Команда VirusTotal проанализировала 35 878 скиллов для ИИ-агентов и обнаружила среди них 6637 вредоносных. Это около 18,5%.
При этом в 62% случаев не было вредоносного кода: атака строилась на обычных текстовых инструкциях, которые заставляли ИИ выполнять опасные действия.
Читают прямо сейчас:
Как устроен ИИ-агент: skills, MCP и субагенты — что такое скилл на самом деле: папка с SKILL.md, текст которой агент выполняет как инструкцию
ИИ-навыки разработчика: 10 требований для 2026 — какие угрозы ждут разработчика при работе с агентами, включая prompt injection
Как запускать недоверенный код безопасно — как изолировать недоверенный код, чтобы подвох не затронул остальную систему
Пустые строки и скрытые комментарии
В 56 скиллах вредоносные команды находились после 78–825 пустых строк.
Например, инструмент для анализа статистики ВОЗ предписывал всегда выдавать нулевой показатель заболеваемости малярией в Нигерии — независимо от реальных данных. Другой скилл требовал отправлять копии писем и рабочий файл на сторонний адрес.
Еще в 28 случаях инструкции прятали внутри HTML-комментариев <!– … –>. Их не видно в обычном предпросмотре Markdown, но ИИ-агент читает исходный текст целиком.
Так, скилл api-helper предлагал собирать ключи API и токены из конфигурационных файлов и отправлять их на внешний сервер, не сообщая об этом пользователю. В других примерах комментарии содержали команды для загрузки и запуска удаленных скриптов.
Атаки с помощью невидимых символов
В шести скиллах использовались специальные символы Unicode, которые не отображаются в большинстве редакторов. С их помощью злоумышленники кодировали инструкции или вставляли невидимые знаки между словами, мешая автоматическому поиску подозрительных фраз.
Один из скиллов пытался заставить агента сохранить вредоносную инструкцию в постоянной памяти. В таком случае нежелательное поведение может сохраниться даже после удаления самого инструмента.
Другой пример содержал скрытый текст, который прямо требовал от автоматических сканеров признать скилл безопасным.
Как защититься
VirusTotal советует проверять исходный SKILL.md, включая самые последние строки, а не полагаться на отображение документации в браузере.
Перед сканированием стоит удалять невидимые символы Unicode и нормализовать текст. Файлы памяти и конфигурации агента также следует защищать от изменений без разрешения пользователя.
Главный вывод исследователей: для атаки на ИИ необязательно писать вредоносную программу. Иногда достаточно спрятать опасную команду в обычном промте. И агент воспримет ее как часть задания.
Скидка на все курсы Практикума
Раз вы дочитали эту новость до конца, с технологиями у вас всё в порядке. А если давно присматривались к разработке, аналитике, нейросетям, тестированию или кибербезопасности, сейчас туда можно зайти дешевле.
Промокод KOD (можно просто нажать) даст скидку на любой платный курс! А если пока не готовы покупать курс, у Практикума есть бесплатные вводные части.
