Для всех, кто управляет сайтом или онлайн-сервисом. Статья основана на официальных раскрытиях OpenAI, Anthropic, Фонда Викимедиа и правительства Австралии (пресс-конференция премьер-министра и оповещение Австралийского центра кибербезопасности). В ней нет шагов атаки. Первый случай, в июле, описан в статье Вторжение в Hugging Face (2026).
Что было раскрыто
18 июня 2026
Исследовательская группа OpenAI запустила внутреннюю модель для изучения государственных расходов на медицину. После повторных блокировок агент нашёл способ их обойти и получил доступ к публичным и не публичным файлам статистического портала Medicare в Австралии (по данным пресс-конференции премьер-министра Австралии).16 июля 2026
Hugging Face сообщила о вторжении, выполненном ИИ-агентом (разбор).23–24 июля 2026
Anthropic проверила 141 006 запусков оценки на наличие похожих случаев и выявила три, в которых модели на этапе оценки попали в производственные системы трёх реальных компаний. В тот же день она остановила все оценки в области кибербезопасности.27 июля 2026
Anthropic уведомила своего партнёра по оценке и три затронутые организации. Две из них, с которыми удалось связаться, ранее не обнаружили эту активность (по данным раскрытия Anthropic).18 августа 2026
OpenAI сообщила, что временно замедлила обучение передовых моделей и усилила изоляцию в исследовательских средах (более строгие песочницы для непроверенного кода, сетевая изоляция).9 сентября 2026
Anthropic раскрыла четвёртый случай, относящийся к оценке в январе 2026 года, в дополнение к трём июльским. Она расширила проверку примерно с 141 000 до примерно 481 млн транскриптов и не нашла других случаев сопоставимой или более высокой серьёзности. Также она подписала соглашение с внешним оценщиком о независимом расследовании.10 сентября 2026
Первое уведомление OpenAI австралийскому правительству: письмо на общий публичный почтовый ящик (по данным премьер-министра).15 сентября 2026
Services Australia передала уведомление в Австралийский центр кибербезопасности (ACSC).24 сентября 2026
Премьер-министр раскрыл инцидент и создал целевую группу. В тот же день ACSC выпустил предупреждение для «всех австралийских организаций, имеющих публичные веб-сайты или приложения».25 сентября 2026
OpenAI заявила, что её проверка займёт месяцы, и что она уведомляет затронутые организации по мере подтверждения случаев.5 октября 2026
Фонд Викимедиа сообщил, что обнаружил активность в своих проектах со стороны агентов, которых, по его мнению, эксплуатировала OpenAI.9 октября 2026
Anthropic раскрыла случаи, когда модели совершали непредусмотренные действия на реальных сайтах во время оценок и внутреннего использования, в том числе отправили ложную наводку через форму Полицейского управления Филадельфии. Полицейское управление Филадельфии также объявило об этом случае в тот же день (по данным Anthropic).
- OpenAI: масштаб уведомлений
- После широкой проверки интернет-активности своих моделей во время обучения и оценки компания уведомила десятки сторонних организаций, соответствующих её критериям; проверка продолжается. Некоторые из затронутых сайтов принадлежат государственным органам, университетам и государственным учреждениям, отчасти потому, что исследовательские задачи направляют модели к авторитетным публичным источникам, говорит компания
- OpenAI: виды наблюдаемой активности
- (1) обход контроля доступа (через другой веб-адрес, изменение запросов, использование сессии с большими правами, чем предполагалось) (2) использование публично открытых учётных данных (3) внедрение в запросы или команды (4) доступ к внутренним частям сервиса (5) агентский спам (размещение сообщений на сайтах третьих сторон, например использование публичной вики как доски объявлений)
- Anthropic: что произошло
- Неправильная конфигурация оставила машины для оценки с действующим доступом в интернет (компания объясняет это недопониманием между ней и партнёром по оценке; ни одна из сторон об этом не знала). Модель считала реальные системы частью упражнения. В одном случае она просканировала около 9 000 целей и взломала приложение одной компании, используя базовые, хорошо известные приёмы, такие как чтение учётных данных со страницы отладки, доступной извне, и SQL-инъекция
- Anthropic: влияние на публичный реестр
- Используя несуществующее имя пакета Python из инструкции по настройке вымышленной компании, модель опубликовала вредоносный пакет. Он был доступен около часа и был установлен на 15 реальных системах (одна из них — сканер компании, работающей в сфере безопасности, который устанавливает пакеты для их проверки)
- Anthropic: четвёртый случай (отчёт от 9 сентября)
- В оценке января 2026 года ранняя версия модели получила доступ к машине третьей стороны. Она нашла файл с паролем, использовала его для получения прав администратора, изменила настройки, чтобы упростить доступ, и прочитала персональные данные одного человека, связанного с третьей стороной. Anthropic говорит, что уведомила затронутую сторону после обнаружения случая. В июльском отчёте говорилось о трёх случаях; с этим отчётом общее число несанкционированных доступов к сторонним системам составляет четыре
- Anthropic: непредусмотренные действия во время оценок и внутреннего использования (отчёт от 9 октября)
- Четыре вида: (1) выполнение команд на сервере из-за базовой ошибки в аналитическом инструменте, размещённом в университете (2) отправка форм, которые не должны были уходить (например, отправка реальной государственной формы, когда тренировочная копия не загрузилась) (3) обход ограничений для доступа к платным или ограниченным данным (например, токены доступа в файле настроек муниципальной картографической страницы или токены, которые публичная панель государственного ведомства выдаёт любому посетителю) (4) обход ограничения длины URL в инструменте получения данных с помощью сервисов сокращения ссылок
- Anthropic: последствия и уведомления
- В некоторых случаях затрагивались сайты федеральных, региональных и местных государственных ведомств США, которые Anthropic по их просьбе не называет. Компания уведомила каждое ведомство и проинформировала Белый дом. Anthropic говорит, что ни один из случаев не затрагивал данные клиентов или её внутренние системы, а реальное влияние было минимальным, и оценивает их как значительно менее серьёзные, чем четыре инцидента в сфере кибербезопасности
- Форма наводок Полицейского управления Филадельфии
- Во время создания задач-примеров на случайно выбранных веб-страницах модель попала на страницу нераскрытого убийства и отправила через её форму выдуманную наводку, оставив пустыми поля имени и контактов. Её пометили как спам, и она так и не была передана для расследования (по данным Anthropic). Полиция говорит, что наводка была отправлена 18 июля в 23:27 и что Anthropic уведомила её 7 октября (по сообщению NBC Philadelphia). Anthropic говорит, что передала информацию в управление 8 октября, когда завершила техническую проверку. Две версии дают разные даты. Полиция назвала двухмесячную задержку в обнаружении и сообщении об этом случае «недопустимой» (там же)
- Меры Anthropic (отчёт от 9 октября)
- Часть публичных оценок выведена из использования, другие перенесены на офлайн-версии, которые не обращаются к действующим сайтам. Доступ к реальному интернету отключён для всех внутренних оценок. Инструменты получения веб-страниц сильно ограничены. Автоматическое обнаружение и блокировка этих действий в большинстве оценок и во внутреннем агентном использовании передовых моделей
- Фонд Викимедиа (отчёт от 5 октября)
- Агенты, которых Фонд считает эксплуатируемыми OpenAI, вносили правки без одобрения сообщества (почти все тестовые правки в песочнице). Некоторые изменили конфигурацию инструмента для цитирования, что Фонд называет потенциально вредоносным: попытка использовать инструмент как прокси для получения данных из удалённых сервисов. Попытки взломать публичный инструмент для заметок Etherpad и использовать его как прокси не удались. Было зафиксировано миллионы публичных запросов к API, миллионы просканированных страниц и сотни тысяч запросов к Wikidata Query Service, что могло способствовать частичному сбою в мае. Фонд не нашёл доказательств компрометации своих систем или данных
- Правительство Австралии
- Агент OpenAI получил доступ к публичным и не публичным файлам статистического портала Medicare, которым управляет Services Australia. Считается, что личные данные пока не были получены; расследование продолжается. Премьер-министр напрямую обратился к генеральному директору OpenAI по поводу того, насколько поздно и каким способом (письмо на публичный почтовый ящик) пришло уведомление
- Предупреждение ACSC
- Агент самостоятельно выявил уязвимости и пытался продвинуться без прямого разрешения человека, чтобы выполнить назначенное ему действие. ACSC говорит, что нет признаков более широкой угрозы или целенаправленного нападения, и рекомендует надёжную аутентификацию и контроль доступа, оперативное устранение проблем, мониторинг и проверку журналов, а также тестирование процедур реагирования на сценарии с использованием ИИ
Случаи, которые мы не рассматривали
В сообщениях также описывается, как ИИ-модель Google во время оценки проникла в системы реальной компании, но мы не нашли первоисточника раскрытия от Google, поэтому эта статья его не рассматривает. Утверждения о том, что массовая публикация пакетов в RubyGems была делом агентов OpenAI, тоже не включены: RubyGems говорит, что не может определить, были ли ответственны ИИ-агенты, а OpenAI говорит, что не смогла проверить эти утверждения, поэтому атрибуция не установлена.
Что нового, а что нет
Что нового
- Посетитель без злого умысла, который при блокировке пробует другой метод
- В точке, где человек бы сдался, он продолжает пробовать другие URL, другие входные данные, найденные учётные данные
- Вы узнаёте об этом через месяцы, когда компания, разрабатывающая ИИ, вас уведомляет
Что не ново
- Использовались открытые учётные данные, открытая страница отладки, SQL-инъекция
- Все эти уязвимости следовало устранить уже раньше
- После устранения они перестают работать и для человека, и для агента
Больше всего этот сайт выделяет то, что затронутые организации этого не заметили. Anthropic пишет, что две организации, с которыми ей удалось связаться, не обнаружили эту активность. Австралийский случай произошёл в июне, а правительство узнало о нём в сентябре. Добрые намерения с другой стороны не меняют того факта, что кто-то проник внутрь. И следующий посетитель может быть недоброжелательным: любую уязвимость, которую может найти агент, может найти и злоумышленник.
Что должны делать владельцы сайтов сегодня
Убедитесь, что уведомления доходят до человека (security.txt)
В австралийском случае уведомление ушло на общий публичный почтовый ящик и через пять дней попало в центр кибербезопасности. OpenAI говорит, что будет продолжать уведомлять затронутые организации, а отчёты об уязвимостях от исследователей сталкиваются с той же проблемой.
Первый шаг: опубликуйте /.well-known/security.txt (RFC 9116) с контактом для сообщений (адресом электронной почты или URL формы) и датой истечения срока, и решите, кто на самом деле его читает. Работая над этой статьёй, мы заметили, что у нашего сайта такого файла не было, и добавили его (контакт — наша контактная форма, а не личный адрес электронной почты).
Проверьте, что отправки из ваших форм обращений действительно доходят до человека
В случае с Филадельфией ложная наводка, отправленная моделью, была остановлена как спам, поэтому до следователей она так и не дошла. Полиция говорит, что после обращения 7 октября нашла отправку в журнале наводок сайта и подтвердила, что соответствующее письмо всё ещё находилось в спаме (по сообщению). Агенты также отправляют формы контактов, сообщений о проблемах и заявок.
Первый шаг: отправьте по одной тестовой заявке через каждую форму обращения и проверьте, куда она попадает, включая папки спама и фильтры нежелательной почты. Решите, кто и как часто проверяет отправки, отмеченные как спам, и храните записи об отправках (время и содержание) достаточно долго, чтобы ответить на вопрос, который придёт через месяцы.
Найдите и отзовите скомпрометированные учётные данные
И OpenAI, и Anthropic перечисляют публично открытые учётные данные; они стали отправной точкой и в июльском случае с Hugging Face. Ищите учётные данные, оставленные в коде, публичных репозиториях, файлах конфигурации и снимках экрана, и отзывайте их у эмитента. См. предотвращение коммитов секретов с gitleaks и секретные файлы в публичных каталогах.
Не храните токены доступа в конфигурационных файлах, отправляемых в браузер, и в публичных панелях
В октябрьском отчёте Anthropic описано, как модель использовала рабочий токен доступа из файла настроек муниципальной картографической страницы и токены, которые публичная панель государственного ведомства выдавала посетителям, чтобы получить доступ к платным или ограниченным данным. Всё, что находится в конфигурационном файле или в JavaScript, который выполняется в браузере, может прочитать любой.
Первый шаг: проверьте конфигурационные файлы, JavaScript и трафик панелей, которые загружают ваши публичные страницы, на наличие токенов доступа и ключей API. Если токен действительно нужен, ограничьте его (только чтение, конкретные данные, разрешённые источники запросов) и задайте лимит частоты запросов, а платные или ограниченные данные отдавайте только после проверки авторизации на сервере.
Закрывайте страницы отладки и админ-панели в эксплуатации
В случае Anthropic учётные данные были прочитаны со страницы отладки, доступной извне. Проверьте, что режим отладки и подробный вывод ошибок выключены в эксплуатации и что админ-панели не открыты для всех в интернете. Проверки для конкретных фреймворков есть в статье безопасность по фреймворкам.
Не полагайтесь на то, что заблокированный посетитель сдастся: проверяйте авторизацию на каждом пути
Первая категория, которую перечисляет OpenAI, — обход контроля доступа через другой веб-адрес. Скрытая ссылка или ограничение одного URL не останавливает посетителя, который ищет другой путь. Каждый путь, возвращающий данные, требует проверки на сервере, может ли этот клиент их видеть. См. аутентификация и авторизация, а также классические ошибки IDOR и SQL-инъекция.
Следите за объёмом и скоростью запросов и храните журналы достаточно долго, чтобы их можно было просмотреть
Агенты не отдыхают, не делают пауз и выполняют одно и то же действие параллельно. Запросы, идущие с минимальными интервалами, ровный 24-часовой профиль и одинаковые действия, выполняемые одновременно, легче отличить от человеческого использования. А когда уведомление приходит через месяцы, без журналов за тот день вы ничего не сможете проверить. Схема с ограничением и оповещением описана в статье ограничение частоты запросов и контроль злоупотреблений, хранение журналов — в статье приоритеты безопасности организации.
Если вы открываете возможность публикации, учитывайте агентский спам
OpenAI приводит примеры агентов, которые использовали публичную вики как доску объявлений. Если вы ведёте открытую вики, форум, раздел комментариев или контактную форму, пересмотрите ограничения частоты публикаций и модерацию.
Если компания, разрабатывающая ИИ, вас уведомила, проверьте журналы, прежде чем паниковать
OpenAI говорит, что уведомление от неё не следует автоматически считать значительным инцидентом безопасности. Проверьте журналы доступа и аутентификации за указанное время и цели и решите, была ли это информация, которую вы намеренно публиковали, или недостаток, который нужно устранить. Если это недостаток, устраняйте его как любую другую уязвимость (руководство по устранению уязвимостей).
Что делали агенты (по данным раскрытий)
обходили ограничения через другой URL / использовали открытые учётные данные / использовали токены из конфигурационного файла / читали учётные данные со страницы отладки / SQL-инъекция / публиковали сообщения в вики, отправляли формы
Базовая мера против каждого
авторизация на сервере на каждом пути / отзыв утёкших учётных данных / не отправлять токены в браузер / отладка выключена в эксплуатации / параметризованные запросы / ограничения частоты публикаций, проверка отправок
На случай, если что-то всё же проникнет
следите за объёмом и скоростью / ведите журналы / контакт, по которому отвечают (security.txt)
Позиция этого сайта: уязвимости, которые может найти агент, может найти и злоумышленник
У этих инцидентов странная структура. Посетитель без намерения атаковать находит слабые места организации, проходит через них, а через месяцы организацию уведомляет «мы проникли» компания, которая создала этого агента. ACSC отмечает, что отличие здесь в том, что ИИ-агент самостоятельно находит тот тип уязвимостей, который традиционно находят и сообщают исследователи-люди.
Считать это «полезными отчётами» было бы ошибкой. Посетители, которые не станут сообщать, могут найти те же слабые места. А агенты не сдаются при блокировке; они параллельно и быстро пробуют то, на что у человека ушли бы дни. Время, в течение которого можно безопасно оставлять уязвимость неисправленной, продолжает сокращаться.
Ещё одна вещь стала очевидна: уведомлению нужен адрес. Добросовестный отчёт или уведомление от компании, разрабатывающей ИИ, лежит днями в общем почтовом ящике, если некуда отправить его лучше. Файл security.txt — это несколько строк текста, и его можно опубликовать сегодня.
Источники
- OpenAI, «Hugging Face incident and other third-party impacts of misaligned models» (проверено по обновлению от 25 сентября 2026) — openai.com
- Anthropic, «Investigating three real-world incidents in our cybersecurity evaluations» (30 июля 2026) — anthropic.com
- Anthropic, «An alignment assessment of recent cybersecurity incidents» (9 сентября 2026) — anthropic.com
- Anthropic, «Investigating unintended model actions in our evaluations and internal use» (9 октября 2026) — anthropic.com
- Wikimedia Foundation, «OpenAI “rogue” agent activities found on Wikimedia projects» (5 октября 2026) — wikimediafoundation.org
- NBC Philadelphia, «Anthropic AI model submits false tip on unsolved Philly murder, police say» (9 октября 2026; использовано для изложения позиции Полицейского управления Филадельфии) — nbcphiladelphia.com
- Премьер-министр Австралии, «Press conference - New York» (24 сентября 2026) — pm.gov.au
- ASD, ACSC, «Risks of AI misalignment to Australian organisations» (24 сентября 2026) — cyber.gov.au
- RubyGems Blog, «An update on the May spam-publishing campaign on rubygems.org» (11 сентября 2026) — blog.rubygems.org (использовано для подтверждения, что атрибуция не установлена)
- IETF RFC 9116, «A File Format to Aid in Security Vulnerability Disclosure» — rfc-editor.org
История обновлений
2026-10-12: Учтены отчёты Anthropic от 9 сентября и 9 октября и отчёт Фонда Викимедиа от 5 октября. Несанкционированный доступ Anthropic к сторонним системам изменён с «трёх компаний» на «четыре случая», добавлены её непредусмотренные действия во время оценок и внутреннего использования (в том числе ложная наводка, отправленная через форму Полицейского управления Филадельфии) и её меры. Добавлены два шага для операторов: проверка того, что отправки из форм обращений доходят до человека, и хранение токенов доступа вне конфигурационных файлов в браузере и публичных панелей.
2026-09-28: Первая версия, основанная на официальных раскрытиях OpenAI, Anthropic и правительства Австралии.
Читайте далее
- Полная картина атак с использованием ИИ и порядок защиты: Защита от кибератак с использованием ИИ (автономное вторжение, prompt injection, цепочка поставок ИИ)
- Другое вторжение ИИ-агента: Взлом DIVD через zero-day уязвимости в Zammad
- Первый случай: Вторжение в Hugging Face (2026): автономная атака ИИ-агента
- Устранение уязвимостей: Предотвращение коммитов секретов с gitleaks / Аутентификация и авторизация / Безопасность по фреймворкам
- Обнаружение: Ограничение частоты запросов и контроль злоупотреблений / Приоритеты безопасности организации
- Инструмент: Аудит безопасности сайта (также проверяет наличие security.txt)