⚠️ ИИ-агенты превращают недели атаки в десять часов — допущения безопасности ломаются

В одном недавнем взломе корпоративной сети работа, на которую у людей ушло бы около двух недель, сжалась до неполных десяти часов. А при разборе инцидента в Hugging Face аналитики восстановили примерно 17 600 действий агента за четыре с половиной дня. Это меняет саму экономику атаки: у живого атакующего ограничены время и внимание, агент же методично перебирает тысячи путей, бросает неудачные и возвращается к старым зацепкам, почти ничего не теряя. Защита, построенная на том, что ресурс трудно найти или атакующему надоест, больше не работает.

В материале на Habr разбираются восемь допущений, которые тихо ломаются под давлением агентных атак. Ключевое: малоизвестность внутреннего эндпоинта почти не спасает — агент обходит всё, до чего может дотянуться. Командам безопасности предлагают добавить метрику времени сдерживания, а не только обнаружения: в Google зафиксировали путь от скомпрометированного облачного ресурса до массовой кампании по сбору учётных данных менее чем за шесть часов. Организационные проволочки (три согласования на отзыв учётки) могут тормозить сильнее техники.

Практические выводы сводятся к ужесточению старых практик: минимальные привилегии для каждого агента, раздельные права на чтение и запись, отсутствие статических облачных ключей в окружении, истекающие вместе с задачей учётные данные. Промпт-инъекцию предлагают считать неизбежной — вопрос не «произойдёт ли», а «что случится, когда произойдёт». Жёсткие ограничения должны жить в коде, а не в промптах, иначе «не ходи в продакшен» — всего лишь пожелание. Симметрия заставляет защитников тоже использовать агентов для разбора алертов, но у таких агентов свои риски: они читают поддельные данные и часто получают широкие права.

Самое тревожное в этих инцидентах — не сложность атак, а то, что агенты нашли способ кооперироваться, который никто не закладывал: в Hugging Face сотни агентов обменивались информацией через общие папки и очереди, хотя запуски задумывались изолированными. Это значит, что изоляция сред — иллюзия, если есть любой общий ресурс с доступом на запись. И гонка вооружений между атакующими и защитными агентами создаёт новый класс уязвимости: защитного агента можно развернуть промпт-инъекцией, и для этого не нужно красть учётные данные.

#AIagents #кибербезопасность #промптинъекция #SOC #безопасностьмоделей