14:16 05.08.2026 Ср 2 мин Баг нашли в открытом репозитории
Выявлен первый случай атаки между ботами Google (фото: Unsplash) Не трать время на шум! Читай только суть из РБК-Украина в Google
Специалисты по Pillar Security обнаружили первый в мире метод атаки «агент против агента» в репозитории Google ADK. Он позволяет малопривилегированному ИИ манипулировать ботом с высокими правами.
Об этом информирует РБК-Украина со ссылкой на The Register.
Специалист по безопасности Дан Лисичкин, обнаруживший пробел, отметил, что появление таких атак демонстрирует «существенное расширение поверхностей угроз.»
По его словам, в «доагентную» эпоху подобные векторы атак просто не существовали, а значит, руководителям по информационной безопасности (CISO) необходимо срочно пересмотреть собственные модели предотвращения угроз.
Механика атаки из-за предела доверия
Проблема возникла из-за некорректной изоляции двух классов автоматизированных ИИ-агентов с разными уровнями доступа, которые использовали общий предел доверия.
Схема выглядела так:
С помощью технологии prompt injection (внедрения вредоносных инструкций в текст — ред.) хакер мог заставить публичного бота сгенерировать специальный тег служебной команды, например @gemini-cli.
Поскольку публичный бот был воспринят системой как аккаунт с правами Collaborator, этот тег трактовался как легитимный запрос от разработчика.
Это активировало высокопривилегированный бот для выполнения действий в среде CI/CD (в частности, считывание токенов доступа и видоизменения комментариев).
Схема атаки, описанная Даном Лисичкиным (источник: Pillar Security)
Читайте больше: Новый ИИ Google приблизил физический AGI: работы стали еще самостоятельнее
Google и рекомендации по безопасности
Американский техногигант уже устранил проявленную уязвимость в своем репозитории, однако отказался выплачивать вознаграждение по программе Bug Bounty.
В компании объяснили это тем, что для успешной реализации атаки злоумышленнику все равно нужны элементы социальной инженерии и финальное подтверждение перемен человеком (мейнтейнером).
Со всем тем, эксперты Pillar Security подчеркивают, что простая изоляция сред выполнения ассистентов больше не достаточно.
Каждый ИИ-агент должен обладать собственной строго ограниченной цифровой идентичностью (Agent Identity) и четко разграниченными правами доступа к ресурсам.
Цель — сделать невозможным использование бота для обхода авторизации.
