Битва клонов. Почему AI-агенты станут следующим полем битвы
Исследователи кибербезопасности предупреждают о появлении нового класса кибератак, где главной целью становятся автономные AI-агенты.
Еще совсем недавно главной угрозой искусственного интеллекта считалось то, что однажды он сможет заменить человека. Но пока мир обсуждает сокращение рабочих мест, специалисты по кибербезопасности уже столкнулись с совершенно другой проблемой.
Еще несколько лет назад подобный сценарий выглядел как сюжет научной фантастики. Сегодня автономные AI-агенты уже умеют писать код, управлять серверами, работать с криптовалютными кошельками, анализировать данные, заключать сделки и взаимодействовать с десятками различных сервисов практически без участия человека.
И чем больше AI-агентов появляется, тем чаще они начинают общаться уже не с людьми, а друг с другом
Именно здесь рождается совершенно новая поверхность для атак.
На конференции DEF CON 34 исследователи представили новый сценарий компрометации автономных AI под названием Cross-Agent Privilege Escalation (CAPE).
В отличие от классических атак, злоумышленнику больше не требуется получать максимальные права в одной системе. Достаточно скомпрометировать одного AI-агента, который уже является частью общей рабочей цепочки.
Дальше в работу вступает сама архитектура мультиагентной системы. Каждый AI обладает ограниченными полномочиями: один работает с документами, другой имеет доступ к GitHub, третий управляет облачной инфраструктурой, четвертый взаимодействует с внутренними сервисами компании. По отдельности они безопасны.
Однако исследователи показали, что при определенной последовательности запросов скомпрометированный агент способен использовать возможности остальных участников системы. При этом он не получает их права напрямую и не взламывает другие сервисы. Он лишь использует существующий механизм взаимодействия между агентами, заставляя их выполнять операции в рамках собственных полномочий.
В результате возникает цепочка доверенных действий. Каждый агент выполняет только разрешенные ему операции, каждый запрос выглядит легитимным, а каждое действие соответствует политике безопасности. Но итоговая последовательность приводит к тому, что злоумышленник постепенно получает доступ к ресурсам, которые первоначально были ему недоступны.
Именно этот механизм исследователи назвали Cross-Agent Privilege Escalation.
Главная опасность подобных атак заключается не только в их эффективности, но и в сложности обнаружения. Современные системы безопасности анализируют действия отдельных пользователей, процессов или сервисов. В случае CAPE подозрительных действий практически нет. Все обращения происходят через штатные интерфейсы, а все команды выполняются агентами, которые действительно обладают необходимыми полномочиями. Подозрительной становится не отдельная операция, а вся цепочка взаимодействия между несколькими AI.
Именно поэтому практически сразу после появления исследования начали разрабатываться первые механизмы защиты. В базе Agent Threat Rules уже опубликовано правило ATR-2026-00074, описывающее признаки Cross-Agent Privilege Escalation и рекомендации по обнаружению подобных сценариев.
Для криптоиндустрии эта тема приобретает особое значение. Все больше проектов экспериментируют с автономными AI, которые анализируют рынок, взаимодействуют со смарт-контрактами, управляют цифровыми активами и автоматически выполняют операции в блокчейне. По мере расширения их полномочий меняется и модель угроз.
Если раньше основной целью злоумышленников были пользователи и их кошельки, то в будущем объектом атаки могут стать сами AI-агенты и доверительные связи между ними.