ-агент на собственном хостинге с 381 тысячей звёзд на GitHub, которому пишешь в мессенджер, как коллеге.
Он подключается к WhatsApp, Slack, Telegram, Discord, пишет код и выполняет shell-команды. И вот с помощью одного сообщения в WhatsApp удалось добиться выполнения кода прямо на хосте (подтверждено на версии 2026.6.1, исправлено в версии 2026.6.6).
Как.
- Во-первых, внедрение переменных окружения: фильтр отсекал утечку токенов и ключей, но пропускал стартовые переменные интерпретаторов вроде NODE_OPTIONS и PYTHONSTARTUP, что позволяло загрузить код до запуска скрипта.
- Во-вторых, злоупотребление git-транспортом.
- В-третьих, обход песочницы: проверка смотрела, находится ли путь внутри запрещенной папки, но не наоборот. Отдельная деталь, которая меня позабавила: очевидные пейлоады вроде reverse shell иногда отсеивались защитными фильтрами модели, а вот запросы в стиле «помоги воспроизвести ошибку в CI» проходили. Социнженерия, но уже против ИИ.
Аналогия. Вы наняли гениального стажера, у которого есть ключи от всего офиса. Ему можно писать в личные сообщения. И любой прохожий тоже может написать ему в личные сообщения: «Сделай вот это». Стажер вежлив и исполнительен.Выводы. Обычным пользователям, которые балуются автономными ИИ-агентами дома: не разрешайте им принимать сообщения от кого угодно, обновляйте их и не давайте права администратора без необходимости.
Для бизнеса и директоров по информационной безопасности: это теневой ИИ с привилегиями. Сотрудники подключают агентов к корпоративным SaaS без ведома службы безопасности. Что обсудить: инвентаризацию ИИ-агентов, принцип наименьших привилегий, изоляцию исполнения от хоста, обязательное подтверждение человеком опасных операций.
Мой комментарий. На мой взгляд, это главная набирающая популярность тема этого года. Мы повторяем ошибки эпохи ранних веб-приложений, только теперь исполнитель еще и «умный». Тенденция точно усилится - ИИ-агенты распространяются быстрее, чем политики для них. Приготовьтесь относиться к агенту как к недоверенному пользователю с правами root.
Автор: Беляев Дмитрий
〰️〰️〰️
📝Связаться с Дмитрием
〰️〰️〰️
👆👆👆👆👆
✔️Подпишись на канал🔥
🕒 [Ранний доступ к подкастам] 🔥
▶️ [Чат]
🛒 [Все проекты] 🔥
🟡 [Менторство] 🔥
⚡️ [Буст BS]
🤔 [Стикеры]
🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]💥
#безопасностьИИ #внедрениепромптов #shadowAI #RCE #кибербезопасность