Обнаружены две критические баги, которые могут привести к удалённому выполнению кода без аутентификации. Аналитики уже сообщают о попытках атак на хостинг-провайдеров, но детали пока не опубликованы. Если в инфре где-то живёт PHP, сейчас хороший момент вспомнить, где именно он живет. Затем временно ограничить доступ из внешней сети и сегодня в 17:00 (Мск) накатить патч...
ИИ-агент может создать инцидент, просто слишком настойчиво выполняя обычную задачу. Как мы видели в исследовании, для этого ему даже не нужен атакующий. Достаточно поставить цель. Если он сталкивается с какой-то ошибкой в ее достижении, например отказом в доступе, то начинает искать обходной путь. Поэтому его поведение нужно контролировать. Для этой задачи интересен проект Numbat - открытый инструмент для обнаружения подозрительной активности. Блокировать действия тоже умеет, но в ограниченном количестве окружений...
Агента-разработчика попросили поправить код. Он внес изменения, запустил тесты, отчитался об успехе. Тесты пройдены, задача закрыта. Что еще нужно проверить? Например, что еще агент успел натворить пока занимался основной задачей. Исследователи проверили защитные механизмы агентских оболочек (harness) для ИИ-разработки. Проверяли именно харнесс — среду, которая даёт модели доступ к инструментам и разрешает их использование. Самый показательный эпизод произошел с Qwen Code. В “отравленной” документации запрещённый инструмент представили как обязательный для проверки результата...
Для поиска ИИ-малвари традиционные индикаторы дополняются новым набором признаков: * промпты и тексты для jailbreak и обмана ИИ-анализаторов * LLM API-эндпоинты * префиксы API-ключей * строки с синтаксисом tool call * упоминания компонентов инференса (Ollama, llama.cpp, vLLM и прочее) * следы импортов ИИ-фреймворков * строковые признаки агентской оркестрации. На основе этого набора исследователи предложили трехуровневую модель детекта. На первом “примитивном” уровне анализируются доступные агентские примитивы (например, LLM-запросы и ответы, вызовы тулов через MCP, работа агента напрямую с операционной системой и сетью)...
Когда она переносится на уровень инструкций ИИ-агента, то разработка детектов и индикаторы компрометации должны перенестись на уровень анализа смысла. На этом уровне малварь может быть просто текстом. Как Brainworm, который целиком помещался в файл с инструкциями для агента CLAUDE.md, после чего coding-агенты сами запускали нужные инструменты и подключались к вредоносным серверам и запускали нужные инструменты. Нет ни бинаря, ни шеллкода. Нет привычных артефактов. Что искать? Когда одна и та же инструкция для агента может быть легитимной в одном контексте и приводить к утечке в другом, то старые сигнатуры для обнаружения ненадежны...
