Специалисты по кибербезопасности выявили новую угрозу, нацеленную на разработчиков и пользователей ИИ-агентов: злоумышленники создали вредоносные пакеты, имитирующие легитимные навыки для таких платформ, как OpenAI, Anthropic и других. Эти пакеты, распространяемые через популярные репозитории программного обеспечения, такие как PyPI и npm, были загружены более 1,7 миллиона раз, что свидетельствует о широком охвате атаки. Исследователи отмечают, что вредоносный код активируется при установке или использовании навыка, позволяя злоумышленникам получить удалённый доступ к системам жертв, красть учётные данные и внедрять дополнительные вредоносные модули.

По данным отчёта, опубликованного компанией Palo Alto Networks, вредоносные пакеты были обнаружены в период с начала 2025 года и активно распространялись до момента их блокировки. Атака затронула как корпоративных пользователей, так и индивидуальных разработчиков, которые используют ИИ-агентов для автоматизации задач, обработки данных и интеграции с внешними сервисами. Злоумышленники использовали технику «опен-сорсной атаки на цепочку поставок», размещая вредоносный код в пакетах, которые внешне выглядели как полезные инструменты для расширения функциональности ИИ-агентов. При этом, в отличие от предыдущих подобных инцидентов, которые чаще всего были направлены на компрометацию сред разработки, данная кампания была специально нацелена на конечных пользователей ИИ-агентов, что говорит о растущем интересе злоумышленников к этой новой и быстрорастущей области.

Технический анализ показывает, что вредоносные пакеты содержали обфусцированный код, который активировался при вызове определённых функций, типичных для навыков ИИ-агентов. После активации вредоносное ПО устанавливало бэкдор, который позволял злоумышленникам отправлять команды на заражённые устройства через зашифрованные каналы связи. Кроме того, пакеты были способны собирать информацию об окружении, включая переменные окружения, файлы конфигурации и ключи API, что создавало дополнительные риски для корпоративных сред, где ИИ-агенты часто интегрированы с облачными сервисами и базами данных. Особую опасность представляет то, что вредоносные навыки могут быть использованы для дальнейшего распространения внутри организаций, так как ИИ-агенты часто имеют доступ к внутренним системам и данным, что может привести к масштабным утечкам информации.

Это не первый случай атак на экосистему ИИ-агентов. Ранее исследователи уже предупреждали о рисках, связанных с использованием сторонних навыков, которые могут содержать скрытые уязвимости или вредоносный код. Однако масштаб текущей кампании, превышающий 1,7 миллиона загрузок, делает её одной из самых значительных в своём роде. Эксперты связывают рост таких атак с быстрым распространением ИИ-агентов в корпоративной среде, где они используются для автоматизации рутинных задач, обработки больших объёмов данных и взаимодействия с клиентами. Злоумышленники активно используют доверие пользователей к открытому коду, который является основой многих ИИ-инструментов. В отличие от традиционных атак на цепочку поставок, где вредоносный код обычно внедряется в библиотеки или фреймворки, данная кампания нацелена именно на навыки ИИ-агентов, что является новой и более сложной для обнаружения угрозой.

Для российского рынка эта угроза особенно актуальна, поскольку отечественные компании активно внедряют ИИ-решения, в том числе на базе открытых моделей и библиотек. Многие российские разработчики используют публичные репозитории для загрузки навыков и плагинов, что делает их потенциальными жертвами подобных атак. В ответ на инцидент российские компании по кибербезопасности, такие как «Лаборатория Касперского» и Positive Technologies, уже выпустили рекомендации по проверке целостности пакетов и использованию только проверенных источников. Отраслевые эксперты призывают к усилению мер безопасности при работе с ИИ-агентами, включая регулярный аудит зависимостей и использование песочниц для тестирования новых навыков. Кроме того, важно повышать осведомлённость разработчиков о потенциальных рисках и обучать их безопасным практикам работы с открытым кодом.

Сравнивая с альтернативными методами защиты, специалисты отмечают, что традиционные антивирусные решения не всегда способны обнаружить вредоносный код, встроенный в навыки ИИ-агентов, из-за его сложности и обфускации. Вместо этого рекомендуется использовать специализированные инструменты для анализа поведения ИИ-систем, а также внедрять политики минимальных привилегий для ИИ-агентов, ограничивая их доступ к критическим ресурсам. Некоторые эксперты предлагают создание централизованных реестров проверенных навыков, аналогичных тем, что существуют для мобильных приложений, что позволило бы снизить риск загрузки вредоносного ПО. Также важно развивать механизмы автоматического анализа и репутации пакетов в репозиториях, чтобы быстрее выявлять подозрительные компоненты и предотвращать их распространение.

В будущем ожидается, что атаки на ИИ-агенты будут становиться всё более изощрёнными, поскольку злоумышленники адаптируются к новым технологиям. Исследователи призывают разработчиков и компании к повышенной бдительности и активному участию в сообществах по безопасности, чтобы своевременно выявлять и устранять подобные угрозы. Открытым остаётся вопрос о том, как эффективно балансировать между открытостью экосистемы ИИ и необходимостью защиты от вредоносного кода, и, вероятно, в ближайшее время мы увидим новые стандарты и инструменты для обеспечения безопасности ИИ-агентов. Пока же пользователям и организациям следует проявлять осторожность при выборе навыков и плагинов, отдавая предпочтение проверенным источникам и регулярно обновляя свои системы безопасности.