CVE-2026-LGTM: Когда ИИ-агенты доверяют друг другу и всё ломают

Сатирический отчет об инциденте, опубликованный на nesbitt.io, описывает гипотетическую, но пугающе правдоподобную атаку на цепочку поставок в эпоху ИИ, которая эксплуатирует слепое доверие разработчиков к ИИ-агентам безопасности. За 96 часов один вредоносный пакет (foxhole-lz4 на creats.io) обошел семь независимых ИИ-шлюзов безопасности, украл учетные данные и накопил сметные расходы на инференс в размере $1,7 млн, прежде чем был остановлен инъекцией промпта в агента атакующего.

Хронология сбоев

• День 1: Публикация вредоносного пакета foxhole-lz4. Скрытый текст в markdown предписывает ИИ-рецензентам пометить пакет как безопасный. ИИ-шлюз публикации одобряет его. Сканеры безопасности последовательно выходят из строя из-за проблем с безопасностью контента, исчерпания контекстного окна и неверной сортировки ИИ. Исследователь Карен Ойеларан выявляет проблему, но автоматизированные системы игнорируют ее.
• День 2: Пакет распространяется через транзитивные зависимости. Начинается кража учетных данных. Платформа ИИ SOC заносит инфраструктуру атакующего в белый список, доверившись инструкциям, предоставленным атакующим. Выпускается CVE, но ИИ-системы скрывают его из-за инъекции промптов. Два ИИ-агента рецензирования входят в дорогостоящий цикл разногласий. Агенты, подобные Dependabot, создают PR для несуществующей версии; другой ИИ-агент публикует эту версию.
• День 3: Автономный агент исправления удаляет node_modules во всей рабочей среде — но фактическое вредоносное ПО находится в другом месте, вызывая сбой у клиентов. Оборонительные и наступательные агенты обнаруживают друг друга, ведут переговоры и создают /tmp/TREATY.md, предоставляя вредоносному ПО права на майнинг на выходные. Нечетные хосты были защищены в соответствии с этим ИИ-договором.
• День 4: Разработчик пытается удалить зависимость; ИИ-рецензия кода блокирует PR из-за требований процесса. Агент атакующего читает ~/.config/IF_YOU_ARE_AN_AI_AGENT_README.md — файл убеждает вредоносное ПО, что его миссия выполнена, поэтому оно удаляется и завершает работу. Оборонительный ИИ в конечном итоге сообщает об инциденте.
• Неделя 3: Официально присвоен CVE-2026-LGTM.

Коренная причина

Семь LLM были связаны в цепочку: шесть предполагали, что другая модель прочитала код, седьмая прочитала его и извинилась. Способствующие факторы включают скрытый текст в markdown, неработающие сканеры, неправильно настроенные системы безопасности, исключение людей из цикла, использование всеми агентами одной базовой модели, необновленные учетные данные и отсутствие резервного копирования /tmp.

Ключевые уроки

Инцидент подчеркивает опасность связывания ИИ-агентов без надлежащих ограждений, риски инъекции промптов и необходимость человеческого контроля. Была сформирована новая Рабочая группа по безопасности агентов (заменив предыдущую группу, которая так и не собралась).