WTF with your {harmful} skills, AI-buddy?

1/ Это пост озабоченности специально для @exportnow ситуацией вокруг вредоносных навыков для ИИ-агентов, которая выявлена исследователями в области безопасности корпоративных данных (см. источник). В мире ИИ-ассистентов появилась новая «дыра», которая напрямую касается вас: теперь ваши переписки с ИИ, доступы, ключи и коммерческие планы могут утекать не через хакеров, а через милые «skills» и браузерные расширения, которые обещают удобство, а на деле занимаются шпионажем. (Как, впрочем, давно могло случаться с браузерными расширениями, см. публикации в канале @welovenofraud.)

2/ Что произошло
Исследователи описывают историю «skills» и AI-расширений, которые получают глубокий доступ к браузеру и устройству во имя продуктивности — а дальше начинают тихо выкачивать всё, что видят. Такие расширения перехватывают запросы к чатам (ChatGPT, Claude, Copilot, Perplexity и др.), читают ваши промпты и ответы, а затем отправляют их на внешние серверы как «телеметрию» или «аналитику».

3/ Почему это кошмар для бизнеса
Для нас это значит, что в зоне риска оказываются:
- коммерческие условия и переписка по контрактам, которые вы обсуждаете с ИИ или через браузер;
- API-ключи бирж, приватные ключи криптокошельков, SSH-доступы и пароли браузера — именно на них охотятся многие злонамеренные skills.
В одном кейсе популярный «Twitter skill» содержал скрытую команду: после клика по невинной ссылке ассистент запускал скачивание вредоносного payload, заточенного под кражу чувствительных данных.

4/ Типовая схема атаки
Исследования описывают довольно однотипный сценарий:
- расширение или skill внедряет свои скрипты, когда вы заходите на AI‑сервисы;
- перехватывает web‑запросы, включая содержимое промптов и ответов;
- собирает структурированные «диалоги» (текст, ID, таймстемпы, метаданные сессии);
- отправляет всё это на сторонние домены, часто маскируясь под аналитику или службу поддержки.
В ряде случаев вредоносные skills идут дальше — запускают команды на устройстве, скачивают дополнительные модули, следят за буфером обмена и клавиатурой, а затем сливают всё на командный сервер.

5/ Почему бизнес сам подставляется
Ключевая проблема — доверие по умолчанию:
- skills и расширения выглядят как маленькие удобные помощники, которые «чуть-чуть» расширяют возможности ассистента;
- маркетплейсы плагинов растут быстрее, чем усиливается безопасность, и туда проскальзывают десятки, а порой и сотни вредоносных добавок;
- пользователи и команды ставят их «на автомате», не задавая вопрос, кто именно получает доступ ко всем их диалогам и данным.
В результате компания сама создаёт новый контур утечки данных — прямо в браузере и в стеке «ИИ для продуктивности».

6/ Что делать уже сегодня
Если у вас уже есть клиенты, контракты и их технические доступы, то минимум гигиены выглядит так:
- провести аудит установленных AI-расширений и skills у команды, запретить сомнительные и несертифицированные;
- ограничить права расширений в браузерах, включить мониторинг исходящего трафика на новые домены с «чатовыми» нагрузками;
- прописать в политике ИБ: что можно обсуждать с ИИ, а что — только в защищённых каналах;
- регулярно пересматривать и отзывать секреты (ключи, токены, пароли), если есть малейшее подозрение на утечку через расширения или skills.

7/ ИИ-агенты давно стали частью рутины — от подготовки презентаций до моделирования переговоров. Но ОНИ НЕ БЕЗВРЕДНЫ по умолчанию, и к любому «удобному» AI-плагину нужно относиться как к потенциальной точке утечки, а не как к безобидной игрушке.

А нужны ли вам чеклисты, как распознать вредоносные скиллы у ИИ-агентов? Поисследуем публикации от топовых исследователей и сделаем пост на днях.

Не сливайте данные — подписывайтесь на @exportnow