Злоумышленники всё чаще атакуют ИИ-агентов вместо сотрудников

Риски атак на ИИ-агентов с доступом к корпоративным системам возрастают, предупредили эксперты. Через вредоносные инструкции злоумышленники могут заставить агентов изменить платёжные реквизиты, раскрыть данные или предоставить доступ к сети компании. Атаки похожи на мошенничество с деловой перепиской (Business Email Compromise, BEC), но вместо сотрудника указания выполняет программа.

При BEC сотрудник получает поддельное письмо от поставщика о смене реквизитов и переводит деньги мошенникам. Агент с правом менять реквизиты может выполнить ту же операцию без участия человека. Также возможны кража данных для вымогательства и получение постоянного доступа к системам компании.

Компании всё чаще подключают ИИ-приложения к рабочим платформам и API. По отчёту Verizon за 2026 год, со сторонними подрядчиками были связаны 48% утечек. Эта доля выросла на 60% за год. Центр по рассмотрению жалоб на интернет-преступления ФБР оценил заявленный ущерб от BEC за 2025 год примерно в 3 млрд долларов. Больше потерь принесло только инвестиционное мошенничество.

Ведущий специалист по исследованию угроз Fortra Джон Уилсон объяснил Dark Reading механизм промпт-инъекций — внедрения вредоносных инструкций в данные для ИИ. Агент может принять содержимое документа за команду. Например, если резюме содержит требование пропустить кандидата на следующий этап вопреки правилам отбора, агент способен выполнить такое указание при недостаточном уровне защиты. В отличие от человека, он не испытывает страха или жадности. Атака использует ошибки модели при оценке источника инструкций.

При косвенных промпт-инъекциях команды скрываются в письмах и на веб-страницах. В марте 2026 года Palo Alto Networks выявила 22 приёма подготовки таких атак. Они включали продвижение фишинговых сайтов в поиске, незаконные платежи, утечку данных и раскрытие системных инструкций модели. Check Point Research также отметила рост косвенных промпт-инъекций. Сообщество OWASP в отчёте за первый квартал 2026 года указало на атаки против учётных записей агентов, систем управления ими и цепочек поставок.

Ведущий аналитик Omdia Гейб Кнут советует сначала выяснить состав и права агентов на устройствах, в дата-центрах и облаке. Проверка должна охватить доступ через MCP-серверы, OAuth, API-ключи и сервисные учётные записи.

Вице-президент по продукту Prisma AIRS в Palo Alto Networks Джаймин Пател рекомендует сопоставлять действия агента с его задачей. Наличие прав само по себе не подтверждает правильность операции. Контролю мешают ИИ-инструменты без согласования с ИТ-службой. Общие API-ключи затрудняют поиск источника действий, а постоянные права сохраняют доступ к системам.

Генеральный директор и соучредитель ThreatLocker Дэнни Дженкинс считает, что надо контролировать агентов внешними средствами защиты. Операции с высоким риском должны требовать подтверждения человека, а проверки учётной записи и прав недостаточно для оценки конкретного действия. Доступ к приложениям и данным эксперт предложил ограничивать, а необычные операции — блокировать до проверки.