Фахівці описали п’ять вразливостей корпоративних ШІ-агентів
Token Security описала п’ять ризиків безпеки ШІ-агентів, зокрема ін’єкції через електронні листи та проблеми аудиту дій.
Компанія Token Security на прикладі гіпотетичного ШІ-агента для обробки рахунків описала п’ять прогалин у безпеці, через які зловмисний лист може спонукати систему змінити банківські реквізити постачальника в ERP. Як повідомляє BleepingComputer, такий сценарій може не активувати традиційні засоби захисту, адже агент діятиме через дозволені інструменти та чинні облікові дані.
У матеріалі наголошується, що агент може отримати доступ до пошти через OAuth, до ERP — за допомогою персонального API-ключа, а до Slack — через готовий конектор. За словами колишнього керівника безпеки, ІТ і комплаєнсу Zededa Джона Донована, різні способи доступу визначають, які сліди дій агента буде видно в журналах систем. OAuth-дозволи також можуть залишатися активними після зміни роботи працівника, який їх надав.
Ризик ін’єкцій через листи
Описаний агент одночасно обробляє недовірені дані з електронної пошти, має доступ до приватних відомостей у ERP та здатен змінювати записи без перевірки людиною. Керівниця напряму ШІ та кібербезпеки DataRobot Ембер Беннуї пов’язує це з правилом двох: поки системи не вміють надійно виявляти та відхиляти prompt injection, агент не повинен поєднувати понад дві з трьох можливостей — обробку недовіреного вводу, доступ до чутливих систем або даних і можливість змінювати стан системи чи комунікувати назовні.
У сценарії Token Security прихована інструкція в листі від адреси відомого постачальника наказує агенту оновити банківські дані. Людина лист не відкриває, однак агент читає прихований текст і вносить зміни. Дослідник кібербезпеки та CISO Джошуа Коупленд зазначає, що інструкції можуть потрапляти до агента як безпосередньо від користувача, так і через вміст, який система опрацьовує.
Виявлення та аудит дій агентів
CISO та CIO Benchling Чад Калмес радить відстежувати не лише формально дозволені права агента, а й його звичну поведінку: використані інструменти та напрямки передавання даних. У наведеному прикладі аномаліями стали перше використання функції запису в ERP після трьох тижнів читання даних і нова послідовність дій — зміна платіжного запису після обробки електронного листа.
Під час реагування Калмес рекомендує призупинити роботу агента, відкликати його облікові дані, але зберегти пам’ять і журнали діалогів. Старший директор із послуг безпеки ідентичностей Simeio Раджеш Сешадрі Аппікулам додає, що для аудиту необхідно встановити, який агент виконав дію, з якими правами, за чиїм погодженням і від чийого імені. У дослідженні, проведеному Cloud Security Alliance на замовлення Token Security у січні 2026 року серед 418 ІТ-фахівців та спеціалістів із безпеки, 68% заявили про високу видимість своїх ШІ-агентів, водночас 82% повідомили, що за попередній рік виявили невідомі їм агенти.
