Агент ИИ использует SQL-инъекцию для взлома чат-бота McKinsey Lilli
Детали атаки и последствия
ИИ-агент CodeWall нацелился на генеративную ИИ-платформу Lilli компании McKinsey, которая обрабатывает более 500 000 запросов в месяц и используется 72% сотрудников McKinsey (примерно 40 000 человек). Агент работал полностью автономно — от исследования цели до выполнения атаки и составления отчёта — без каких-либо учётных данных или участия человека в процессе.
Техническая эксплуатация
Агент обнаружил 22 публично доступных API-эндпоинта, не требующих аутентификации. Один эндпоинт записывал поисковые запросы пользователей, где ключи JSON напрямую конкатенировались в SQL-запросы, создавая уязвимость SQL-инъекции. Агент распознал это, обнаружив ключи JSON дословно отражёнными в сообщениях об ошибках базы данных — паттерн, который стандартные инструменты безопасности не отметили бы.
Эксплуатация была простой: «Развёртывание не требуется. Изменение кода не нужно. Просто один оператор UPDATE, обёрнутый в один HTTP-вызов.»
Доступ к данным
- 46,5 миллионов сообщений чата о стратегии, слияниях и поглощениях, а также взаимодействиях с клиентами (хранятся в открытом тексте)
- 728 000 файлов с конфиденциальными данными клиентов
- 57 000 учётных записей пользователей
- 95 системных промптов, управляющих поведением ИИ (все доступны для записи)
Критический риск
Доступные для записи системные промпты означали, что злоумышленник мог бы отравить все ответы Lilli для десятков тысяч консультантов, потенциально манипулируя защитными механизмами, генерацией ответов и ссылками на источники без обнаружения.
Реакция и устранение
CodeWall обнаружил уязвимость в конце февраля и раскрыл полную цепочку атаки 1 марта. К 2 марта McKinsey:
- Исправила все незащищённые эндпоинты
- Отключила среду разработки
- Заблокировала публичную документацию API
McKinsey заявила, что устранила все проблемы в течение нескольких часов после уведомления и не обнаружила признаков несанкционированного доступа к данным. Расследование компании поддержала сторонняя фирма по компьютерной криминалистике.
Более широкие последствия
Этот инцидент демонстрирует, как ИИ-агенты становятся эффективными инструментами для проведения кибератак на другие ИИ-системы. Генеральный директор CodeWall Пол Прайс отметил, что хотя это было исследование безопасности, злоумышленники всё чаще используют аналогичную технологию агентов в реальных атаках, что указывает на то, что вторжения на машинной скорости становятся более распространёнными.
📖 Read the full source: HN AI Agents
👀 Смотрите также
Потенциальный инцидент безопасности Claude: самоотправленные оповещения о паролях и подозрительный процесс .NET
Пользователь сообщает о получении подозрительных уведомлений о сбросе пароля, которые, по-видимому, были отправлены с его собственного аккаунта после входа в Claude. Письма исчезли через несколько минут, а необычный процесс .NET заблокировал завершение работы системы.
Claude Code CVE-2026-39861: Побег из изолированной среды через симлинк
Уязвимость высокой степени серьезности в песочнице Claude Code позволяет произвольную запись файлов за пределы рабочей области через симлинки, что может привести к выполнению кода.
AWS сообщает о компрометации более 600 межсетевых экранов FortiGate в результате атаки с использованием искусственного интеллекта.
Киберпреступники использовали готовые инструменты генеративного ИИ для компрометации более 600 интернет-доступных межсетевых экранов FortiGate в 55 странах в ходе месячной кампании, сообщает AWS. Злоумышленники сканировали открытые интерфейсы управления, пытались использовать слабые учетные данные и применяли ИИ для создания сценариев атак и скриптов.
McpVanguard: Открытый прокси-сервер безопасности для ИИ-агентов на основе MCP
McpVanguard — это трёхуровневый прокси-сервер безопасности и межсетевой экран, который располагается между ИИ-агентами и инструментами MCP, обеспечивая защиту от инъекций в промпты, обхода путей и других атак с задержкой около 16 мс.