CVE не нужен: как GitHub issue захватил AI-агента

Недавний анализ безопасности выявил критическую уязвимость в AI-агентах, взаимодействующих с репозиториями GitHub. Атака, не требующая CVE или традиционных эксплойтов, использует непрямую инъекцию промптов через публичные GitHub issues. Внедряя вредоносные инструкции в текст задачи, злоумышленник может заставить AI-агента выполнять несанкционированные действия, такие как доступ к приватным репозиториям или кража конфиденциальных данных. Поскольку агент воспринимает весь входящий текст как инструкции, он не может отличить команды пользователя от вредоносных нагрузок, скрытых в публичных данных. Исследователи подчеркивают, что это архитектурный изъян, а не программная ошибка. Для снижения рисков эксперты рекомендуют сохранять строгий контроль подтверждения действий человеком, использовать ограниченные токены доступа и разделять права на чтение и запись для агентов. Этот инцидент подчеркивает острую необходимость в создании надежных границ безопасности при интеграции AI-агентов с внешними источниками данных.