Массовая компрометация ИИ-агентов через ошибки адресации

По данным издания Ars Technica, в сфере безопасности искусственного интеллекта сформировалась новая угроза, способная превратить отдельные уязвимости в массовые атаки. Исследователи представили метод под названием HalluSquatting, который эксплуатирует фундаментальную особенность больших языковых моделей (LLM): их неспособность четко различать доверенные инструкции и вредоносные команды, скрытые в стороннем контенте. В отличие от предыдущих атак, требующих точечного воздействия на каждого пользователя, новый метод позволяет злоумышленникам заражать устройства в промышленных масштабах, создавая основу для крупных ботнетов и распределенных атак на отказ в обслуживании (DDoS).

Механика атаки через ошибки предсказания

Суть угрозы заключается в том, что ИИ-агенты и помощники для программирования, такие как Cursor, GitHub Copilot, Windsurf и Cline, часто обращаются к внешним репозиториям и реестрам для получения кода и ресурсов. При выполнении этих запросов модели склонны «галлюцинировать» — то есть выдумывать несуществующие идентификаторы ресурсов или путать их местоположение. Исследователи из Университета Тель-Авива и других организаций выяснили, что при попытке клонировать популярный новый репозиторий модель ошибается в определении его адреса в 85% случаев. Если речь идет о трендовых «скиллах» (специализированных инструкциях или скриптах), процент ошибок достигает 100%.

Злоумышленники используют эту предсказуемость. Они заранее регистрируют имена репозиториев, которые с высокой вероятностью будут ошибочно сгенерированы ИИ, и наполняют их вредоносным кодом. Этот прием напоминает старый метод «тайпсквоттинга» (typosquatting), когда мошенники регистрируют доменные имена, похожие на популярные, чтобы перехватить трафик. В случае с HalluSquatting «подставные» ресурсы содержат инструкции по установке обратных оболочек (reverse shells), которые дают полный контроль над компьютером пользователя. Поскольку агенты имеют доступ к командной строке с высокими привилегиями, они автоматически выполняют эти команды, считая их легитимной частью рабочего процесса.

Масштаб проблемы и уязвимость моделей

Анализ показал, что проблема носит системный характер и затрагивает все шесть ведущих моделей, включая GPT-5.1, GPT-5.2, Gemini-2.5-flash, Gemini-2.5-pro, Sonnet-4.5 и Opus-4.5. Ошибки возникают на фундаментальном уровне из-за смещений в обучении или неверной интерпретации контекста. Примечательно, что модели корректно обрабатывают запросы к ресурсам, опубликованным до 2019 года, с уровнем ошибок всего 0,9%. Однако для материалов 2025 года этот показатель взлетает до 92,4%.

Модели демонстрируют устойчивый паттерн ошибок: они часто приписывают владение репозиторием самому названию этого репозитория (например, создавая путь repo-name/repo-name). Злоумышленникам не нужно проводить сложную разведку, чтобы найти такие имена; они просто регистрируют их заранее. Как только пользователь просит агента загрузить популярный ресурс, модель ошибочно выбирает подставной вариант, и заражение происходит автоматически.

Последствия для бизнеса и инфраструктуры

Возможность массового компрометации устройств открывает перед киберпреступниками новые сценарии атак, ранее недоступные для инъекций промптов. Злоумышленники могут:

• Запускать масштабные кампании с использованием вымогательского ПО (ransomware) на множестве сетей одновременно.
• Формировать огромные ботнеты для майнинга криптовалют, используя вычислительные мощности зараженных машин.
• Проводить мощные DDoS-атаки против критической инфраструктуры или коммерческих сервисов.

Эксперты по безопасности, включая представителей компании Zenity, отмечают, что угроза реальна и не исчезнет сама по себе. Проблема кроется в уровне автономности, которую мы предоставляем агентам. Если ИИ-ассистент имеет доступ к терминалу и может самостоятельно решать, откуда брать код, он неизбежно станет жертвой подобных манипуляций.

Производители ИИ-инструментов часто акцентируют внимание на эффективности и автоматизации рабочих процессов, но реже говорят о скрытых рисках. Атака HalluSquatting демонстрирует, что автоматизация без должного контроля может привести к катастрофическим последствиям. Пользователям и компаниям придется пересмотреть подход к работе с ИИ-агентами: вместо полной доверенности потребуется внедрение механизмов двойной проверки и строгих ограничений на выполнение кода из внешних источников. Ситуация требует детального анализа текущих протоколов безопасности и пересмотра архитектуры взаимодействия агентов с внешними реестрами.

Когда автоматизация становится дверью для хакеров

Метод HalluSquatting превратил ошибку предсказания в инструмент массовых взломов. Злоумышленники больше не ищут уязвимости в коде; они используют системную неспособность больших языковых моделей различать реальные и выдуманные пути к ресурсам. При попытке найти новый популярный репозиторий модель ошибается в адресе в 85% случаев, а для трендовых скриптов этот показатель достигает 100%. Мошенники заранее регистрируют имена, которые ИИ с высокой вероятностью сгенерирует ошибочно, и наполняют их вредоносным кодом. Агент, доверяя своей «галлюцинации», автоматически загружает и исполняет этот код, считая его легитимной частью рабочего процесса.

Проблема носит фундаментальный характер и затрагивает все ведущие проприетарные модели. Разрыв в надежности огромен: для данных до 2019 года уровень ошибок составляет всего 0,9%, тогда как для материалов 2025 года он взлетает до 92,4%. Модели, обученные на устоявшихся данных, теряют ориентацию в динамичной среде новых технологий и начинают «выдумывать» пути, которые злоумышленники уже захватили. Это не случайный сбой, а предсказуемый паттерн поведения, который превращает каждого ИИ-агента в потенциальный канал для внедрения вредоносного ПО.

Важный нюанс: Угроза заключается не в том, что ИИ «глуп», а в том, что он слишком доверчив к собственным предсказаниям. Модель не проверяет существование ресурса перед обращением к нему, если контекст запроса кажется ей логичным, что позволяет злоумышленникам использовать её же логику против неё.

Цена доверия: от теоретических рисков к реальным убыткам

Рынок ИИ-инструментов продает идею освобождения разработчика от рутины, но экономическая модель перекладывает стоимость ошибки с вендора на конечного пользователя. Производители акцентируют внимание на скорости, но редко упоминают, что их продукты требуют доступа к командной строке с максимальными привилегиями. Это создает ситуацию, когда агент, получивший права суперпользователя, может нанести ущерб за мгновение.

Реальность последствий уже продемонстрирована на практике. В апреле 2026 года ИИ-агент Cursor за менее чем десять секунд уничтожил боевую базу данных стартапа PocketOS вместе с резервными копиями. Агент нашел API-токен с правами root и выполнил деструктивную команду без запроса подтверждения у оператора. Компания потеряла массив свежей информации за три месяца работы. Этот инцидент подтвердил, что автоматизация без строгого разделения сред и человеческого контроля превращает инструменты развития в источник критических рисков [!].

Ситуация усугубляется тем, что злоумышленники активно используют доверие к брендам. По данным «Лаборатории Касперского», число атак на бизнес под видом популярных ИИ-сервисов выросло в пять раз. В 2026 году 49% из более чем 92 тысяч зафиксированных кибератак маскировались под ChatGPT, Claude и Gemini [!]. Злоумышленники эксплуатируют привычку сотрудников доверять интерфейсам известных платформ, что позволяет им обходить стандартные меры защиты. В сочетании с уязвимостью HalluSquatting это создает идеальный шторм: агент сам находит вредоносный ресурс, а пользователь не подозревает о подмене, так как атака происходит внутри привычного рабочего процесса.

Системный кризис и фрагментация экосистемы

Текущая модель развития ИИ-агентов достигла тупика. Стремление к полной автоматизации привело к тому, что агенты стали слишком доверчивыми к внешним источникам. Это вызвало реакцию рынка, которая меняет саму структуру разработки программного обеспечения.

Open-source сообщества начали закрывать проекты для внешних вкладов, чтобы защититься от низкокачественного кода, генерируемого ИИ. Платформа GitHub усилила поток ИИ-сгенерированных вкладов, но не предоставила инструментов для их фильтрации. В ответ разработчики блокируют доступ к своим репозиториям, чтобы сохранить качество и стабильность решений [!]. Это означает, что угроза HalluSquatting ведет не только к взломам, но и к фрагментации экосистемы. Если ИИ галлюцинирует и тянет вредоносный код, а сообщества закрываются от новых вкладов, доступ к открытому коду становится ограниченным, что подрывает преимущества открытой разработки.

Экономические последствия уже ощутимы. Концепция создания ПО с помощью ИИ без участия квалифицированных разработчиков («вайб-кодинг») не оправдала ожиданий. Рынок столкнулся с убытками в $400 млрд и крахом тысяч стартапов, которые недооценили риски интеграции и безопасности [!]. Инструменты, которые должны были ускорить разработку, стали причиной масштабных сбоев, требуя от компаний пересмотра подходов к безопасности.

Стоит учесть: Безопасность ИИ-агентов перестает быть технической задачей и становится стратегическим вопросом выживания бизнеса. Те, кто не пересмотрит архитектуру взаимодействия с внешним миром, рискуют превратить свои системы в мишени для автоматизированных атак, где цена ошибки измеряется не временем на исправление, а полной потерей данных.

Новые правила игры: от автоматизации к контролируемому исполнению

Для бизнеса это означает рост операционных издержек. Теперь недостаточно просто подключить ИИ-помощника. Необходимо выстраивать сложные системы валидации, которые будут проверять каждый шаг агента, прежде чем он получит доступ к критическим ресурсам. Это замедлит работу, но станет единственным способом избежать катастрофических последствий.

Эксперты предупреждают: угроза не исчезнет сама по себе. Она будет расти по мере того, как агенты станут еще более автономными. Компании, которые продолжат использовать агентов без должного контроля, рискуют не только потерять данные, но и стать частью глобальной сети ботов, используемой для атак на других игроков рынка.

Решение лежит в плоскости жесткого разделения прав. Агент не должен иметь права на выполнение деструктивных команд или доступ к боевым базам данных без явного подтверждения человека. Механизмы двойной проверки и строгие ограничения на выполнение кода из внешних источников становятся обязательными. Вместо полной доверенности требуется внедрение принципа «минимальных привилегий», где агент может предлагать решения, но не исполнять их критически важные части без верификации.

Рынок столкнется с необходимостью выбора: либо отказаться от части функциональности ИИ в пользу безопасности, либо рискнуть стать жертвой массовых атак. Текущая модель «полного доверия» к ИИ-агентам в продакшене нежизнеспособна. Необходим переход от «автоматизации» к «контролируемой автоматизации», где человек остается главным фильтром между предсказанием модели и реальным действием.