ИИ-агенты могут передавать друг другу вредоносные команды через MCP
Злоумышленники используют доверие между ИИ-агентами, чтобы добраться до внутренних сервисов и заставить их выполнять несанкционированные запросы
Массовое внедрение ИИ-агентов создаёт новый риск для корпоративных сетей: скомпрометировать одного агента может оказаться достаточно, чтобы распространить вредоносные инструкции по цепочке. Независимый специалист по безопасности Сайед Анас Мохиуддин (Syed Anas Mohiuddin) продемонстрировал такие атаки на системах, связанных с Google, JPMorgan Chase, Weaviate, Rapid7, французской межведомственной службой цифровых технологий и федеральным правительством США. Во всех случаях ключевую роль играли уязвимости в механизмах взаимодействия агентов, в том числе через MCP — протокол, позволяющий ИИ-приложениям подключаться к инструментам и обмениваться данными.
Атака начинается с вредоносной инструкции, которую один агент получает из содержимого или в ходе выполнения задания. Вместо того чтобы остановить работу, агент может передать текст инструкции следующему участнику цепочки как обычную рабочую задачу. Получатель доверяет внутреннему агенту и выполняет команду, хотя при прямом обращении со стороны злоумышленника система могла бы её отклонить. В некоторых сценариях это приводит к SSRF-атаке — при которой сервер под влиянием злоумышленника отправляет запросы к внутренним сетевым ресурсам, недоступным извне. Так можно добраться до закрытых сервисов и чувствительных данных.
