ИИ-агенты открыли новый путь для хакеров: модели слишком верят друг другу

Настало время подумать о безопасности протокола MCP.

Распространение ИИ-агентов в корпоративной среде привело к появлению нового класса атак, при котором вредоносные инструкции могут переходить от одного внутреннего агента к другому. В основе атак лежит промпт-инъекция, нацеленная на специализированного ИИ-агента — например, переводчика.

Как правило, защитные механизмы таких агентов слабее, чем у полноценных систем. Получив вредоносную инструкцию, агент может передать ее следующей системе как обычную служебную задачу, а та выполнит команду, поскольку доверяет агенту, отправившему запрос.

Исследователь Сайед Анас Мохиуддин связал эту проблему с Model Context Protocol, стандартом обмена данными между ИИ-приложениями и агентами. Внутренние компоненты такой инфраструктуры часто настроены на взаимное доверие. В результате вредоносная команда получает шанс добраться до другого агента через доверенную цепочку.

Основная проблема заключается в архитектуре современных агентных систем: протокол MCP получил широкое распространение еще до того, как участники рынка успели как следует подумать о его безопасности. Теперь, видимо, этим придется заниматься по живому.

От проблем с безопасностью MCP страдают в том числе и крупные компании: например, уязвимости были найдены в инфраструктурах Google и JPMorgan Chase. Вероятно, безопасность протокола будет повышаться довольно быстро.