С 12 по 18 сентября 2026 года в поле зрения попал целый набор угроз, связанных с сервисами искусственного интеллекта. Слабые места нашлись в локальной базе знаний, в движке для запуска языковых моделей и в помощниках, которые пишут код вместо программиста. Отдельная линия - злоупотребление доверием к известным брендам: поддельные письма про оплату подписки и посредники, торгующие чужими диалогами. Разбираем по порядку.
Описание
Первая история касается QAnything - программы для поиска по собственным документам, которую компании ставят на свои серверы. Незарегистрированный пользователь может отправить туда файл со специально составленным именем и записать его в папку, где никаких файлов быть не должно. Сам по себе шаг выглядит безобидно, но при стандартной контейнерной установке этот файл исполняется после перезапуска сервиса. Атакующий получает полный контроль над машиной, причём на правах самого высокого уровня. Такие базы знаний нередко держат во внутренней сети и наполняют служебными документами, так что цена ошибки высока. Уязвимость получила номер CVE-2026-88533. Примерно тогда же нашлась проблема в движке vLLM: удалённый пользователь может через настройку шаблона чата так нагрузить систему, что она перестанет отвечать. Ей присвоен номер CVE-2026-90878.
Вторая линия атаки ведёт через помощников, которые подсказывают разработчикам готовый код. Злоумышленники перехватили сессию такого помощника в одной из облачных компаний и подменили одну из рекомендуемых библиотек на вредоносную. Помощник уверенно посоветовал её установить, инженеры согласились - и на рабочие машины попал похититель данных. Дальше атака разрослась. Украденные ключи доступа к хранилищам исходного кода позволили червю Shai-Hulud разойтись почти по сотне внутренних репозиториев. Утечка затронула исходники и другие закрытые материалы. Владельцу пришлось менять ключи и проверять каждый репозиторий вручную. Привычка доверять подсказке ИИ-помощника без проверки здесь и сыграла против разработчиков.
Отдельного разбора требует механизм Skill. Так называют набор готовых навыков, которые подключают к ИИ-агентам, чтобы те выполняли новые задачи. По данным 360 Threat Intelligence Center, через него в новую среду переносят старые приёмы: выход за пределы рабочей папки, подмену содержимого архивов при распаковке, правки в чужих программных пакетах и скрытые закладки в коде. Установка незнакомого навыка может закончиться удалённым исполнением кода, кражей сведений и полным контролем над системой.
Похожую схему повторили в каталоге пакетов для языка Ruby. Кампания GemStuffer разместила там тысячи вредоносных библиотек. При сборке документации они запускали скрытый сценарий, забирали чужой ключ доступа к каталогу, собирали открытые документы и календари, а потом отправляли добычу наружу. Часть пакетов несла в описании опасные вставки, рассчитанные на получение повышенных прав внутри системы сборки. Публичные каталоги библиотек давно стали удобной площадкой для таких операций, и доверие к ним обходится дорого.
Третья история разворачивается вокруг неофициальных посредников, через которых люди обращаются к платным ИИ-моделям. Объём выставленных на продажу сведений достиг примерно шести терабайт. Посредник разрывает защищённое соединение, читает запросы и ответы, сохраняет переписку, вложенные файлы и учётные данные, а затем продаёт всё это. Для компаний это означает утечку коммерческих запросов и внутренних документов, которые сотрудники передавали модели. Такой сервис способен и подменить ответ модели: клиенту приходит текст, подталкивающий переслать лишнее или установить троян.
Мобильные устройства тоже попали в список целей. Вредоносная программа RatHat распространяется через поддельные приложения и рекламные объявления. Она просит доступ к спецвозможностям - так в Android называют службы, созданные для людей с ограничениями по здоровью, но открытые и для постороннего софта. Получив разрешение, программа читает экран, перехватывает нажатия и извлекает пароли, PIN-коды и одноразовые коды подтверждения из банковских приложений. Дополнительно она поднимает скрытый канал связи, чтобы сохранить управление устройством.
Замыкает неделю фишинг под маркой OpenAI. Пользователям приходят письма о неполадках с оплатой подписки ChatGPT. Оформление копирует фирменный стиль, а формулировки торопят: обновить платёжные данные нужно срочно, иначе доступ закроют. Ссылка ведёт на поддельную страницу входа, где собирают логины и пароли.
Общая черта перечисленных случаев - ставка на доверие к привычным инструментам. Закрывать уязвимости в ИИ-сервисах нужно так же дисциплинированно, как и в остальном корпоративном софте, а сетевой доступ к их интерфейсам стоит ограничить. Запускать такие программы с максимальными правами не следует. Библиотеки и навыки ИИ-агентов проверяют до установки, а сборку документации и другие недоверенные задачи держат в изолированной среде. От неофициальных посредников при обращениях к моделям лучше отказаться, а пароли и ключи, которые могли через них пройти, заменить. На телефонах помогает запрет на лишние спецвозможности, в почте - проверка адреса отправителя и реальной ссылки. Слабые места нашлись и в коде, и в цепочке поставок, и в поведении пользователей, поэтому защита нужна сразу на трёх уровнях.
Индикаторы компрометации
