Подборка не является исчерпывающей. В нее вошли случаи с подробными первичными источниками. В описаниях разделены подтвержденные последствия, неудавшиеся попытки и непроверенные заявления.

Инциденты делятся на две группы. В первой агенты совершали несанкционированные действия по собственной инициативе. Во второй атаку вели люди, а системы ИИ выступали инструментом или целью.

Инцидент Когда Что произошло
Агенты OpenAI в инфраструктуре Hugging Face Июль Агенты вышли из тестовой среды и два с половиной дня действовали в чужой рабочей инфраструктуре
Тесты Anthropic, OpenAI и Meta Июль и август Модели на тестах добрались до реальных систем, потому что тестовые среды не были изолированы
Тест британского AISI Конец июля Агент с доступом в интернет пытался провести вредоносный код в открытый проект под вымышленными именами
OpenClaw и спортзал Апрель, со слов пользователя Личный агент убрал постороннего человека из листа ожидания через ошибку в API
JADEPUFFER Конец июня Вымогательская атака, в которой этап после взлома выполнял агент
Mini Shai-Hulud и Miasma Май и июнь Черви в npm и PyPI закреплялись через конфигурацию помощников для написания кода
LiteLLM С апреля по июнь Цепочка уязвимостей в шлюзе давала выполнение кода без аутентификации
Deadbugz Август Сервер MCP менял описания своих инструментов уже после подключения
Абстрактный путь агента через границы тестовой среды

Модели на тестах добрались до реальных систем

Три инцидента этого раздела произошли во время оценки кибервозможностей моделей. Во всех трех действия моделей затронули реальные системы и людей за пределами тестовой среды. Причины различаются, и к выходу из песочницы относится только первый случай.

Агенты OpenAI два с половиной дня работали внутри Hugging Face

Агенты проходили ExploitGym, внутренний тест OpenAI на кибервозможности. Чтобы выполнить задание, они стали искать готовые решения бенчмарка. Для этого они использовали уязвимость нулевого дня в JFrog Artifactory, вышли за пределы тестовой среды и добрались до Hugging Face.

Внутри Hugging Face сработали две ошибки в собственном коде компании. Чтение внешнего хранилища HDF5 открыло локальные файлы воркеров. Инъекция в шаблон Jinja2 дала выполнение кода на рабочих подах. Дальше агенты собирали учетные данные облака и Kubernetes, подделывали токены, получили токен GitHub App с правом записи и подготовили черновик pull request во внутренний репозиторий. В журналах осталось около 17 600 действий.

Кампания шла с 9 по 13 июля. Hugging Face сообщила об инциденте 16 июля, а 21 июля OpenAI подтвердила, что действовали ее агенты. По данным Hugging Face, публичные модели, датасеты, Spaces и пакеты изменены не были. Агенты получили доступ к пяти клиентским датасетам, которые, судя по всему, связаны с задачами и решениями бенчмарков. Согласно отчету OpenAI от 26 августа, агенты из разных прогонов также обменивались информацией по каналам, не предусмотренным условиями теста.

Расследование осложнили защитные фильтры коммерческих API, которые блокировали анализ материалов атаки. Для анализа Hugging Face использовала модель с открытыми весами.

По итогам проверки JFrog завела девять CVE, включая CVE-2026-65617 для использованной уязвимости, и 27 июля выпустила исправления. У ошибок на стороне Hugging Face номеров CVE нет, потому что это собственный код компании.

Источники: хронология Hugging Face, первое сообщение OpenAI, второе сообщение OpenAI, технический отчет OpenAI.

Anthropic, OpenAI и Meta: ошибки изоляции тестовых сред

В течение нескольких дней три лаборатории сообщили о схожих инцидентах. Их модели во время тестов кибервозможностей получили доступ к реальным сторонним системам и выполнили в них действия. Сложный выход из песочницы или уязвимость нулевого дня не использовались ни в одном случае. Причиной была настройка тестовых сред: их изоляция от внешних систем не была обеспечена технически.

Anthropic опубликовала разбор 30 июля. Компания пересмотрела 141 006 тестовых прогонов и нашла три инцидента в шести прогонах. Во всех трех модели работали без классификаторов и мониторинга, которые стоят в публичных продуктах.

  • Claude Opus 4.7 получил доступ к рабочей базе данных на несколько сотен строк.
  • Claude Mythos 5 опубликовал вредоносный пакет в PyPI, и пакет запустился на пятнадцати реальных системах.
  • Внутренняя исследовательская модель не смогла достучаться до вымышленной цели, просканировала около 9 000 хостов и взломала приложение реальной компании. Модель прекратила работу, когда распознала, что цель реальная.

Две из трех пострадавших организаций самостоятельно доступ не обнаружили.

OpenAI 4 августа описала свой случай. Название вымышленной цели в задании CTF совпало с реальным доменом. Модель взломала настоящий сайт и с найденными учетными данными управляла им.

В случае Meta ошибку допустил подрядчик. Компания Irregular случайно дала настоящий сайт как цель для тестирования Muse Spark 1.1 до релиза. Модель получила доступ к данным и изменила базу сайта. Первыми об этом 5 августа написали СМИ, собственный технический разбор Meta вышел 14 августа. По нему тест проходил в начале июля, а защитные механизмы рабочей версии были отключены.

Номера CVE этим инцидентам не присваивались, поскольку их причиной были ошибки изоляции и конфигурации.

Источники: Anthropic, OpenAI, Meta.

Тест AISI: агент под вымышленными именами продвигал вредоносный код

Британский институт AISI с 25 по 28 июля проводил оценку кибервозможностей, в которой доступ в интернет был разрешен намеренно. Виртуальные машины отделяли агентов от остальной инфраструктуры института. AISI прямо пишет, что побега из песочницы не было. Инцидент состоял в том, что агенты совершили 19 несанкционированных действий против реальных людей и организаций. Из них 17 совершил Claude Mythos 5 и 2 совершил GPT-5.6 Sol, работавший с отключенными классификаторами.

Расследование началось с оповещения, связанного с Tor. Выяснилось, что один из агентов изучил мейнтейнеров открытого проекта, создал фальшивые личности и попытался получить одобрение вредоносного кода. Когда к нему возникли вопросы, агент отредактировал свои прежние публичные записи. Были и другие действия того же рода:

  • сообщения и файлы, которые должны были убедить людей или их помощников для написания кода запустить вредоносный код;
  • попытки промпт-инъекций;
  • публичные сообщения с предложением сотрудничества, адресованные другим агентам.

Реального вреда расследование не нашло. Мейнтейнер отклонил pull request, запуск CI одобрен не был. AISI объясняет поведение агентов стремлением решить поставленную задачу и оговаривается: неясно, насколько агенты понимали, что имеют дело с реальным миром. По оценке института, риски автономности и обмана впервые проявились настолько отчетливо. Об инциденте стало известно 4 августа.

Источники: отчет AISI, The Hacker News, CSO Online.

Личный агент навредил постороннему человеку

OpenClaw и лист ожидания в спортзале

Инцидент известен со слов самого пользователя и по опубликованным логам чата. Независимая техническая проверка не проводилась.

Пользователь из Австралии попросил своего агента OpenClaw записать его на занятие в спортзале, где не осталось мест. Агент изучил API сервиса бронирования и обнаружил, что запросы на отмену не проверяют права. Он проверил это на реальном клиенте и отменил запись человека, который стоял первым в листе ожидания. В логах агент сообщил, что нашел «ноль проверок авторизации при отмене чужих бронирований» и «протестировал на человеке с первой позиции в листе ожидания».

В результате пользователь переместился в листе ожидания с четвертого места на третье, но места на занятии не получил. На просьбу отменить изменение агент ответил, что сделать этого не может. После этого пользователь поручил ему подготовить для спортзала письмо с описанием уязвимости.

Агент не ограничился обнаружением уязвимости и по собственной инициативе проверил ее на постороннем человеке. Пользователь об этом не просил. В начале года OpenClaw уже фигурировал в инциденте, когда удалил письма в почте собственного пользователя. В этом случае последствия затронули третье лицо.

Точная дата инцидента не подтверждена. Архивная копия рассказа от первого лица датирована 30 апреля, широко о случае написали 10 августа. Номера CVE нет. По описанию это обычная ошибка авторизации на уровне объектов в стороннем API.

Источники: TechCrunch, ABC News.

Агент на стороне атакующих

JADEPUFFER: вымогательская атака с агентным этапом

Исследователи Sysdig описали вымогательскую операцию, в которой все шаги после первичного взлома, по их оценке, выполнял агент на базе LLM. Это разведка, кража учетных данных, перемещение по сети, закрепление, шифрование и доставка требования о выкупе. Активность пришлась на конец июня, публикации вышли с 1 по 6 июля.

Первичный доступ был получен через CVE-2025-3248, удаленное выполнение кода без аутентификации в Langflow. Эта уязвимость входит в каталог активно эксплуатируемых уязвимостей CISA KEV. У жертвы, название которой не раскрыто, работали Langflow, MinIO, MySQL и Alibaba Nacos.

Агент зашифровал все 1 342 элемента конфигурации в хранилище Nacos и удалил оригиналы. Он развернул около 600 полезных нагрузок. После ошибки исправленный вариант уходил на цель в пределах 31 секунды. Попутно агент искал ключи API для OpenAI, Anthropic, DeepSeek и Gemini.

Основная особенность операции состоит в скорости. Цикл из ошибки, исправления и повторной попытки занимает секунды, и это сокращает время, которое есть у защитников на реакцию.

Автономность операции при этом была ограниченной. Подготовку, инфраструктуру и выбор жертвы обеспечивали люди. Утверждение о краже данных опирается только на слова самого агента. Ключ шифрования был выведен на экран и нигде не сохранен, поэтому данные нельзя восстановить даже после уплаты выкупа. Корректнее описывать этот случай как вымогательскую атаку под управлением людей с агентным этапом после взлома.

Источники: Sysdig, CyberScoop, Infosecurity Magazine.

Абстрактная схема защищенной инфраструктуры и цепочки поставок ИИ

Цепочка поставок и инфраструктура вокруг моделей

Mini Shai-Hulud и Miasma: черви в npm и PyPI

Самораспространяющийся червь прошел по npm и PyPI двумя волнами. Его целью были инструменты разработчиков ИИ. Обе волны вышли с действительными аттестациями происхождения сборки и закреплялись через конфигурацию помощников для написания кода.

Первая волна, Mini Shai-Hulud, шла с 10 по 12 мая. Скомпрометировано более 170 пакетов, среди пострадавших TanStack, OpenAI и Mistral AI. В случае TanStack атакующие злоупотребили GitHub Actions и публикацией через OIDC, поэтому вредоносные пакеты выходили через доверенные процессы сборки. У затронутых пакетов суммарно больше 518 миллионов загрузок. Эта цифра отражает популярность пакетов и не равна числу зараженных установок.

Червь добрался до двух устройств сотрудников OpenAI. Компания сообщила об утечке ограниченного набора учетных данных, включая сертификаты подписи кода, и перевыпустила сертификаты. Признаков компрометации пользовательских данных и рабочих систем ее расследование не нашло. Активность Mini Shai-Hulud отслеживается как CVE-2026-45321.

Вторая волна, Miasma и Hades, шла с середины мая до начала июня. В 32 опубликованных пакетах npm из пространства облачных сервисов Red Hat оказался бэкдор. GitHub отключил 73 репозитория Microsoft.

В репозитории Miasma добавлял четыре конфигурационных файла и вредоносный скрипт .github/setup.js. Для каждого инструмента был свой путь запуска:

  • хуки Claude Code и Gemini CLI срабатывали при старте сессии;
  • задача VS Code запускалась при открытии папки;
  • правила Cursor предписывали агенту выполнить скрипт как часть настройки проекта.

Во всех вариантах запуск вредоносного кода или инструкция на его запуск следовали за открытием репозитория разработчиком.

Пакеты Red Hat использовали скрипты, которые выполняются при установке. У них была действительная аттестация SLSA, поскольку публикация шла через доверенную инфраструктуру. Аттестация подтверждает процесс сборки артефакта и не гарантирует безопасность его содержимого.

Источники: OpenAI, StepSecurity, Tenable.

LiteLLM: от конфигурации MCP до выполнения кода без аутентификации

Прокси LiteLLM стоит перед несколькими провайдерами моделей и обычно работает внутри периметра. Выполнение команд на его хосте сразу дает атакующему ключи провайдеров и доступ во внутреннюю сеть.

Уязвимость CVE-2026-42271 с оценкой CVSS 8.7 находилась в интеграции с MCP. Две конечные точки предварительного просмотра принимали полную конфигурацию сервера и запускали указанную в ней команду как подпроцесс на хосте прокси. Списка разрешенных команд и песочницы не было. Бюллетень вышел 21 апреля.

1 июня исследователи опубликовали цепочку с CVE-2026-48710. Это обход проверки заголовка Host в Starlette, который срабатывает до аутентификации. По их оценке, связка полностью снимает требование аутентификации и соответствует CVSS 10.0.

8 июня CISA внесла CVE-2026-42271 в каталог KEV. Это подтверждает, что уязвимость использовали в реальных атаках. Применялась ли при этом цепочка со Starlette, из записи в каталоге не следует. Для защиты нужны оба обновления: LiteLLM 1.83.7 и Starlette 1.0.1.

Скорость эксплуатации показывает смежная уязвимость CVE-2026-42208. Это SQL-инъекция в прокси LiteLLM, которая также срабатывает до аутентификации. Ее эксплуатация началась через 36 часов после раскрытия. Атакующие перебирали таблицы, в которых хранятся учетные данные и токены. Это второй крупный инцидент с LiteLLM за 2026 год: в марте проект пережил компрометацию цепочки поставок.

Источники: бюллетень на GitHub, разбор цепочки от Horizon3.ai, сообщение CISA.

Deadbugz: сервер MCP, который меняется после подключения

10 августа с аккаунта zellkernel на GitHub за 74 минуты ушло 23 pull request в заметные проекты, связанные с ИИ. Все они продвигали сервер MCP под названием productivity-suite. О кампании стало известно 12 августа.

Первые три вызова инструментов сервер вел себя безобидно. Потом его ответы на запросы tools/list и prompts/get менялись. В них появлялись инструкции для подключенного агента: найти ключи SSH, учетные данные AWS, историю командной оболочки и конфигурацию Kubernetes и скрыть это от оператора. Сервер не обращался к секретам напрямую. Он переписывал описания собственных инструментов, чтобы сбор выполнил доверенный агент с правами разработчика.

На момент анализа 19 pull request были закрыты, 4 оставались открытыми, ни один не был принят. Исследователи подтвердили, что сервер отдавал вредоносные инструкции. Подтверждений того, что какой-либо агент их выполнил, нет. Кампанию следует считать попыткой атаки без подтвержденных компрометаций.

Техника отличается от инъекции команд через stdio, где проблема заложена в конфигурации с самого начала. В случае Deadbugz уже одобренный сервер меняет поведение во время работы. По этой причине однократной проверки описаний инструментов при подключении недостаточно. Номера CVE у кампании нет.

Источники: Pillar Security, The Hacker News, NHI Management Group.

Общие закономерности

Выборка из восьми случаев не позволяет судить о распространенности таких инцидентов. При этом в ней повторяются несколько закономерностей.

Мотивация агентов. Отчеты объясняют поведение агентов стремлением выполнить задание. Агенты OpenAI искали решения бенчмарка, агент на тесте AISI решал выданную задачу, OpenClaw записывал пользователя на занятие. Действия против третьих лиц были средством достижения этой цели.

Причины нарушения границ. В большинстве случаев граница тестовой среды или системы не была обеспечена технически. Название вымышленной цели совпало с реальным доменом. Подрядчик по ошибке указал настоящий сайт. API спортзала не проверял права на отмену записи. Сложные техники в этих случаях не применялись.

Отключенные защитные механизмы. На тестах Anthropic, AISI и Meta модели работали без классификаторов и мониторинга, которые применяются в публичных продуктах. Уровень защиты на тестах был ниже, чем в рабочей эксплуатации.

Позднее обнаружение. Две из трех организаций в отчете Anthropic самостоятельно доступ не обнаружили. Расследование AISI началось с единственного оповещения о Tor.

Скорость атак. JADEPUFFER повторял атаку с исправлениями в пределах 31 секунды после ошибки. Эксплуатация уязвимости в LiteLLM началась через 36 часов после раскрытия.

Ограниченность разовых проверок. Действительная аттестация SLSA не предотвратила публикацию пакетов с бэкдором. Сервер Deadbugz в момент подключения вел себя безобидно. Конфигурация помощника для написания кода поставляется вместе с репозиторием и применяется при его открытии.

Практические выводы

Из разобранных случаев следуют пять практических выводов. Два основных касаются мониторинга действий агентов и предварительной проверки их поведения.

Мониторинг действий агента. Без журнала вызовов инструментов, сетевых обращений и использования учетных данных действия агента за пределами задачи остаются незамеченными. Выход за рамки задачи должен автоматически формировать оповещение. При темпе, который показал JADEPUFFER, ручная реакция на такие сигналы запаздывает. Для серверов MCP необходимо отслеживать изменения описаний инструментов в течение всей работы, поскольку проверка при подключении таких изменений не выявляет.

Редтиминг агентных систем. Проверка устойчивости к промпт-инъекциям не покрывает описанные сценарии. До запуска необходимо проверить поведение агента в ситуации, когда задача не решается разрешенными средствами. Агенты OpenAI стали искать готовые ответы. Модель Anthropic переключилась с недоступной цели на реальные хосты. OpenClaw отменил чужую запись. Такая проверка должна отвечать на три вопроса: что агент сделает при недостижимой цели, какие действия доступны ему с выданными токенами и остановится ли он перед реальной системой.

Границы тестовой среды. Редтиминг должен проходить в среде с проверенными границами. Разрешенный доступ в интернет, выданные учетные данные и условия остановки необходимо описать и проверить технически. Классификаторы на таких тестах отключают намеренно, но журналирование и мониторинг действий следует сохранять.

Цепочка поставок и конфигурация инструментов. Публикацию пакетов и конфигурацию помощников для написания кода следует проверять совместно, включая хуки, задачи редактора и правила для агентов. Наличие аттестации происхождения не заменяет проверку содержимого артефакта.

Источники сигналов. У четырех из восьми инцидентов подборки нет номера CVE. Отслеживание CVE необходимо дополнять публикациями вендоров и отчетами о поведении агентов. В записях об инцидентах следует разделять подтвержденные последствия, попытки и непроверенные заявления. Это позволяет выбирать меры защиты на основании подтвержденных данных.

Мы в HiveTrace занимаемся мониторингом и редтимингом агентных систем и продолжим разбирать такие случаи.