14:16 05.08.2026 Ср 2 мин Баг нашли в открытом репозитории

Выявлен первый случай атаки между ботами Google (фото: Unsplash) Не трать время на шум! Читай только суть из РБК-Украина в Google

Специалисты по Pillar Security обнаружили первый в мире метод атаки «агент против агента» в репозитории Google ADK. Он позволяет малопривилегированному ИИ манипулировать ботом с высокими правами.

Об этом информирует РБК-Украина со ссылкой на The Register.

Специалист по безопасности Дан Лисичкин, обнаруживший пробел, отметил, что появление таких атак демонстрирует «существенное расширение поверхностей угроз.»

По его словам, в «доагентную» эпоху подобные векторы атак просто не существовали, а значит, руководителям по информационной безопасности (CISO) необходимо срочно пересмотреть собственные модели предотвращения угроз.

Проблема возникла из-за некорректной изоляции двух классов автоматизированных ИИ-агентов с разными уровнями доступа, которые использовали общий предел доверия.

Схема выглядела так:

С помощью технологии prompt injection (внедрения вредоносных инструкций в текст — ред.) хакер мог заставить публичного бота сгенерировать специальный тег служебной команды, например @gemini-cli.

Поскольку публичный бот был воспринят системой как аккаунт с правами Collaborator, этот тег трактовался как легитимный запрос от разработчика.

Это активировало высокопривилегированный бот для выполнения действий в среде CI/CD (в частности, считывание токенов доступа и видоизменения комментариев).

Схема атаки, описанная Даном Лисичкиным (источник: Pillar Security)

Читайте больше: Новый ИИ Google приблизил физический AGI: работы стали еще самостоятельнее

Американский техногигант уже устранил проявленную уязвимость в своем репозитории, однако отказался выплачивать вознаграждение по программе Bug Bounty.

В компании объяснили это тем, что для успешной реализации атаки злоумышленнику все равно нужны элементы социальной инженерии и финальное подтверждение перемен человеком (мейнтейнером).

Со всем тем, эксперты Pillar Security подчеркивают, что простая изоляция сред выполнения ассистентов больше не достаточно.

Каждый ИИ-агент должен обладать собственной строго ограниченной цифровой идентичностью (Agent Identity) и четко разграниченными правами доступа к ресурсам.

Цель — сделать невозможным использование бота для обхода авторизации.