Сами системы ИИ становятся мишенями

Предупреждение

Злоумышленники могут манипулировать системами ИИ с помощью промпт-инъекций, отравленных данных и скомпрометированных компонентов, чтобы изменить их поведение или извлечь конфиденциальную информацию.

Пересказ источника. Источник: International AI Safety Report 2026, 3 февр. 2026, раздел 2.1.3, Box 2.1, стр. 62. Краткое изложение: International AI Safety Report: internationalaisafetyreport.org.

Что показывает реестр

Скрытые инструкции, из-за которых ассистенты сливают письма и файлы, перехваченные агенты для программирования, вредоносные пакеты и плагины, нацеленные на разработчиков ИИ, и активно эксплуатируемые уязвимости в инструментах ИИ. Многие случаи промпт-инъекций — демонстрации исследователей; большинство атак на цепочку поставок произошли в реальном мире.

Проверенные досье показывают, что этот риск реализуется в реальном мире. Первый реальный случай в реестре: 30 дек. 2022 · Уже было в реестре на момент публикации исследования.

Подходящие досье по кварталам

История статуса

Отслеживается с 18 окт. 2026. Новая строка добавляется при смене статуса, при привязке первого реального случая и раз в месяц, поэтому запись показывает, когда предупреждение перешло из исследований в реальность. research_history.json

Все подходящие досье

• 15 окт. 2026Нераскрытое дополнение в jqwik предписывает ИИ-агентам для программирования удалять вывод приложения
• 15 окт. 2026Скрытая промпт-инъекция в судебном документе предписывает ИИ-рецензентам встать на сторону заявителя
• 14 окт. 2026Поддельные страницы загрузки Codex на Google Sites распространяют вредоносное ПО для macOS через ClickFix
• 14 окт. 2026Активно эксплуатируется SQL-инъекция в прокси LiteLLM (CVE-2026-42208)
• 14 окт. 2026Бэкдор macOS.Gaslight внедряет фальшивые промпты в LLM-инструменты первичного анализа вредоносного ПО
• 14 окт. 2026Активно эксплуатируется SSRF-уязвимость в MLflow (CVE-2026-64849), открывающая доступ к внутренним службам
• 14 окт. 2026Вредоносный навык OpenClaw распространяет Remcos RAT и GhostLoader
• 14 окт. 2026Активно эксплуатируется RCE через внедрение кода в Ray (CVE-2025-62593)
• 14 окт. 2026Wiz Red Agent добрался до внутренней Jira компании Snowflake через уязвимость GitHub Actions в PR, созданном с помощью Copilot · Лабораторное испытание или демонстрация исследователей
• 10 сен. 2026GTG-50020: вымогатель провёл промпт-инъекцию в песочницу оценки ИИ-вендора, а затем атаковал 30 ИИ-компаний
• 8 сен. 2026Внедрённый промпт заставляет ChatGPT копировать данные Gmail жертв в аккаунт злоумышленника · Лабораторное испытание или демонстрация исследователей
• 8 сен. 2026DUSTMAKER от TeamPCP прячется в папках .claude и .cursor и проводит промпт-инъекции против LLM-сканеров
• 2 сен. 2026MCP-шлюз LiteLLM принимает любой Bearer-токен (CVE-2026-59822); CISA подтверждает эксплуатацию
• 19 авг. 2026CISA признала эксплуатируемой SSRF в вебхуках MLflow (CVE-2026-64849), открывающую доступ к облачным метаданным
• 17 авг. 2026Эксплуатируемая через браузер RCE в Ray (CVE-2025-62593), используемая ботнетом RondoDox, внесена в каталог CISA KEV
• 4 авг. 2026Langflow получил ещё четыре записи в KEV в 2026 году: перехват токенов, IDOR, RCE с правами root и цепочка auto_login
• 2 июл. 2026DuneSlide: две уязвимости Cursor с оценкой 9.8 позволяют промпт-инъекции выйти из песочницы для RCE на уровне ОС · Лабораторное испытание или демонстрация исследователей
• 17 июн. 2026Северокорейская Sapphire Sleet захватывает аккаунт мейнтейнера и троянизирует более 140 npm-пакетов Mastra AI
• 15 июн. 2026SearchLeak: цепочка атак в один клик в M365 Copilot Enterprise Search выводит данные через Bing · Лабораторное испытание или демонстрация исследователей
• 9 июн. 2026Тайпсквоттинговые MCP-серверы в npm, маскирующиеся под официальные пакеты modelcontextprotocol, при установке отправляют данные злоумышленникам
• 8 июн. 2026CISA внесла активно эксплуатируемую RCE-уязвимость ИИ-шлюза LiteLLM (CVE-2026-42271) в каталог KEV
• 8 июн. 2026Хакеры обманом заставили ИИ-чат-бота поддержки Meta передавать им учётные записи Instagram
• 2 июн. 2026Троянизированный npm-пакет codexui-android похищает токены OpenAI Codex
• 14 мая 2026OpenAI подтвердила взлом двух устройств сотрудников и репозиториев исходного кода в ходе атаки npm-червя Mini Shai-Hulud
• 12 мая 2026Червь Mini Shai-Hulud поразил пакеты TanStack, Mistral AI и Guardrails AI
• 7 мая 2026Поддельный репозиторий «OpenAI Privacy Filter» возглавил тренды Hugging Face, распространяя инфостилер на Rust
• 30 апр. 2026Бэкдор в PyTorch Lightning 2.6.3 в PyPI запускает стилер учётных данных на базе Bun при импорте
• 21 апр. 2026Побег из песочницы Claude Code через символические ссылки позволяет выполнять код на хосте (CVE-2026-39861) · Лабораторное испытание или демонстрация исследователей
• 19 апр. 2026OAuth-разрешение скомпрометированного ИИ-инструмента Context.ai привело ко взлому Vercel
• 16 апр. 2026RCE в блокнотах Marimo (CVE-2026-39987) эксплуатируется за считанные часы; RAT NKAbuse размещён на Hugging Face Spaces
• 15 апр. 2026Промпт-инъекция приводит к утечке данных из агентов Microsoft Copilot Studio и Salesforce Agentforce · Лабораторное испытание или демонстрация исследователей
• 7 апр. 2026RCE максимальной критичности в CustomMCP Flowise (CVE-2025-59528) эксплуатируется в реальных атаках
• 7 апр. 2026GrafanaGhost: непрямая промпт-инъекция заставляет ИИ Grafana раскрывать корпоративные данные · Лабораторное испытание или демонстрация исследователей
• 3 апр. 2026Отравленные релизы LiteLLM связаны со взломом Mercor, раскрывшим секреты обучения ИИ-лабораторий
• 2 апр. 2026prt-scan: кампания на базе ИИ эксплуатирует pull_request_target в рабочих процессах GitHub
• 31 мар. 2026Инъекция команд через имя ветки в OpenAI Codex раскрывала токены GitHub в облачных задачах · Лабораторное испытание или демонстрация исследователей
• 31 мар. 2026«Двойной агент» в Vertex AI: агенты с избыточными привилегиями раскрывают учётные данные и код · Лабораторное испытание или демонстрация исследователей
• 30 мар. 2026Check Point обнаружила DNS-туннель из песочницы кода ChatGPT, позволяющий утечку чатов и файлов · Лабораторное испытание или демонстрация исследователей
• 25 мар. 2026Неаутентифицированная RCE в Langflow (CVE-2026-33017) эксплуатируется в течение 20 часов после бюллетеня
• 11 мар. 2026CISA подтверждает активную эксплуатацию RCE максимальной критичности через инъекцию выражений в n8n
• 5 мар. 2026ИИ-поиск Bing продвигает поддельные репозитории установщика OpenClaw, распространяющие стилеры Atomic и Vidar
• 17 февр. 2026Скомпрометированный релиз Cline CLI в npm скрытно устанавливает агента OpenClaw
• 4 февр. 2026Более 230 вредоносных навыков OpenClaw на ClawHub распространяют стилеры паролей
• 29 янв. 2026Датасеты Hugging Face использовались для раздачи полиморфных Android-RAT каждые 15 минут
• 23 янв. 2026MaliciousCorgi: ИИ-расширения VS Code «ChatGPT» и «ChatMoss» с 1,5 млн установок похищают открытые файлы
• 21 янв. 2026BodySnatcher: неаутентифицированная имперсонация через ServiceNow Virtual Agent (CVE-2025-12420) · Лабораторное испытание или демонстрация исследователей
• 20 янв. 2026Уязвимости инъекции промпта в Git MCP-сервере Anthropic позволяют доступ к файлам и выполнение кода · Лабораторное испытание или демонстрация исследователей
• 14 янв. 2026Reprompt: атака в один клик захватывает сессии Microsoft Copilot для кражи данных · Лабораторное испытание или демонстрация исследователей
• 8 дек. 2025GeminiJack: инъекция без клика в Gemini Enterprise эксфильтрировала данные Gmail, Calendar и Docs · Лабораторное испытание или демонстрация исследователей
• 25 нояб. 2025HashJack: промпты, скрытые во фрагментах URL, захватывают Comet, Copilot в Edge и Gemini в Chrome · Лабораторное испытание или демонстрация исследователей
• 5 нояб. 2025HackedGPT: Tenable обнаружила семь уязвимостей ChatGPT, включая персистентную инъекцию в память · Лабораторное испытание или демонстрация исследователей
• 15 окт. 2025Обход пути в хостинге MCP Smithery открыл root-доступ к 3 000 размещённых MCP-серверов · Лабораторное испытание или демонстрация исследователей
• 9 окт. 2025CamoLeak: скрытые комментарии в PR заставляют GitHub Copilot Chat сливать секреты приватных репозиториев · Лабораторное испытание или демонстрация исследователей
• 30 сен. 2025Gemini Trifecta: уязвимости в логах, истории поиска и браузинге позволяют Gemini эксфильтрировать данные пользователей · Лабораторное испытание или демонстрация исследователей
• 25 сен. 2025ForcedLeak: инъекция промпта через Web-to-Lead и просроченный домен за 5 долларов сливают CRM-данные Agentforce · Лабораторное испытание или демонстрация исследователей
• 25 сен. 2025Обнаружен первый вредоносный MCP-сервер: npm-пакет postmark-mcp отправляет скрытые копии всех писем злоумышленнику
• 19 сен. 2025Агенты Notion 3.0 обмануты PDF с белым текстом и сливают данные клиентов через веб-поиск · Лабораторное испытание или демонстрация исследователей
• 18 сен. 2025ShadowLeak: инъекция промпта без клика заставляет ChatGPT Deep Research сливать данные Gmail · Лабораторное испытание или демонстрация исследователей
• 13 сен. 2025WhiteCobra наводняет Open VSX и VS Code Marketplace 24 расширениями, крадущими криптовалюту
• 27 авг. 2025s1ngularity: троянизированные пакеты Nx используют CLI Claude и Gemini для кражи секретов
• 26 авг. 2025Украденные OAuth-токены ИИ-чат-бота Drift использованы для налёта на 700+ тенантов Salesforce
• 20 авг. 2025Brave показывает, что Perplexity Comet можно захватить через комментарий на Reddit для кражи одноразовых кодов Gmail · Лабораторное испытание или демонстрация исследователей
• 18 авг. 2025Чат-бот поддержки Lenovo Lena вынужден выдать XSS-нагрузку, крадущую сессионные cookie операторов · Лабораторное испытание или демонстрация исследователей
• 12 авг. 2025Инъекция промпта в Copilot переводит VS Code в режим автоодобрения для RCE (CVE-2025-53773) · Лабораторное испытание или демонстрация исследователей
• 6 авг. 2025AgentFlayer: один отравленный документ Google Drive заставляет ChatGPT сливать API-ключи · Лабораторное испытание или демонстрация исследователей
• 6 авг. 2025Invitation Is All You Need: отравленные приглашения в календаре позволяют Gemini управлять умным домом · Лабораторное испытание или демонстрация исследователей
• 5 авг. 2025Инъекция команд в Claude Code обходит запрос подтверждения (CVE-2025-54795 и -54794) · Лабораторное испытание или демонстрация исследователей
• 1 авг. 2025CurXecute и MCPoison: уязвимости в конфигурации MCP в Cursor IDE позволяют скрытое выполнение кода · Лабораторное испытание или демонстрация исследователей
• 28 июл. 2025Gemini CLI захвачен через отравленный README для скрытой эксфильтрации учётных данных · Лабораторное испытание или демонстрация исследователей
• 23 июл. 2025Хакер внедрил промпт для уничтожения данных в расширение Amazon Q Developer для VS Code
• 10 июл. 2025Поддельное расширение «Solidity Language» в Open VSX опустошило кошелёк разработчика Cursor на 500 000 долларов
• 10 июл. 2025Скрытый текст в письме заставляет сводки Gemini for Workspace выдавать поддельные предупреждения безопасности · Лабораторное испытание или демонстрация исследователей
• 6 июл. 2025Инъекция промпта через тикет в поддержку заставляет Cursor с Supabase MCP выдать токены интеграций · Лабораторное испытание или демонстрация исследователей
• 5 июл. 2025Nikkei обнаружила скрытые промпты, требующие от ИИ-рецензентов хвалить статьи, в 17 препринтах из 14 университетов · Лабораторное испытание или демонстрация исследователей
• 25 июн. 2025Образец вредоносного ПО Skynet содержит инъекцию промпта для обмана AI-инструментов анализа вредоносного ПО
• 18 июн. 2025Бэкдор Pickai распространяется через уязвимости ComfyUI почти на 700 серверов генерации AI-изображений
• 17 июн. 2025RCE в конструкторе AI-агентов Langflow (CVE-2025-3248) эксплуатируется для распространения ботнета Flodrix
• 11 июн. 2025EchoLeak: zero-click инъекция промпта в Microsoft 365 Copilot (CVE-2025-32711) · Лабораторное испытание или демонстрация исследователей
• 22 мая 2025PyPI-пакеты, выдающие себя за SDK Alibaba AI Labs, скрывают инфостилер в модели PyTorch
• 22 мая 2025Инъекция промпта в GitLab Duo приводит к утечке приватного исходного кода через скрытый текст в merge request · Лабораторное испытание или демонстрация исследователей
• 9 мая 2025npm-пакеты sw-cur и aiide-cur внедряют бэкдор в Cursor на macOS, 3 200 загрузок
• 6 февр. 2025nullifAI: модели с повреждёнными pickle-файлами на Hugging Face обходят Picklescan и содержат reverse shell
• 29 янв. 2025Поддельные PyPI-пакеты deepseeek и deepseekai крадут секреты у разработчиков DeepSeek
• 4 дек. 2024AI-библиотека Ultralytics взломана через GitHub Actions для распространения криптомайнера в PyPI
• 30 дек. 2022Вредоносный пакет torchtriton атакует PyTorch через PyPI по схеме dependency confusion

Те же досье в других исследованиях

• Наблюдается в реальных инцидентах Конфиденциальность и безопасность · MIT AI Risk Repository · Общих: 85
• Наблюдается в реальных инцидентах Мощный ИИ утекает или похищается · CAIS · Общих: 2

Предупреждения из других источников, связанные с некоторыми из тех же досье.

Другие предупреждения в этой группе

• Наблюдается в реальных инцидентах Подделки, созданные ИИ, подпитывают мошенничество и вымогательство
• Первые признаки Контент ИИ используют, чтобы влиять на убеждения людей
• Наблюдается в реальных инцидентах Преступники и государственные хакеры применяют ИИ в кибератаках
• Наблюдается в реальных инцидентах ИИ выполняет всё большую часть каждой атаки, но не полностью автономно
• Пока нет записей ИИ даёт экспертную помощь в создании биологического и химического оружия