#prompt_injection — Public Fediverse posts

[Перевод] Теневой ИИ в CI/CD: моделирование угроз на пути от ноутбука разработчика до Kubernetes

Искусственный интеллект становится частью повседневной поставки ПО — часто ещё до того, как становится частью архитектуры безопасности. У этого разрыва есть имя: теневой ИИ 1 . Это любой ИИ-инструмент, модель, агент, расширение или интеграция, которые используются в жизненном цикле ПО без формального одобрения, владельца, оценки риска или мониторинга. Для платформенных команд и команд ИБ теневой ИИ на самом деле не проблема «разработчики пользуются чат-ботом». Это проблема доступа. Неконтролируемый ИИ может добраться до исходного кода, секретов, данных клиентов, облачных окружений и процессов развёртывания. Как только ИИ-системе разрешают вызывать инструменты и совершать действия, она перестаёт быть просто ПО для продуктивности. Она становится новой машинной идентичностью — с правами доступа, радиусом поражения (blast radius) и местом в вашей модели угроз. Команда VK Cloud перевела статью, где авторы моделируют угрозы для типичного cloud-native пути поставки — от ноутбука разработчика до рабочей нагрузки, запущенной в Pod Kubernetes. Каждому этапу они сопоставляют меры контроля, которые можно внедрить уже сегодня с помощью проектов CNCF и решений с открытым исходным кодом.

https://habr.com/ru/companies/vktech/articles/1071332/

#vk_cloud #теневой_ии #ai_security #ci_cd #threat_modeling #kubernetes_security #supply_chain_security #prompt_injection #policy_as_code #devsecops

Самая опасная уязвимость — интеллект атакующего агента?

Сейчас уже не удивляет, что агенты работают с терминалом, БД, браузером и инфраструктурой - без прямого контроля человека. Но чем шире полномочия агента, тем вероятнее, что для достижения цели выбранный им путь обернётся инцидентом. В кибербезопасности сейчас не хватает терминологии и устоявшихся подходов к защите таких систем - особенно в тех случаях, когда агент начинает действовать непредсказуемо. Именно эта неразбериха и подтолкнула нас с автором телеграм-канала OK ML на систематизацию. Традиционные SIEM, DLP, WAF не рассчитаны на системы, умеющие адаптироваться и рассуждать. А может, это им и не нужно? В своей прошлой статье на Хабре я уже рассказывал, как с помощью ловушек сбить с толку пентест-агентов. Но ловушки - точечный инструмент. Кажется, нужно чётко понимать, как защищаться от атак – на всех этапах киллчейна. А для этого нужно охватить весь спектр угроз. Ответом на этот запрос и стала наша таксономия Autonomous Agent Defense Matrix .

https://habr.com/ru/articles/1068248/

#ai_security #llm_security #автономные_агенты #ai_agents #информационная_безопасность #threat_modeling #taxonomies #prompt_injection #goal_hijacking #mitre_attack

Prompt Injection Remains the Biggest LLM Security Risk Despite Few Reported Incidents - https://www.redpacketsecurity.com/prompt-injection-remains-biggest-llm-risk-despite-limited-incidents/

#threatintel #Prompt_Injection #OWASP #LLM_Security

Внутри ИИ‑Напарника: как работает оркестр агентов в ритейле

Всем привет! Это Алексей из GlowByte. В прошлой статье я говорил о том, почему категорийный менеджер в большой сети часто чувствует себя одиноким среди сотен дашбордов: систем у него избыток, а компетентного собеседника, который был бы в его контексте и без своей повестки, рядом нет. Решение, которое мы GlowByte называем мультиагентной платформой, закрывает именно эту потребность. В новой статье разберём, что под капотом у такого решения и почему ИИ‑напарник ближе к партнёру по бизнесу, чем к очередному чат‑боту.

https://habr.com/ru/companies/glowbyte/articles/1064088/

#искусственный_интеллект #glowbyte #мультиагентные_системы #data_engineering #llm #prompt_injection #информационная_безопасность #ритейл #автоматизация_бизнеса #архитектура_платформы

Prompt injection — лучше один раз увидеть

В новостях часто появляются рассказы о том, что какие‑то злодеи уговорили чью‑то ИИшку на то, чтобы она потратила деньги, удалила файлы или поставила более высокую оценку. При этом используются слова «prompt injection», “атака” и пр., создающие впечатление, что это какое‑то сложное искусство, требующее особых знаний. В реальности же prompt injection это не то что не сложно, но и вообще не атака. Да, везде в интернете пишут, что это атака, но… Короче, проще один раз показать, чем рассказ на десять тысяч символов набивать.

https://habr.com/ru/articles/1064220/

#безопасность #prompt_injection #искусственный_интеллект

416 тестов и кнопка «снести все»: где ломаются агентные проекты

С февраля у меня на ноутбуке крутится автономный агент Сурок: Claude Code, флаг --dangerously-skip-permissions и ральф-луп поверх. Работает — сидишь, кофе пьешь, смотришь, как горят токены. Потом я прогнал Сурка и еще пять своих проектов через свод инженерных практик, и у идиллии появилось имя: «Level 5 автономии при Level 1 границах». Внутри — диагностика из десяти вопросов, чужой боевой опенсорс на десятки тысяч звезд и методология PDLC Сбера, где эти грабли уже каталогизированы.

https://habr.com/ru/articles/1063582/

#ИИагенты #LLM #агентный_харнесс #Claude_Code #prompt_injection #эвалы #автономия_агентов #регресстесты #AIDISRUPT_PDLC #инженерные_практики

Prompt injection не чинится фильтром. Разбираем архитектуру, которая изолирует недоверенный текст

Языковая модель пишет двадцать пар «вопрос и ответ» для карточки товара меньше чем за минуту. Проблема начинается после. Чтобы ответы были верными, модели нужны факты компании: цены, сроки поставки, условия гарантии. Чтобы вопросы попадали в тему, ей нужен текст самой страницы. И как только то и другое лежит в одном окне контекста, у любой чужой страницы появляется голос внутри системы, которая знает данные компании и умеет вызывать инструменты.

https://habr.com/ru/articles/1062548/

#prompt_injection

Поймай jailbreak, если сможешь

«Люди понимают то, что им дают понять», — говорил Фрэнк Абигнейл. Модели — тоже. Статья о том, как jailbreak обходит защиту LLM не силой, а формой: легендой, стилем, поддельной ролью.

https://habr.com/ru/articles/1061618/

#red_team #aiагенты #prompt_injection #cybersecurity #jailbreak #безопасность_llm #indirect_prompt_injection #red_teaming

Defenders Use Prompt Injections to Halt AI Hacking Agents

📰 Original title: Prompt Injection Attacks Are Thwarting AI Hacking Agents

🤖 IA: It's clickbait ⚠️
👥 Users: It's clickbait ⚠️

View full AI summary https://en.killbait.com/defenders-use-prompt-injections-to-halt-ai-hacking-agents.html?utm_source=mastodon_world&utm_medium=social&utm_campaign=killbait.mastodon_world

#artificialintelligence #ai_security #prompt_injection #defensive_techniques

Агенты удаляют файлы, сливают данные и сами себя взламывают: как устроена безопасность ИИ‑систем в 2026 году

Привет, Хабр! Тема искусственного интеллекта за последние несколько лет набили, честно говоря, оскомину. Есть как защитники, так и противники технологий, которых принято называть ИИ. Везде начали приделывать ИИ‑помощников. Встраивать нейросети в разные приложения. И раз уж не избежать искусственного интеллекта в повседневной жизни. Я решил поговорить про атаки на языковые модели. Потому что такие кибератаки перестали быть экзотикой, а защита ИИ стала отдельная дисциплина с собственной таксономией, инструментарием и, к сожалению, реальными инцидентами. Я решил поговорил с автором Telegram‑канала PWN AI, посвящённого небезопасному применению ИИ, Артёмом Семёновым. С Артёмом уже был разговор тут на Хабре об ИБ и ИИ. Но я решил обновить данные. Артём рассказал, как расширилась поверхность атаки с появлением агентов и MCP‑протоколов, почему системный промпт — не граница безопасности, какие атаки модели до сих пор не умеют отбивать и чем принципиально отличается прямой prompt injection от косвенного. Приятного чтения!

https://habr.com/ru/articles/1053656/

#prompt_injection #искуственный_интеллект #кибератаки #ииагенты

Двойная жизнь LLM

Привет! Меня зовут Евгений, я специалист по безопасности приложений в Naumen. Моя работа — поиск и устранение уязвимостей в продуктах и инфраструктуре. За последние несколько лет искусственный интеллект из экспериментальной технологии превратился в повседневный рабочий инструмент. Сегодня LLM помогают разработчикам писать код, аналитикам готовить документы, а сотрудникам — быстрее находить информацию. Но есть и обратная сторона. Те же самые технологии используют злоумышленники для фишинга, разведки инфраструктуры и автоматизации атак. Более того, сами языковые модели уже становятся целью для новых типов атак. В этой статье разберем, как ИИ используют атакующие, чем он помогает специалистам по безопасности и какие угрозы возникают для самих LLM.

https://habr.com/ru/companies/naumen/articles/1053452/

#информационная_безопасность #LLM #кибербезопасность #prompt_injection #Machine_Learning

Как агент сам откроет дверь хакеру? Разбираю три реальных пробоя AI-агентов и почему обычный ред-тиминг их не найдёт

В 2026 году основной поверхностью атак становятся уже не сами LLM, а AI-агенты с инструментами, памятью и доступом к внешним сервисам. Я добавил в свой open-source сканер BarkingDog режим тестирования Agentic AI и проверил три популярных open-source проекта: Agno, OpenAI CS Agents Demo и LangGraph agent-service-toolkit. В результате получил три разных класса проблем: Confused Deputy (ASI03), Trust Exploitation (ASI08) и Agentic DoS (ASI06). В статье разбираю реальные пейлоады, ответы агентов, архитектурные причины этих уязвимостей.

https://habr.com/ru/articles/1052922/

#LLM #AI_Agents #Agentic_AI #Red_Teaming #OWASP_ASI #MCP #Prompt_Injection #LangGraph #Agno #BarkingDog

Как желание быстрее читать чужой код превратилось в войну с недетерминизмом LLM

Началось всё примерно так. Я сидел над своим проектом: пока работал, общался по нему с нейросетками и параллельно искал в интернете разную информацию, которая могла бы пригодиться. И вот тогда у меня впервые начала закладываться мысль, что я хотел бы читать код быстрее. Что мне не нравится, сколько времени на это уходит. Позже эта мысль разгорелась сильнее — когда я взялся перечитывать собственный код двухмесячной давности. Я понимаю, что в нём всё нормально, но всё равно хотелось бы вчитываться быстрее. Примерно в это время и появилась первая идея проекта, о котором пойдёт речь в статье. Это была одна из первых вещей, которая дала толчок. Вторая — то, что мне приходилось тратить время, объясняя друзьям, как устроен мой код. Мне не нравилось, что я говорю отрывками, зависаю, не могу связать пары слов. Короче, тяжело донести мысль: сам прекрасно знаю, как оно работает, а нормально, быстро и чётко объяснить не могу. Из этих двух проблем и вырос тренажёр, который я сейчас делаю: где ты не пишешь код, а читаешь готовый рабочий фрагмент и объясняешь его словами, а оценивает объяснение языковая модель. Звучит на самом деле очень просто, но реализовать это оказалось трудно. Самым тяжёлым оказалось совсем не это, а заставить нейросеть оценивать честно и стабильно — и вообще понять, что именно нужно оценивать.

https://habr.com/ru/articles/1052822/

#LLM #prompt_engineering #детерминизм #Java #оценка_кода #обучение_программированию #Gemini_API #prompt_injection #pet_project #NLP

AI Browser Credential Leaks: Researchers Reveal How “BioShocking” Breaks Safety Guardrails - https://www.redpacketsecurity.com/researchers-trick-ai-browsers-into-leaking-credentials/

#threatintel #prompt_injection #ai_browsers #credential_theft

macOS Backdoor Uses Prompt Injection to Evade AI Triage (SentinelLabs Findings) - https://www.redpacketsecurity.com/macos-backdoor-uses-prompt-injection-to-evade-ai-triage/

#threatintel #Prompt_Injection #macOS_Malware #North_Korea

Иллюзия контроля: почему промпты не защищают ИИ‑агентов

Почему указание вида «не отправляй конфиденциальные данные наружу» не работает? Разбираем уязвимость Permission Boundary Bypass, а также техники scope creep и capability chaining, позволяющие злоумышленникам обходить ограничения через цепочки легитимных действий. В статье приводятся аргументы, почему prompt‑level enforcement проигрывает, зачем математическая строгость (язык Дика) нужна в конфигах политик, и как выстроить безопасную архитектуру, где проверки живут в runtime. В конец статье вы найдете 7 принципов защиты агентов и таблицу‑чеклист для аудита вашей системы.

https://habr.com/ru/articles/1050772/

#redteam #llm #prompt_injection #jailbreak #aiагенты #llm_security #indirect_prompt_injection #безопасность_данных

Как сделать MCP-сервер из Spring-сервиса за один вечер. И что потом не даст спать спокойно

AI‑агенту не нужен прямой доступ к базе, чтобы отвечать на вопросы оператора или вызывать действия в системе. Достаточно дать ему набор управляемых инструментов через MCP. В статье разбираем, как это выглядит в Spring Boot, где заканчивается простая демка и почему перед продакшеном придётся думать не о магии LLM, а о правах, логах, таймаутах и человеке в контуре. Разобрать MCP

https://habr.com/ru/companies/otus/articles/1047048/

#MCP #Spring_AI #Java #Spring_Boot #AIагенты #LLMинтеграции #микросервисы #безопасность_LLM #prompt_injection #архитектура_ИИприложений

Сайты под управлением ИИ: как это работает под капотом. Часть 2 из 3

Сайты под управлением ИИ: что это на самом деле и сколько стоит. Часть 1 Это вторая часть из трёх. В первой мы разбирались с концепцией: что такое сайт под управлением ИИ на самом деле, чем он не является, сколько стоит, есть ли инференс в рантайме (спойлер: для посетителя — нет). Если читали — отлично. Если нет — здесь будет понятно и без неё, потому что речь пойдёт про другое: про механику. Здесь я хочу честно показать, как у нас устроено под капотом: где живёт модель, как она правит код, почему она физически не может одним неудачным запросом снести прод, чем гарантируется, что сгенерированный код вообще валиден, и как мы развели версионирование кода и контента, чтобы откат дизайна не уносил с собой свежие статьи. Всё на примере живых стеков, которые как раз и работают под этим управлением.

https://habr.com/ru/articles/1049876/

#LLM #MCP #Nextjs #headless_WordPress #GitHub_Actions #prompt_injection #JSONLD #ISR #DevOps

Скачал skills по совету из YouTube — слил все свои данные. Как это работает?

Представьте: вы посмотрели ролик на YouTube о том, как настроить ИИ‑ассистента для работы. Автор советует поставить пару‑тройку скилов — один для работы с почтой, другой для вайбкодинга, третий — для редактирования статей. А то и предлагает скачать весь репозиторий с GitHub, на несколько десятков скилов. Ведь больше — не меньше, правда? Читать, что не так

https://habr.com/ru/articles/1049710/

#AIагенты #skills #кибербезопасность #Claude_Code #prompt_injection #вредоносный_код #скилы_для_новичков #иибезопасность

Prompt injection нельзя запатчить: год «летальной триады» и лента CVE 2026 года

В марте 2026-го бэкдор пролежал на PyPI около трёх часов. За это время заражённый пакет скачали почти 47 тысяч раз. Пакет назывался LiteLLM — это шлюз к языковым моделям, на котором держатся CrewAI, DSPy, Microsoft GraphRAG и ещё десятки агентных фреймворков. Тот, кто за эти три часа обновлял зависимости, вместе с обновлением затащил к себе автономного бота-атакующего по имени hackerbot-claw. Самое неприятное здесь даже не масштаб. А то, что человека в этой цепочке практически не было. Бот сам, без ручного управления после запуска, отравил инфраструктуру, на которой работают другие боты. Сначала, в феврале, он находил неправильно сконфигурированные GitHub Actions в открытых репозиториях. Потом через скомпрометированную сборку Trivy у Aqua Security увёл токен публикации LiteLLM на PyPI. И залил две версии с бэкдором напрямую в реестр. Никакого нуля-дня в традиционном смысле, никакого переполнения буфера. Просто агент, которому дали достаточно прав и достаточно автономии. Я начинаю с этой истории не ради хайпа, а потому что она хорошо показывает, во что превратился prompt injection к 2026 году. Это уже не лабораторный курьёз и не «а что если модель послушает злую инструкцию из письма». Это рабочий класс атак с собственной лентой CVE, своими supply-chain инцидентами и — что важнее всего — без понятного способа «взять и починить». В этой статье я разберу, почему так вышло, пройдусь по конкретным дырам прошедшего года и покажу, какие защиты реально работают, а какие только выглядят убедительно.

https://habr.com/ru/articles/1048208/

#prompt_injection #ИИагенты #LLM #информационная_безопасность #летальная_триада #OWASP #EchoLeak #CaMeL #agentic_AI #MCP

Как мы автоматизировали мониторинг цен конкурентов: мультиагентная система на CrewAI + n8n + Firecrawl

0. TL;DR для тех, кто спешит Статья о том, как собрать из подручных open-source инструментов систему, которая ежедневно: — Сканирует цены и отзывы у конкурентов — Анализирует их ИИ‑агентами — Присылает готовый отчёт в Telegram Стек: n8n (оркестрация) → Firecrawl (парсинг) → CrewAI (анализ) → Telegram (доставка) 1. Проблема: ручной мониторинг — это боль Представьте: вы продаёте электронику. У вас 15 конкурентов на Ozon, 8 — на Wildberries, плюс 3 собственных сайта. Каждое утро менеджер открывает 26 вкладок, сверяет цены, записывает в Excel. Занимает 45 минут. Человек ошибается, пропускает, уходит в отпуск. Мы решили: пусть роботы следят за роботами (ценами).

https://habr.com/ru/articles/1048110/

#n8n #firecrawl #llm #agents #python #парсинг #мониторинг_цен_конкурентов #ecommerce #aiбезопасность #prompt_injection

Влияние ИИ на кибербезопасность: MITRE ATLAS и новый ландшафт угроз

Сегодня искусственный интеллект кардинально меняет как подходы к защите, так и методы атак. С развитием технологий ИИ-модели могут обрабатывать и анализировать огромные объемы данных в реальном времени. Это активно использует не только бизнес, но и злоумышленники. В статье рассмотрим современные методы атак на AI и ML-системы, расскажем про практическое применение MITRE ATLAS для моделирования угроз и выстраивания защиты через четыре системных элемента: AI Среда, AI Платформа, AI Модель и AI Данные.

https://habr.com/ru/companies/infera_security/articles/1046568/

#AI_Firewall #MITRE_ATLAS #prompt_injection #SAFEAI #защита_AI_моделей #безопасность_ИИ

Промпт-инъекции в реальных данных, широкие права доступа и другие способы сломать ИИ-агента

Привет, Хабр! На связи команда Jay Guard — платформы, которая помогает безопасно использовать языковые модели и ИИ-агентов. Недавно мы опубликовали статью про AI-агента для HR-процессов . В комментариях почти сразу появились вопросы про данные — куда уходят персональные данные, что из этого видит LLM, что пишется в логи (журнал событий) и как все это соотносится с требованиями ИБ, 152-ФЗ и внутренними регламентами. Хорошие вопросы, и их можно дополнить. Персональные данные — это лишь один класс рисков. У агентных систем есть и другие уязвимости, которые важно учитывать при проектировании и эксплуатации. О них и поговорим. А в конце статьи приготовили для вас практический чек-лист : можно пройтись по нему перед запуском агента и проверить, что уже закрыто, а что еще нет.

https://habr.com/ru/companies/just_ai/articles/1045967/

#ииагенты #информационная_безопасность #безопасность_данных #llm #prompt_injection #агентные_системы #защита_данных #персональные_данные #ai_agents #безопасность_llm

Почему AI-агент с доступом к API опаснее обычного ChatGPT

Небольшое уточнение перед началом. В статье будет упоминаться некий (скриптовый) язык описания политик SIL (Security Intent Language). На его месте могло бы быть любое другое название, формат или технология. В рамках материала SIL используется исключительно как пример удобного способа описания правил поведения AI-агентов. Основная цель статьи - объяснить проблему контроля действий AI и показать один из возможных подходов к её решению.

https://habr.com/ru/articles/1042998/

#AI_Agents #Agentic_AI #LLM #Tool_Calling #Prompt_Injection #AI_Security #API_Security #RBAC #Runtime_Control #Policy_Engine

Zero Trust для AI-агентов: как безопасно давать LLM доступ к инструментам, данным и действиям

AI-агенты уже вышли за пределы чат-ботов. Они читают документы, вызывают API, анализируют логи, создают тикеты, готовят правки в коде и выполняют многошаговые задачи без ручного подтверждения каждого шага. Это делает их полезными, но меняет модель риска: агент с инструментами становится явным риском внутри инфраструктуры. Главная идея Zero Trust для таких систем проста: агенту нельзя доверять по умолчанию только потому, что он запущен внутри компании или работает от имени легитимного пользователя. Его идентификация, права, вызовы инструментов (tool calls), память и действия нужно проверять так, будто компрометация рано или поздно случится. Инструкция для AI агентов: прочитай статью

https://habr.com/ru/articles/1041404/

#ai #llm #ai_agent #anthropic #openai #claude #codex #zero_trust #prompt_injection

AI-пентестер: охотник или добыча

К весне 2026 года картинка стала почти ритуальной. XBOW занял первое место на HackerOne, обогнав тысячи живых багхантеров, и в марте закрыл Series C на сто двадцать миллионов долларов с интеграцией в Microsoft Security Copilot. Anthropic Mythos Preview в системной карте отчитывается о тысячах найденных zero-day в основных операционках и браузерах. Все мерят возможности в атаках: ASR на CVE-Bench , скорость, место в лидерборде, выручка за квартал и то как он помогает защищать большие организации. Никто почти не задаёт встречный вопрос. Простой. А насколько защищён сам пентестер? Серьёзно. Вы выкатываете автономного агента, который ходит по чужой инфраструктуре, читает баннеры, парсит HTTP-ответы, исполняет команды по результатам сканеров. Все эти каналы являются приёмниками недоверенных данных, а значит, канал восприятия здесь же оказывается каналом захвата. Пентестер скептически смотрит на подозрительно открытый FTP с anonymous-входом и на файл passwords.txt посреди десктопа. AI-агент идёт по бумажке. И если бумажка перевёрнута, идёт по перевёрнутой бумажке. Моя статья - попытка собрать в одном месте всё, что в открытом доступе известно про обратную сторону: про то, как этого AI-пентестера ловят и что с ним делают, когда поймают. Спойлер: содержательный фронтир составляют четыре академические работы последнего года и один фреймворк для реального использования. Всё остальное - академическая графомания. А что было дальше ?

https://habr.com/ru/articles/1037108/

#AIпентестер #prompt_injection #honeypot #LLMагенты #AI_red_team #Mantis #CHeaT #AgentFlayer #MCP #кибербезопасность

Почему ИИ-боты более уязвимы, чем их базовые LLM-модели?

В прошлой статье я показал, как защищен Open Source проект телеграм-бота. В комментариях меня спросили о иных инструментах и методах проверки в связи с чем, мы вышли к ключевому вопросу: почему, если основная LLM защищена, кастомные боты на ее основе остаются уязвимыми? Базовые LLM проходят отдельное safety-training и RLHF-выравнивание. Но production-бот, построенный поверх модели, добавляет новый attack surface: system prompts, память диалога, RAG, tools, webhook-логику и внешние API. Именно этот orchestration layer часто становится слабым местом. Вот данные: Из анализа 14 904 кастомных GPT :

https://habr.com/ru/articles/1036854/

#llm_security #prompt_injection #jailbreak #red_teaming #telegram_bot #webhook #rag #ai_safety #gpt

Новая модель с 12 млн токенов контекста, и обман Grok на $175 тыс

13-й выпуск IT-новостей от OpenIDE! Неделя получилась плотной: Grok потерял $175 тыс. без единой строки эксплойт-кода, европейские регуляторы выписали крупный GDPR-штраф «дочке» Яндекса, а Anthropic подписала сделку с куда более неожиданным партнёром. А ещё обновления маркетплейса OpenIDE, новая архитектура SubQ и 423 закрытых бага в Mozilla благодаря Claude Mythos.

https://habr.com/ru/companies/haulmont/articles/1034742/

#prompt_injection #Grok #Anthropic #Colossus #Claude_Code #Gemma_4 #Firefox #Mozilla #Claude_Mythos #OpenIDE

Вы пустили ИИ-агента в репозиторий, теперь разбираемся, что он может сломать

В феврале 2026 года Claude Cowork стирает 15 лет семейных фотографий одной командой. За полгода до этого, в августе 2025-го, случился кейс Nx supply chain: малварь впервые в истории использует локальные ИИ-CLI как инструмент разведки. В марте этого года Google Cloud Threat Horizons H1-2026 подтверждает: часть украденных в Nx токенов используется кампанией UNC6426 для перехода CI/CD → cloud admin через злоупотребление OIDC. 72 часа от первого коммита до админских прав в AWS. Всё это примеры того, что может происходить, когда у ИИ-агента есть руки и мы забываем, на чьей машине эти руки действуют. Данная статья предназначается для неравнодушных инженеров, AppSec, DevSecOps специалистов и всех тех, кто хоть раз запускал агента у себя на машине. Запрещать агентов в контуре бесполезно, отказываться от них самому глупо, но чем они так опасны? Сперва развеем туман неясности, построим модель угроз, собранную на реальных инцидентах и опубликованных CVE, а после будут конкретные рекомендации, как ограничить агента песочницей без ущерба для эффективности разработки. И как запускать --dangerously-skip-permissions без страха.

https://habr.com/ru/companies/pt/articles/1030532/

#ИИагенты #безопасность #OWASP #supply_chain #Claude_Code #prompt_injection #DevSecOps