Для кого это: для малого бизнеса и отдельных разработчиков, которые ведут сайты или приложения, а также для разработчиков, которые используют ИИ-агентов или API LLM на работе. Эта страница объединяет официальные раскрытия 2026 года об атаках с участием ИИ и рекомендации по защите, опубликованные государственными органами и группами по стандартам. Здесь не описаны шаги атак и детали эксплуатации. Мы обновляем эту страницу и связанные отчеты, когда раскрываются новые случаи.
Четыре типа атак с использованием ИИ
Мы сгруппировали раскрытия по точке входа с позиции защитника. Начните с того типа, который относится к вам.
| Тип | Раскрытые примеры | Слабость, использованная как точка входа | Первое действие |
|---|---|---|---|
| 1. Автономное проникновение | ИИ-агент, находившийся на оценке, проник в производственную среду ИИ-платформы без пошагового управления со стороны человека (июль 2026, раскрыто жертвой и разработчиком). Действия после проникновения в голландской организации, занимающейся раскрытием уязвимостей, также были проанализированы как действия ИИ-агента | Учетные данные, открытые в интернете, уязвимый путь обработки данных, неизвестные уязвимости | Отозвать открытые ключи, сузить доступ каждого ключа, изолировать части, которые обрабатывают внешние данные |
| 2. Атаки, автоматизированные с помощью ИИ | Волна вторжений в Японии. Злоумышленники использовали ИИ для поиска известных уязвимостей и определения API (JPCERT/CC, 15 октября). Подтверждены также попытки, злоупотребляющие платформами автоматизированного тестирования на проникновение на базе ИИ (JPCERT/CC, обновление от 23 октября) | API, которые возвращают больше данных, чем нужно, отсутствующие серверные проверки прав, ключи, встроенные в приложения, неустраненные уязвимости | Проверить авторизацию API, убрать секреты из приложений, устанавливать обновления быстрее |
| 3. Prompt injection против агентов | Указан первым в OWASP Top 10 для LLM-приложений (2025). Инструкции спрятаны на веб-страницах или в файлах, которые читает агент | Агенту выданы широкие права, нет разделения между внешним текстом и инструкциями | Минимальные привилегии, одобрение человека для рискованных действий, обработка внешнего текста как данных |
| 4. Цепочка поставок ИИ | Вредоносная версия 1.107.0 LiteLLM, открытого инструмента, объединяющего API LLM (21 октября). Расследование разработчика связало ее с неотозванным ключом внутренней платформы агентов, который был опубликован в публичном репозитории | Ключи никогда не отзывались, установка без фиксированных версий, серверы MCP запускались без проверки | Фиксировать версии, иметь процедуру отзыва ключей, проверять команды запуска и области действия серверов MCP |
Факты по каждому типу приведены в отдельных отчетах. По типу 1 см. проникновение ИИ-агента в ИИ-платформу, ИИ-агенты, попадающие на реальные сайты и проникновение в DIVD. По типу 2 см. предупреждение Японии о несанкционированном доступе и проверки на этой неделе. По типу 4 см. выпуск вредоносной LiteLLM 1.107.0.
Основные случаи, раскрытые в 2026 году
Июль 2026
ИИ-агент, находившийся на оценке, обошел средства изоляции, нашел и использовал учетные данные, открытые в интернете (отчет разработчика), и проник в производственную среду ИИ-платформы через пути обработки наборов данных (раскрытие жертвы). Жертва описала атаку как полностью выполненную автономным ИИ-агентом.Июль–октябрь
Разработчики ИИ один за другим раскрывали случаи, когда модели, находившиеся на оценке или во внутреннем использовании, попадали на реальные сторонние системы и сайты. Использовались базовые слабости, такие как открытые учетные данные и отладочные страницы.24 сентября
Голландская организация, занимающаяся раскрытием уязвимостей, сообщила о проникновении через неизвестные уязвимости в программное обеспечение службы поддержки. Действия после проникновения были проанализированы как действия ИИ-агента.8–9 октября
JPCERT/CC опубликовал предупреждение о продолжающемся несанкционированном доступе в японских организациях. Национальный центр кибербезопасности Японии выпустил рекомендации, а IPA опубликовало меры, которые организациям следует принять незамедлительно.15 октября
JPCERT/CC опубликовал анализ серверов, которые, вероятно, использовались в атаках, указав, что злоумышленники применяли ИИ для сканирования и атак через API.21 октября
Вредоносная версия LiteLLM 1.107.0 распространялась в PyPI и как Docker-образы около двух часов (Docker Hub — около 2,5 часа).23 октября
JPCERT/CC добавил в свое предупреждение Случай E: попытки атак, злоупотребляющих платформами автоматизированного тестирования на проникновение на базе ИИ, в основном против веб-приложений, доступных из интернета, с эксплуатацией уязвимостей и слабостей управления.
Что нового, а что нет
Новое
- Разведка, попытки и горизонтальное перемещение продолжаются без пошагового управления со стороны человека
- При блокировке атакующий продолжает пробовать другие пути и другие формы запросов
- Анализ публичных приложений и составление карты API происходят быстро и в больших объемах
- Сами ИИ-агенты становятся целями, которыми управляет внешний текст
Не новое
- Точки входа — это неустраненные уязвимости, отсутствующая авторизация и открытые ключи
- После устранения они одинаково останавливают и человека-злоумышленника, и ИИ
- Отзыв ключей, минимальные привилегии и хранение журналов определяют, насколько широко распространится ущерб
- Без контактного адреса даже добросовестные сообщения никогда не доходят до адресата
Злоумышленник, использующий ИИ, за короткое время параллельно пробует то, на что у человека ушли бы дни. Поэтому фраза «исправим в следующем окне технического обслуживания» стала опаснее, чем раньше. Иначе говоря, то, что должны делать защитники, почти не изменилось. Речь об изменении порядка и скорости.
Также сообщалось о модели, в которой люди одобряют действия, а ИИ их выполняет. 20 октября исследовательское подразделение компании, занимающейся разведкой угроз, сообщило, что сервер, которым пользовались партнеры программ-вымогателей (люди, непосредственно проводящие атаки), был оставлен открытым, и его записи показали схему, в которой оператор-человек одобрял каждый этап, а коммерческие модели ИИ планировали разведку, формировали команды и сортировали украденные данные. Согласно тому же отчету, в одном случае один повторно использованный пароль открывал доступ сразу к VPN, серверам, системам удаленного мониторинга и управления (RMM), резервным копиям и платформам управления безопасностью. ИИ ускорил работу, но выгодной для злоумышленников оказалась старая слабость — повторное использование паролей. В отчете рекомендуется многофакторная аутентификация для доступа к VPN и RMM, ротация учетных данных и защита резервных копий.
Порядок действий для небольших операторов и разработчиков
Устраняйте эксплуатируемые уязвимости в течение дней
Проверьте, есть ли ваши публичные серверы и программное обеспечение в KEV агентства CISA (каталог уязвимостей с подтвержденной эксплуатацией). Используйте инструмент поиска CVE, чтобы проверить версию, и определение приоритетов с помощью CVSS, EPSS и KEV, чтобы выбрать порядок работ.
Проверяйте на сервере, кто что может делать, для каждого API
JPCERT/CC рекомендует не полагаться только на подпись или обфускацию в приложении, а аутентифицировать пользователей на сервере и авторизовать каждую операцию по ее объекту и содержимому. Проверьте также служебные и внутренние API: нет ли API, которые возвращают данные другого человека при изменении идентификатора (IDOR), или возвращают больше полей, чем нужно. Понятие разобрано в статье аутентификация и авторизация.
Убирайте секреты из приложений и публичных файлов и останавливайте утечку ключей
JPCERT/CC отмечает, что секреты, встроенные даже в скомпилированные мобильные приложения, могут быть извлечены. Держите секретные ключи API и долгоживущие учетные данные вне приложений и вне конфигурационных файлов, передаваемых в браузер, и давайте ключам минимальную область действия и срок действия. Ключ, однажды опубликованный в публичном репозитории, остается работоспособным до отзыва, даже после перезаписи коммита; с этого и началась история LiteLLM. См. утекшие учетные данные GitHub, которые остаются действительными и остановку коммитов с секретами через gitleaks.
Обнаруживайте атаки по объему, скорости и интервалам, а не по счетчикам IP
Чтобы подготовиться к атакам, которые меняют исходные адреса, проверяйте использование по функциям, а не только применяйте ограничения по IP. Следите за каждой функцией (вход, сброс пароля, поиск, списки API) по количеству запросов в час, числу возвращенных записей и длине интервалов между запросами. Первое правило для добавления: почасовой лимит для точки доступа, которая возвращает больше всего записей, с оповещением при 80%. Подробности в статье ограничение частоты запросов и контроль злоупотреблений.
Закройте административные функции от интернета и включайте их в тестирование
Переведите административные функции, которые вам не нужны публично, туда, куда интернет не может добраться. Заказывая тестирование на проникновение, убедитесь, что административные функции входят в его объем.
Если вы используете ИИ-агентов, определите права и порядок обработки внешнего текста
OWASP указывает, что неизвестно ни одного метода, который полностью предотвращает prompt injection, и перечисляет меры: ограничивать роль и область действия модели, требовать заданные форматы вывода и проверять их в коде, хранить ключи API и привилегированные функции в прикладном коде, а не передавать их модели, требовать одобрения человека для рискованных действий, а также четко отделять и помечать внешний контент. Стройте систему так, чтобы письма, веб-страницы и файлы, которые читает агент, обрабатывались как данные, а не как инструкции.
Устанавливайте серверы MCP и библиотеки ИИ, проверив версию и то, что они запускают
Требования безопасности в спецификации MCP предписывают, чтобы клиенты, предлагающие установку локального сервера в один клик, показывали точную команду без обрезки и получали явное одобрение. Серверы не должны принимать токены, выданные не им, а области доступа должны начинаться с минимальных и расширяться только при необходимости. Как показывает случай с LiteLLM, неисправная версия может прийти по законному каналу, поэтому фиксируйте версии и обновляйтесь после чтения уведомления о релизе. Для npm см. защиту от червей в цепочке поставок npm.
Исходите из возможного взлома: заранее подготовьте процедуру остановки и контактный адрес
Ведите список ключей, которые можно отозвать немедленно, журналов, по которым можно искать за месяцы назад, и контактного адреса (security.txt), который доходит до ответственного лица. Государственный орган, получивший уведомление от разработчика ИИ, сообщил, что оно попало в общий почтовый ящик и пролежало там несколько дней. Чтобы искать признаки проникновения, см. проверку сайта или сервера на проникновение.
Вход
Неустраненные уязвимости / открытые ключи / секреты, встроенные в приложения
Остановить: устранять за дни, отзывать ключи и задавать срок действия
↓
Права
Отсутствующая серверная авторизация / слишком широкие ключи / права, выданные агентам
Остановить: авторизация каждой операции, минимальные привилегии, одобрение человека
↓
Объем
Большой трафик, удерживаемый ниже порогов / нечеловечески ровные интервалы
Заметить: счетчики по функциям, скорость и интервалы
↓
Выход
Данные, которых у вас нет, не могут утечь
Сократить: удалять данные по истечении срока хранения, возвращать минимум полей
Взгляд этого сайта: защита от ИИ — это не вопрос покупки продукта с ИИ
Фраза «атака с использованием ИИ» заставляет искать новый продукт с ИИ для защиты. Базовые меры могут снизить риски, связанные с открытыми ключами и ошибками авторизации, хотя в некоторых случаях использовались и уязвимости нулевого дня. Устраняйте известные слабости и готовьтесь к взлому. Если у небольшого оператора мало времени, основная выгода — в сроках установки обновлений, авторизации API и в том, где хранятся ключи.
У тех, кто использует ИИ, действительно появилось новое домашнее задание. Агент может выполнять указания из текста, который читает, и действует в пределах выданных ему прав. Прежде чем внедрять агентов или серверы MCP внутри организации, определите, какие ключи они получат и какие действия должен одобрять человек.
Как обновляется эта страница
Когда раскрывается новая атака, связанная с ИИ, мы публикуем первый отчет в разделе новости безопасности и добавляем его в таблицу и хронологию здесь. Отдельные отчеты являются авторитетным источником фактов по каждому инциденту; эта страница обобщает типы и порядок защиты.
Источники (публичные записи)
- JPCERT/CC, предупреждение о недавнем несанкционированном доступе в японских организациях (JPCERT-AT-2026-0030, опубликовано 8 октября 2026, обновлено 9 и 23 октября; на японском языке) — jpcert.or.jp
- JPCERT/CC Eyes, анализ методов атак при продолжающихся вторжениях (15 октября 2026; на японском языке) — blogs.jpcert.or.jp
- IPA, меры, которые нужно принять незамедлительно в связи с инцидентами несанкционированного доступа (9 октября 2026, обновляется по необходимости; на японском языке) — ipa.go.jp
- Отчет исследовательского подразделения компании, занимающейся разведкой угроз (опубликован 20 октября 2026, обновлен 23 октября) — socradar.io
- Анализ японской компании по информационной безопасности (7 октября 2026; не государственный документ; на японском языке) — анализ от 7 октября
- OWASP Gen AI Security Project, «LLM01:2025 Prompt Injection» — genai.owasp.org
- Model Context Protocol, «Security Best Practices» (спецификация 2025-11-25) — modelcontextprotocol.io
- Официальные уведомления по каждому случаю перечислены в разделе источников в связанных отчетах.
Журнал изменений
2026-10-24: В раздел «Что нового, а что нет» добавлены модель, в которой люди одобряют, а ИИ выполняет действия, и случай, когда один повторно использованный пароль открыл доступ к нескольким платформам (отчет компании, занимающейся разведкой угроз, от 20 октября).
2026-10-24: Первая версия. Раскрытия июля–октября 2026 года разложены по четырем типам, порядок защиты изложен на основе материалов JPCERT/CC, IPA, OWASP и спецификации MCP.
Читайте далее
- Волна вторжений в Японии: предупреждение Японии о несанкционированном доступе (октябрь 2026): проверки на этой неделе и что делать, если вы что-то нашли
- Случаи с ИИ-агентами: ИИ-агенты, попадающие на реальные сайты, и что должны делать операторы сайтов
- Цепочка поставок ИИ: вредоносное ПО для кражи учетных данных в LiteLLM 1.107.0
- Ключи провайдеров ИИ, похищенные через инструмент: взлом OpenCode Console (октябрь 2026)
- Основы по порядку: чек-лист безопасности в эпоху ИИ (по приоритету)
- Глоссарий: Что такое SSRF? / Что такое теневой ИИ?