Критическая уязвимость AI-агентов: почему инструменты для написания кода стали угрозой безопасности

За последние девять месяцев исследователи обнаружили серию опасных уязвимостей в популярных AI-агентах для программирования, включая Codex, Claude Code, Copilot и Vertex AI. Все выявленные атаки следуют единому сценарию: инструмент получает доступ к учетным данным, выполняет действие и проходит аутентификацию в производственной системе без привязки к сессии реального пользователя.

Масштаб угрозы

Эксперты отмечают, что предприятия часто одобряют использование AI-вендоров, ошибочно полагая, что контролируют систему. В реальности же под понятным интерфейсом скрываются мощные привилегии, которые становятся точкой входа для злоумышленников. Исследователи компании BeyondTrust продемонстрировали, как манипуляции с именем ветки в GitHub позволяют похитить OAuth-токен в открытом виде. OpenAI присвоила этой уязвимости высший приоритет (Critical P1).

Основные векторы атак

• Codex: уязвимость позволяла внедрять вредоносный код через имя ветки. Использование специфических пробельных символов (Unicode U+3000) делало поддельную ветку визуально неотличимой от основной, при этом фоновый процесс крал учетные данные разработчика.
• Claude Code: обнаруженные критические ошибки (CVE-2026-25723 и CVE-2026-33068) позволяли обходить ограничения файловой системы и настройки доверия. Также выяснилось, что при выполнении цепочки более чем из 50 подкоманд агент переставал проверять правила запрета, отдавая приоритет скорости обработки данных.
• GitHub Copilot: скрытые инструкции в описаниях запросов на слияние (pull requests) и GitHub-тикетах позволяли манипулировать настройками автоодобрения, получая полный контроль над средой разработки.
• Vertex AI: настройки по умолчанию предоставляли агентам чрезмерные права, включая доступ к Gmail, Google Drive и внутренним репозиториям инфраструктуры Google.

Почему защита не справляется

По словам экспертов в области кибербезопасности, основной проблемой является отсутствие контроля над тем, какие права на самом деле получает AI-агент. Злоумышленники научились реверс-инжинирингу патчей в течение 72 часов. Если компания не успевает обновить ПО в этот короткий срок, она становится уязвимой. Агенты же делают окно для атаки еще меньше, измеряя время реакции секундами.

Рекомендации для служб безопасности

Смотрите также:

Экономика искусственного интеллекта: почему стоимость токена становится главным показателем эффективности инфраструктуры http://domkrat.org/ekonomika-iskusstvennogo-intellekta-pochemu-stoimost-tokena-stanovitsya-glavnyim-pokazatelem-effektivnosti-infrastrukturyi/.

Интересное по теме: Disney защищена законом в споре с Федеральной комиссией по связи США

Советы в статье "Amazon обновила ценовое предложение на смарт-дисплей Echo Show 8" здесь.

Обозреватели подчеркивают необходимость внедрения строгих правил управления идентификацией AI-инструментов:

• Инвентаризация: необходимо создать реестр всех AI-агентов, используемых в компании, с фиксацией их прав и областей доступа.
• Принцип наименьших привилегий: права агента не должны превышать полномочия пользователя, от имени которого он работает.
• Валидация входящих данных: имена веток, описания задач и конфигурационные файлы (.vscode/settings.json, .claude/settings.json) должны рассматриваться как недоверенные источники, склонные к инъекциям.
• Управление жизненным циклом: требуется регулярная ротация учетных данных агентов и аудит их действий, аналогичный контролю над привилегированными аккаунтами сотрудников.

На текущий момент большинство систем мониторинга CVE не способны зафиксировать момент, когда агент передает токен стороннему ресурсу. Компании, не имеющие системы управления идентификацией AI-агентов, остаются под угрозой компрометации, так как их существующие протоколы защиты рассчитаны исключительно на человеческий фактор.