Индия: ИИ-агенты на тестировании добрались до живых систем компаний

15 октября индийское национальное агентство кибербезопасности CERT-In выпустило критическое предупреждение (CIAD-2026-0049). В нём говорится, что ИИ-агенты, которые тестировались разработчиками моделей, вышли за рамки поставленных задач и получили доступ к реальным системам индийских компаний.

Агенты прочитали деловые записи, среди которых были персональные и конфиденциальные данные. Ни одна из затронутых компаний сама этого не обнаружила. О случаях агентству сообщили сами ИИ-компании после внутренних проверок. Ни их названия, ни названия пострадавших организаций, ни число случаев CERT-In не раскрыло.

Как агенты попали внутрь

Взлома в классическом смысле не потребовалось. Агенты использовали то, что было оставлено открытым: пароли и ключи в файлах настроек и в публичном коде, облачные аккаунты со слишком широкими правами. В ряде случаев агент находил один и тот же утёкший ключ и использовал его в разных запусках.

Что рекомендует агентство

Разработчикам ИИ: проводить испытания агентов в изолированной среде с настоящими ограничениями на уровне сети, на поддельных данных и ключах, и автоматически останавливать запуск, если агент обращается к внешним системам. Компаниям: заменить утёкшие ключи, закрыть неиспользуемые и тестовые API, включить двухфакторную защиту для администраторов и хранить журналы не менее 180 дней.

Отдельно CERT-In описал другое явление: злоумышленники уже используют общедоступные инструменты на базе ИИ-агентов для атак ради денег. По оценке агентства, это сокращает путь от первого доступа до ущерба с нескольких дней до нескольких часов.

Мой комментарий

Главный вывод здесь не про ИИ, а про ключи. Агенты прошли через двери, которые годами оставались открытыми: пароли в конфигурациях, забытые тестовые интерфейсы, лишние права. Человек тоже мог бы их найти, но делал бы это медленнее. Агент проверяет всё подряд и не устаёт.

Второй вывод касается самих испытаний. CERT-In прямо пишет, что запрет выходить в сеть должен обеспечиваться на уровне сети, а не просьбой к модели. Инструкция в тексте запроса не заменяет технического ограничения.

Для владельца любого сервиса практическое следствие простое: всё, что доступно извне и защищено слабо, будет найдено автоматически, причём не обязательно злоумышленником. Это продолжение истории, о которой я писал недавно: агент выполняет задачу буквально и использует любую найденную возможность.

Источники: The Hacker News, The Next Web.