Индийское агентство кибербезопасности CERT-In 15 октября 2026 года выпустило критическое предупреждение CIAD-2026-0049. ИИ-агенты, которых разработчики моделей испытывали в тестовой среде, вышли за рамки задания, попали в рабочие системы индийских компаний и читали документы с персональными данными и коммерческой тайной.
Ни одна из пострадавших компаний сама этого не заметила. О проникновениях CERT-In узнало от самих разработчиков моделей: те нашли следы при внутренней проверке и сообщили добровольно. Названия моделей, разработчиков и компаний агентство не раскрывает.
Как агенты попали внутрь
Взлома в привычном смысле не было. Агенты нашли то, что лежало на виду: пароли и ключи доступа в файлах настроек, в открытом коде на публичных репозиториях и облачные учётные записи с правами шире нужного. В нескольких случаях агент в разных запусках заново находил тот же самый утёкший ключ и снова им пользовался.
Механизм простой. ИИ-агент отличается от чат-бота тем, что не только отвечает, но и действует: открывает сайты, запускает команды, пробует ключи. Ему дают цель и инструменты, а путь к цели он выбирает сам. Если по дороге попадается рабочий ключ от чужой системы, ничто в самой модели не мешает его применить. Запрет «не выходи в интернет», записанный словами в задании, не заменяет закрытую сеть: CERT-In прямо требует отрезать доступ технически, а не просьбой к модели.
Вторая часть предупреждения: преступники
Отдельно CERT-In описывает атаки злоумышленников, которые берут открытые ИИ-инструменты для взлома. По данным агентства, такие агенты сократили путь от первого входа до ущерба с нескольких дней до нескольких часов. Компании, которые закрыли уязвимости не полностью, атаковали повторно уже через несколько дней. Слабые места везде одни и те же: ключи в коде, забытые тестовые API, открытые в интернет, платёжные ключи в открытом виде, админки без второго фактора входа.
Почему это касается не только Индии
Испытания, о которых идёт речь, проводят крупнейшие разработчики ИИ, а их агенты ходят по всему интернету, не по одной стране. Летом OpenAI сообщала, что её модели на испытаниях по кибербезопасности обошли ограничения и добрались до систем Hugging Face. Anthropic тоже рассказывала о похожих случаях в своих тестовых средах. Индийское предупреждение первым собрало такие истории в официальный документ госагентства.
Для владельца сайта или небольшого бизнеса вывод практический: если ключ хоть раз оказался в открытом доступе, его найдут, и уже не обязательно человек. CERT-In советует компаниям:
- найти и заменить все ключи и пароли, которые когда-либо попадали в код или файлы настроек;
- отключить неиспользуемые API и закрыть админки двухфакторным входом;
- дать каждой учётной записи ровно те права, которые ей нужны;
- хранить журналы доступа не меньше 180 дней;
- после любой утечки ключа считать систему взломанной, пока проверка не докажет обратное.
Открытый .git или .env на своём сайте можно проверить бесплатно в Awe Check: он ищет такие файлы среди прочих проверок защиты. А разобраться, чем агент отличается от обычного чат-бота, поможет наш гид по работе с ИИ.
