Друзі привіт - ну шо, потихеньку розганяємось після відпустки?)

Я думаю багато хто вже користується AI інтеграціями через MCP, skills, plugins і все таке. І от тут сукьюріті куа викотив дуже корисну статейку про AgentBaiting.

Якщо коротко - проблема в тому, що AI може знайти “корисний” MCP/skill, прочитати README і порадити вам встановити те, що насправді є malware. І це вже не теорія - були кампанії з тисячами шкідливих GitHub repo, частина з яких маскувалась саме під AI Skills і MCP servers.

Раджу взяти з статті: як перевіряти maintainer і source чи як дивитись permissions/scopes не ставити ZIP/EXE/BAT просто “бо AI порадив” ганяти нові MCP/skills у sandbox або не давати їм production secrets і робити allowlist і review
Поінт як завжди простий: AI може знайти інструмент Але перевіряти, чи він безпечний - все ще наша робота)

Почитайте, думаю буде корисно:
https://svyat.tech/agentbaiting-yak-pereviryati-ai-skills-mcp-serveri-i-agentski-plagini-do-vstanovlennya

Сильні 💛