Първият практически случай от реалния свят на експлоатация от агент към агент в рамките на производствена мултиагентна система представлява нов клас атаки, който изправя един AI агент срещу друг, за да компрометира веригата за доставки на софтуер.
Уязвимостта е открита в google/adk-python – хранилището зад пакета за разработка на агенти за Python на Google (Agent Development Kit for Python), SDK, което се използва широко от разработчиците за изграждане на собствени AI агенти.
Хранилището adk-python изпълнява две нива на автоматизирани AI агенти. Агент с ниски привилегии управлява публичните взаимодействия, задействани всеки път, когато потребител отвори заявка за изтегляне (pull request) или доклад за проблем (issue), докато агент с високи привилегии е запазен за доверени поддържащи лица с реални права над кодовата база.
Изследователите от Pillar откриват, че изложеният към интернет агент с ниски привилегии може да бъде манипулиран чрез инжектиране на подкана (prompt injection), за да премине тази граница и да извика агента с високи привилегии от свое име.
Веригата започва с агент, наречен adk_pr_triaging_agent, който е свързан с акаунт на сътрудник от човешки тип, а не с ограничена бот идентичност.
Чрез създаване на коментар към заявка за изтегляне, маскиран като легитимна бележка за принос, изследователите подмамват агента за триаж да публикува коментар, започващ с „@gemini-cli“, което задейства привилегированите работни процеси „gemini-invoke“ и „gemini-review“. Тъй като агентът коментира чрез реален акаунт на сътрудник, GitHub третира задействането като идващо от доверен човек.
Оттам изследователите откриват, че извлеченият токен на GitHub, макар и с тясно ограничен обхват до права за писане в проблеми и заявки за изтегляне, е достатъчен за редактиране на коментари на други потребители, представяне под чужда самоличност като поддържащо лице и дори задействане на фалшиви автоматизирани прегледи на код, показващи убедителни маркери „одобрено“.
Свързани заедно, тези примитиви позволяват на атакуващия да фалшифицира цяла вярваща се пътека на одобрение за злонамерена заявка за изтегляне, без реален човек някога да я е преглеждал.
Дни след първоначалното разкриване, Google добави нова автоматизация на базата на Antigravity SDK към същото хранилище, което въведе нова уязвимост. Списък с разрешени команди, предназначен да ограничи агента до безопасни операции с „git“ и „gh“, може да бъде заобиколен с помощта на собствените функции за скриптове на git (като hooks и shell aliases), което ефективно предоставя отдалечено изпълнение на код на CI runner.
Тъй като runner-ът разполага с дълготраен личен токен за достъп и удостоверителни данни за сервизен акаунт в Google Cloud, атакуващ, който просто отвори доклад за проблем в GitHub (без да е необходим привилегирован достъп), би могъл да извлече чувствителни тайни от процеса.
Google потвърди констатациите и защити хранилището adk-python, въпреки че не класифицира този сценарий (зависещ от социално инженерство) като отговарящ на условията за възнаграждение, тъй като технически все още е необходимо действие от поддържащо лице за сливане на злонамерения код. Pillar Security получи почетно споменаване за разкриването.
По-широкият извод за екипите по сигурност е, че работните процеси с агентски изкуствен интелект (agentic AI) въвеждат нова категория повърхност за атака, която традиционните модели на заплахи никога не са били създавани да адресират.
Всеки AI агент, който приема недоверен текст (като доклади за проблеми, заявки за изтегляне или тикети за поддръжка), докато съхранява удостоверителни данни, трябва да се третира като потенциално контролиран от атакуващ субект.
Екипите за сигурност препоръчват да се дават на агентите тясно ограничени, подлежащи на одит идентичности, вместо да се обвързват с лични токени за достъп, да се прилагат строги списъци с разрешени инструменти и да се запазват човешките предпазни механизми (като защита на клонове и задължителен преглед на кода), за да се предотврати прерастването на един компрометиран агент в пълен пробив на веригата за доставки.