Независимый исследователь в области кибербезопасности Сайед Анас Мохиуддин (Syed Anas Mohiuddin) обнаружил фундаментальную уязвимость агентов искусственного интеллекта, которая не зависит от управляющих ими моделей или программной обвязки — ИИ-агенты по умолчанию полностью доверяют друг другу.

Мастерская локальных ИИ: салат картофельный с Qwen3.8

Групповое тестирование 46 видеокарт в The Witcher 3: Wild Hunt — Remastered

Сравнительный тест камер флагманских смартфонов (2026): итоги

Обзор HONOR Pad X9b Max: универсальный большой планшет с антибликовым экраном

Компьютер месяца, спецвыпуск: выбираем мини-ПК для работы и развлечений в эпоху дефицита чипов памяти

Лучший процессор под DDR4 в 2026 году: AM4 против LGA 1700

Выбираем лучшие игровые ноутбуки на российском рынке (вторая половина 2026 года)

Источник изображения: Aidin Geranrekab / unsplash.com

За последние пять месяцев Google и четыре другие организации, единственной общей чертой которых является использование ИИ-агентов в рабочем процессе, признали уязвимости, предполагающие взлом одного из них для распространения вредоносных инструкций среди других. Схема атаки представляет собой частный случай внедрения вредоносных подсказок, только объектом взлома является не большая языковая модель, а конкретный ИИ-агент, предназначенный, например, для перевода или анализа данных. Защитные механизмы в инфраструктуре агентов могут вообще отсутствовать или быть слабыми, позволяя им передавать по цепочке вредоносные инструкции — достаточно взломать лишь одного, и остальные последуют его указаниям.

Разработанные экспертом экспериментальные схемы атак эксплуатируют уязвимости доверия в протоколе Model Context Protocol, который широко используется для взаимодействия приложений и ИИ-агентов внутри сети. Серверы MCP хранят учётные данные для каждого агента, и агенты на уровне архитектуры доверяют друг другу внутри группы, поэтому атаки, которые отвергла бы ИИ-модель, срабатывают на уровне агентов. Во многих случаях надлежащим образом составленные запросы, нацеленные на нужного ИИ-агента, приводят к подделке запросов на стороне сервера, то есть сервер начинает отправлять несанкционированные сетевые запросы.

Схема атаки с передачей вредоносных инструкций по цепочке опасна потому, что обнаружить такую атаку сложно: каждый ИИ-агент делает то, для чего был разработан. Протокол создавался с расчётом на автономность, поэтому каждый ИИ-агент проверяет только собственную точку входа извне, а за цепочкой взаимодействия между ними никто просто не следит. Обнаруженная в сети компании Rapid7 уязвимость CVE-2026-97228, связанная с этой схемой атаки, получила рейтинг всего 2,7 из 10.

Источник изображения: Milad Fakurian / unsplash.com

А вот в сети Google обнаружилась более серьёзная уязвимость с рейтингом уже 8 из 10. Она возникла из-за того, что MCP-инструмент для работы с базами данных инициализировал свой HTTP-клиент вне политики CheckRedirect — набора настроек, который определяет, как сервер должен обрабатывать случаи, когда URL-адрес возвращает ошибку или производит перенаправление на другой адрес; целевые IP-адреса HTTP-клиент Google тоже не проверял. В результате при наличии подготовленного параметра пути MCP-инструмент направлялся на внутреннюю конечную точку и отправлял запросы от имени злоумышленника. Google решила проблему, развернув список разрешённых диапазонов IP-адресов и список блокировки.

Этот класс атак исследователь назвал «переключением протокола» (protocol pivoting): приложение или сервер назначают задачу ИИ-агенту через протокол MCP, и он пересылает вредоносные инструкции другим агентам, используя другие методы связи, например, протокол Google Agent-to-Agent (A2A), или новые стандарты, такие как Agent Network Protocol. При передаче авторизация или фактор доверия могут просто теряться. В результате злоумышленник получает первоначальный доступ через один протокол. ИИ-агент предполагает, что между протоколами установлено доверие и начинает пользоваться возможностями, которые доступны только через другой протокол.

Примечательно, что схема переключения протокола сработала в пяти организациях, в инфраструктуре которых не было ничего общего за исключением использования протокола MCP. Этот протокол уже повсеместно внедряется, но достаточного тестирования он ещё не прошёл и не имеет надлежащей защиты. Развёртывая ИИ-инфраструктуру, разработчики пренебрегают принципом нулевого доверия, который предполагает, что один или несколько узлов сети могут быть скомпрометированы. Их следует корректировать таким образом, чтобы для выполнения критически важных операций с другими узлами требовалась предварительная авторизация.

Одним из основных элементов взаимодействия моделей искусственного интеллекта с внешними сервисами является протокол MCP (Model Context Protocol). На следующей неделе он получит значительное обновление, которое может оказаться незаметным для конечных пользователей, но повлияет на развитие экосистемы.

Сравнительный тест камер флагманских смартфонов (2026): итоги

Компьютер месяца, спецвыпуск: выбираем мини-ПК для работы и развлечений в эпоху дефицита чипов памяти

Обзор HONOR Pad X9b Max: универсальный большой планшет с антибликовым экраном

Лучший процессор под DDR4 в 2026 году: AM4 против LGA 1700

Выбираем лучшие игровые ноутбуки на российском рынке (вторая половина 2026 года)

Мастерская локальных ИИ: салат картофельный с Qwen3.8

Групповое тестирование 46 видеокарт в The Witcher 3: Wild Hunt — Remastered

Источник изображения: and machines / unsplash.com

В обновлённой версии MCP изменится механизм обработки идентификаторов сессий — токенов, которые серверы используют, чтобы запоминать сеансы взаимодействия с ИИ. Сейчас при первом подключении ИИ к серверу модель представляется, сообщает свою версию и возможности, сервер присылает список собственных возможностей в ответ и выдаёт идентификатор сессии. Клиент (ИИ) отправляет этот идентификатор при каждом запросе, чтобы сервер мог продолжить взаимодействие. Иногда этот идентификатор истекает — в этом случае клиент запрашивает новый и продолжает работу.

На практике крупные службы управляют подключениями миллионов пользователей, и координирует эту работу балансировщик нагрузки — он направляет запросы на те серверы в кластере, которые свободны, иногда даже в другом регионе. Применительно к MCP каждая из этих машин должна знать идентификатор сессии, который выдала другая. Это возможно, но очень непросто и мешает работе балансировщика нагрузки. Другими словами, клиент помнит только один сервер, но трафик распределяется между десятками машин, которые по умолчанию не взаимодействуют друг с другом, и современным серверам MCP приходится выполнять дополнительную работу, чтобы отслеживать, кто есть кто. Из-за этой особенности компании пока не так часто выпускают крупномасштабные интеграции MCP от собственных разработчиков, несмотря на ажиотаж вокруг ИИ-агентов в этом году.

В новой версии протокола будет реализован подход к идентификаторам сессий на стороне сервера «без передачи состояния» (stateless) — аналогичным образом сейчас работает большинство обычных сайтов. Это поможет упростить обслуживание системы и, теоретически, снизить затраты на её эксплуатацию в больших масштабах. Инфраструктура для ИИ развивается не так быстро, как выходят новые модели, но всё-таки продвигается вперёд.

Соцсеть X упростила подключение к платформе помощников с искусственным интеллектом Claude, Cursor, Grok Build и других приложений, запустив новый MCP-сервер — интерфейс Model Context Protocol позволяет ИИ-сервисам обращаться к API платформы с учётом прав доступа учётной записи пользователя.

Компьютер месяца, спецвыпуск: выбираем мини-ПК для работы и развлечений в эпоху дефицита чипов памяти

Лучший процессор под DDR4 в 2026 году: AM4 против LGA 1700

Мастерская локальных ИИ: салат картофельный с Qwen3.8

Выбираем лучшие игровые ноутбуки на российском рынке (вторая половина 2026 года)

Групповое тестирование 46 видеокарт в The Witcher 3: Wild Hunt — Remastered

Сравнительный тест камер флагманских смартфонов (2026): итоги

Обзор HONOR Pad X9b Max: универсальный большой планшет с антибликовым экраном

Источник изображения: BoliviaInteligente / unsplash.com

Разработанный Anthropic открытый стандарт MCP используется как общепринятый способ подключения ИИ-моделей к внешним инструментам и сервисам. Ранее, если разработчики хотели подключить своих ИИ-помощников к соцсети X, им приходилось запускать собственные MCP-серверы, связывать их с X API и самостоятельно обрабатывать аутентификацию. При наличии MCP-сервера в сети самой X пользователи проходят аутентификацию штатными средствами только один раз. Благодаря этому разработчики могут экономить время, затрачиваемое на интеграцию, и заниматься тем, что действительно пытаются выпустить.

Стандартные инструменты X API позволяют искать публикации и пользователей, читать сообщения, анализировать обсуждения и тренды, а также делать многое другое. MCP-сервер в этом плане не открывает новых возможностей, но упрощает взаимодействие с сервисами ИИ. С ним X может позиционировать себя как информационную сеть с обновляемыми в реальном времени данными, а не просто как место для общения. Собственные MCP-ресурсы ранее подключили GitHub, Slack, Notion, Stripe и Salesforce.

В ответ на опасения, что с MCP-сервером на платформу хлынет поток спама, администрация сети сообщила, что подключение средств Write API не предусмотрено, то есть ИИ-сервисы не смогут публиковать посты в соцсети X. Кроме того, MCP-сервер не получится использовать для обхода средств защиты от спама — они продолжают действовать и здесь. Недавно платформа обновила API v2 для борьбы с генерируемым ИИ спамом и повысила цены на публикацию постов через API до $0,015 за обычный пост и до $0,20 за пост со ссылкой.

Исследователи в области кибербезопасности из компании OX Security обнаружили уязвимость в протоколе MCP (Model Context Protocol), работающую на уровне его архитектуры. Она затрагивает официальные SDK для языков Python, TypeScript, Java и Rust. Под угрозой программные решения со 150 млн загрузок и до 200 тыс. экземпляров серверов. Anthropic заявила, что вносить изменения в протокол не требуется, потому что такое поведение «ожидаемо».

Обзор HONOR Pad X9b Max: универсальный большой планшет с антибликовым экраном

Лучший процессор под DDR4 в 2026 году: AM4 против LGA 1700

Групповое тестирование 46 видеокарт в The Witcher 3: Wild Hunt — Remastered

Компьютер месяца, спецвыпуск: выбираем мини-ПК для работы и развлечений в эпоху дефицита чипов памяти

Выбираем лучшие игровые ноутбуки на российском рынке (вторая половина 2026 года)

Мастерская локальных ИИ: салат картофельный с Qwen3.8

Сравнительный тест камер флагманских смартфонов (2026): итоги

Источник изображений: anthropic.com

Anthropic представила открытый стандарт MCP в 2024 году — он позволяет моделям искусственного интеллекта подключаться к внешним инструментам, базам данных и API. В прошлом году компания передала его в Agentic AI Foundation при Linux Foundation; сейчас протокол используется в OpenAI, Google и в большинстве инструментов разработки с использованием ИИ. Уязвимость связана с тем, как MCP обрабатывает запросы через интерфейс STDIO — запросы передаются в точку выполнения команд без дополнительной проверки. То есть каждый использующий MCP разработчик автоматически наследует эту уязвимость.

Эксперты OX Security сформулировали четыре возможных семейства эксплойтов для этой уязвимости: внедрение вредоносного кода в пользовательский интерфейс без авторизации; обход средств безопасности на считающихся защищёнными платформах вроде Flowise; внедрение вредоносных запросов для IDE-сред, в том числе Windsurf и Cursor, которые могут выполняться без участия пользователя; и распространение вредоносных пакетов через платформы MCP. Чтобы подтвердить свою гипотезу, исследователи успешно внедрили тестовую полезную нагрузку в 9 из 11 реестров MCP и подтвердили возможность выполнения команд на шести рабочих коммерческих платформах.

В рамках исследования были установлены не менее десятка частных уязвимостей с высоким или критическим рейтингом. Уязвимости шлюза LiteLLM (CVE-2026-30623) и платформы Bisheng (CVE-2026-33224) значатся как закрытые; уязвимость Windsurf (CVE-2026-30615), допускающая локальное выполнение кода без участия пользователя имеет статус «сообщение получено» — тот же статус у уязвимостей открытых проектов GPT Researcher, Agent Zero, LangChain-Chatchat и DocsGPT.

OX Security, по её собственному заявлению, неоднократно рекомендовала Anthropic исправить эти уязвимости на уровне протокола, например, разрешив выполнять запросы только из манифеста или предусмотрев список разрешённых команд на уровне SDK, но в Anthropic ответили отказом и не стали возражать против оглашения информации об уязвимости.

При этом сейчас сама Anthropic расследует факт неавторизованного доступа к передовой модели Mythos; ранее компания также допустила утечку исходного кода сервиса Claude Code. Сейчас управление MCP передано Linux Foundation, но Anthropic всё ещё осуществляет поддержку эталонных SDK, в которых обнаружена уязвимость. Пока механизм работы STDIO не изменится, разработчикам придётся собственными силами реализовывать средства очистки входных данных.