Шокуючі загрози в ланцюгу постачання ШІ: Чому ваші агенти можуть стати шпигунами
Поки багато компаній хвилюються через випадкове розкриття секретів співробітниками через ChatGPT, Copilot, Claude чи Gemini, справжня небезпека вже перекинулася в нову площину — ланцюг постачання штучного інтелекту. Дослідження початку 2026 року виявило тривожний факт: понад третина додатків для AI, які використовують організації, мають уразливості або приховані шкідливі команди.
Новий рівень загроз: безконтактне вторгнення
Уявіть, що ваш AI-агент отримує доступ до звичайного запрошення на нараду або переглядає документ, і без жодного кліку з вашого боку запускає шкідливий код, що викачує конфіденційну інформацію. Світ AI увійшов у епоху «Zero-Click» атак, де більшість організацій поводяться так, ніби борються з минулішніми загрозами.
Розширені права агентів і нові ризики
ШІ-системи нині мають набагато більші повноваження, ніж попередні мовні моделі без стану (stateless LLMs). Надання доступу до пошти, документів, календарів і репозиторіїв коду робить агента практично повноцінним співробітником. Але це значить, що зловмисники можуть непомітно використовувати цього агента у своїх цілях.
Натомість традиційний підхід до безпеки часто не справляється з такими складними викликами. Організації зосереджуються лише на блокуванні чутливих запитів і стримуванні небажаних відповідей чатботів, що не допомагає протидіяти віддаленому контролю і маніпуляції AI.
Кібервійна в часи агентів: кілька фронтів атак
З розвитком автономних AI-агентів виникло п’ять ключових напрямків для кібератак через постачальницький ланцюг, які хакери використовують для зламу корпорацій:
- Під’єднувачі: це дозволи, що надають прямий доступ до електронної пошти, Google Drive, Jira або GitHub співробітників;
- Навички агента: розширення можливостей автоматизації, такі як аналіз даних, які хакери можуть використовувати на свою користь;
- Плагіни: додатки, що збільшують права агента та можуть містити приховані команди, які активуються щоразу при старті агента;
- MCP-сервери: зв’язок між агентом та іншими корпоративними системами, що раніше були недоступні;
- Маркетплейси додатків: платформи установки розширень одним кліком, які нерідко не мають достатнього захисту коду.
Всі ці вектори значно розширюють функціонал агентів, але одночасно збільшують й поверхню для атаки. Замість прямого злому мережі зловмисники використовують ланцюг постачання, вставляючи приховані команди у Word-документи білим шрифтом або шкідливий код в описах зустрічей у календарі.
Співробітники щоденно довіряють агенту підсумувати документи або перевірити їхній графік, не підозрюючи, що всередині цих файлів можуть ховатися пастки. Так, агент непомітно виконує зловмисні інструкції, навіть якщо користувач не відкриває запрошення чи документ.
Наскільки компанія вразлива?
Згідно зі звітом Snyk ToxicSkills, проаналізовано 3984 навичок агентів — 36% з них містили уразливості для “malicious prompt injection”. Зокрема, виявлено 1467 різних шкідливих навантажень і понад 8000 MCP-серверів, відкритих для загального доступу.
Це приклад так званої «Летальної тріади» — ситуації, коли агент одночасно має доступ до конфіденційної інформації (наприклад, файлів із зарплатами), одночасно опрацьовує дані з ненадійних джерел та здатен відправляти інформацію з мережі організації назовні.
Якщо така тріада з’являється в одному агента, успішна атака — лише питання часу.
Як захиститися у світі агентів з повним контролем?
Звичайного програмного захисту або пасивного блокування недостатньо. На основі підходів компанії Commit, найкращий захист полягає в поетапному впровадженні комплексної системи безпеки:
- Класифікування агентів за рівнем ризику:
- Рівень А — низькоризикові інструменти лише для читання, які можна схвалювати самостійно;
- Рівень В — агенти з правами внесення змін і доступом до чутливої інформації, що потребують людського підтвердження;
- Рівень С — автономні агенти, що запускають плагіни або працюють без нагляду, які вимагають затвердження CISO та імітації атак.
- Забезпечення багаторівневого захисту робочого оточення:
- Керування дозволами та ретельний контроль маркетплейсів;
- Управління доступом і суворе сегментування прав;
- Ізоляція функціональностей, щоб уникнути «Летальної тріади»;
- Моніторинг у реальному часі для виявлення та блокування витоків;
- Обмеження вихідного трафіку та запуск агентів у пісочниці.
Ключова зміна, яку мають здійснити керівники — прийняти AI-агентів як фактичних учасників робочого процесу з повноваженнями й контролем, а не як прості чатботи. Модель захисту повинна базуватися не на банальному блокуванні невірних результатів, а на активному, багатошаровому управлінні постачальницьким ланцюгом ШІ.
Автор — віцепрезидент із кібербезпеки в компанії Commit.
