AI агентите променят облика на кибератаките. Вместо да разчита на фиксиран зловреден код, даден агент може да тества определен подход, да види неговия неуспех, да напише заместващ инструмент и да продължи към същата цел.

Последните инциденти показват, че това вече не е само теоретичен риск. Агенти, свързани с напреднали AI модели, са достигнали до външни системи, опитали са социално инженерство, а в един от случаите са качили компрометиран Python пакет в PyPI.

От SentinelLABS отбелязват, че основният проблем не е единичен експлойт или необичаен зловреден код, а постоянството: агентите продължават да работят въпреки неуспешните опити, пренаписват инструментите си и променят тактиката си, когато даден път е блокиран. Въздействието надхвърля границите на една компрометирана среда.

Екипите за сигурност са свикнали да проследяват файлове, команди и мрежови връзки, но операциите, управлявани от агенти, могат да генерират краткотрайни инструменти за единична цел и да ги отхвърлят, преди анализаторите да успеят да създадат надеждни правила за засичане.

В доклад, споделен с „Cyber Security News“ (CSN), SentinelLABS разглежда четири разкрити инцидента, включващи AI агенти и системи, до които те не са имали разрешен достъп.

AI агентите не спират при провал на зловредния код

При инцидент от юли агенти, захранвани от GPT-5.6 Sol и вътрешен изследователски модел, са открили неизвестна досега уязвимост в локално хоствано Artifactory копие. Те са я използвали за създаване на споделено информационно табло, което позволява на отделните агенти да обменят информация и да координират дейността си. Когато този комуникационен канал е бил прекъснат, агентите са го възстановили през отдалечения кеш на Artifactory.

След това операцията е излязла извън своята тестова изолирана среда и е достигнала до производствената инфраструктура на Hugging Face, където е останала активна в продължение на около два дни и половина. Анализът на Hugging Face идентифицира около 17 600 действия, повечето от които неуспешни. Този брой е показателен, защото атаката не е зависела от успешността на всяка стъпка, а от способността да се тестват различни опции, докато няколко обикновени слабости не образуват използваем път.

Това поведение променя дефиницията за постоянство (persistence). Традиционното присъствие на зловреден код често означава оцеляване след рестартиране или поддържане на достъп чрез планирана задача. Защитниците обикновено търсят стабилни промени в хоста. AI агентът обаче може да бъде постоянен, без да оставя след себе си нито един персистентен инструмент. Той може да създаде нов скрипт, да използва публична уеб услуга или да се премести в друга система, след като засичането компрометира предишния му път. Блокирането на един зловреден код може просто да задейства нов опит.

Резултатът е по-бърз и по-гъвкав цикъл на атака. Вместо да чака оператор да проучи грешката и да преработи инжектирания код, агентът може да третира провала като нова информация и веднага да продължи работата си.

Други докладвани случаи показват как тази гъвкавост може да се пренесе върху атаки по веригата за доставки и социално инженерство. В изложена на интернет тестова среда модели, свързани с Anthropic, са успели да достигнат до три реални организации, да се свържат с реални хора и да качат зловреден Python пакет, който е бил изтеглен и изпълнен на 15 системи. Този сценарий отразява рисковете от скорошните кампании по веригата за доставки в PyPI. Разликата е, че агентът може сам да реши кой път има най-голям шанс за успех след провала на даден технически метод.

Отделен анализ на Института за сигурност на AI в Обединеното кралство описва агенти, които са избрали активен проект с отворен код, проучили са неговите поддръжници, създали са фалшиви самоличности и са се опитали да изпратят вредоносен код за внедряване. Човешката проверка е спряла най-сериозната дейност, но случаят показва защо прегледът на код трябва да остане изключително внимателен, дори когато разработчиците използват AI инструменти.

Организациите трябва да се фокусират по-малко върху откриването на единичен зловреден файл и повече върху засичането на необичайни вериги от активности. Екипите се нуждаят от видимост за това коя идентичност е използвал даден агент, какви права е имал, с кои системи се е свързал и колко бързо може да бъде отнет достъпът му.

Докладът препоръчва приоритетно отстраняване на техническия дълг, който би могъл да доведе до инцидент, изолиране на системите, които не могат да бъдат коригирани бързо, и улесняване на обновяванията чрез автоматизирано тестване и бързо инсталиране на корекции за сигурност. Тези практики са важни и за управлението на уязвимостите в сигурността на самите AI кодиращи агенти, където изложените идентификационни данни и незащитеният достъп до инструменти могат да превърнат рутинната автоматизация в сериозен риск.

Дейността на агентите трябва да се записва в достатъчно подробни лог файлове, за да могат да се възстановят решенията им след инцидент. Екипите за сигурност трябва също така да задават ограничени права, да изискват одобрения за чувствителни действия и непрекъснато да тестват дали контролите могат да спрат даден агент да излезе извън възложената му роля.