Malwarebytes предупреждает: автономные ИИ-агенты подвергают пользователей электронной почты риску инъекций промптов

Компания по разработке ПО в сфере кибербезопасности Malwarebytes выпустила предупреждение о структурных рисках безопасности, с которыми сталкиваются автоматизированные ассистенты на базе искусственного интеллекта. Разработчик предупредил, что делегирование управления электронной почтой автономным программным агентам подвергает пользователей угрозе атак непрямой инъекции промптов (indirect prompt injection). Согласно материалу журналиста в сфере технологий Victor Tangermann, опубликованному 17 октября 2026 года, внедрение агентов на базе больших языковых моделей, настроенных на анализ входящей электронной корреспонденции, создает прямой канал, позволяющий злоумышленникам обходить как традиционные спам-фильтры, так и бдительность человека. Вместо того чтобы вынуждать получателя перейти по вредоносной гиперссылке или раскрыть учетные данные, атакующие создают состязательные промпты, разработанные специально для того, чтобы заставить лежащую в основе модель выполнять несанкционированные действия, извлекать конфиденциальные данные или обходить встроенные защитные ограничения.

## Key facts

- Поставщик защитного программного обеспечения Malwarebytes опубликовал подробное техническое предупреждение, в котором обратил внимание на уязвимости автономных ассистентов искусственного интеллекта, обрабатывающих электронную почту. - Материал с анализом проблемы был опубликован 17 октября 2026 года технологическим обозревателем Victor Tangermann. - Выявленный механизм основан на инъекции промптов: скрытые или состязательные инструкции во входящем сообщении переопределяют системные правила и напрямую отдают команды обрабатывающей ИИ-модели. - Парадигма эксплойта нацелена на рабочие инструменты, предоставленные ИИ-агентам, такие как автоматическая пересылка сообщений, доступ к файлам и изменение календаря, не требуя при этом прямого обмана пользователя. - Данная уязвимость повторяет риски, классифицированные в категории LLM01 классификатора Open Worldwide Application Security Project (OWASP) для приложений на базе больших языковых моделей.

## What happened

В отчете, опубликованном в официальном техническом блоге, разработчик решений для кибербезопасности Malwarebytes описал операционные механизмы, посредством которых автономные программные агенты становятся жертвами вредоносной электронной почты. Как сообщает Victor Tangermann, ключевая проблема проистекает из двойственной роли, которую вынуждены совмещать генеративные модели при управлении коммуникациями: анализировать внешний контент для суммаризации или сортировки и одновременно принимать инструкции на естественном языке, определяющие их поведение.

Когда пользователь интегрирует ИИ-ассистента в рабочий процесс обработки входящей почты, агент обычно получает разрешения на чтение входящего текста, создание автоматических черновиков, классификацию срочности, доступ к связанным адресным книгам, а в некоторых случаях — на запуск вторичных действий, таких как планирование встреч или перемещение писем между папками. Злоумышленники используют эту архитектуру с помощью непрямой инъекции промптов. Вместо составления текстов с использованием социальной инженерии, нацеленных на то, чтобы убедить сотрудника перевести денежные средства или ввести учетные данные на поддельном портале, атакующий составляет письмо, содержащее инструкции, адресованные непосредственно машине.

Подобные состязательные входные данные могут быть встроены непосредственно в тело письма, скрыты в сложной HTML-разметке или размещены внутри прикрепленных документов, которые ИИ-агенту поручено суммаризировать. Как только автоматизированная система обрабатывает текст, языковая модель сталкивается с трудностями в поддержании четкой вычислительной границы между системными инструкциями, заданными оператором платформы, и недоверенными данными, поступившими от отправителя. В результате агент воспринимает встроенные инструкции злоумышленника как приоритетные директивы к исполнению. В зависимости от предоставленных агенту операционных разрешений программа может пересылать конфиденциальную переписку на сторонние серверы, отправлять несанкционированные ответы коллегам внутри компании, удалять уведомления системы безопасности или выполнять поиск проприетарных файлов в локальном хранилище.

## Why it matters

Сделанные выводы подчеркивают глубокий архитектурный сдвиг в корпоративной кибербезопасности, фундаментально подрывающий многолетнюю оборонительную доктрину, основанную на обучении пользователей и фильтрации на почтовых шлюзах. На протяжении почти трех десятилетий корпоративная защита от фишинга опиралась на сочетание автоматического сигнатурного обнаружения — такого как проверка SPF, DKIM и DMARC — и программ обучения персонала, нацеленных на распознавание аномальных доменов, манипулятивных формулировок о срочности и подозрительных расширений файлов. Однако когда агент искусственного интеллекта перехватывает, суммаризирует и обрабатывает сообщения от имени пользователя, этот уровень человеческой проверки оказывается исключен.

Последствия для операционной безопасности предприятий и соблюдения требований конфиденциальности весьма серьезны. Организации в сферах финансов, здравоохранения и критической инфраструктуры активно внедряют инструменты генеративного ИИ для ускорения обработки документов, управления взаимоотношениями с клиентами и административной сортировки. Во многих сценариях развертывания эти агенты подключены через интерфейсы прикладного программирования (API) к внутренним корпоративным базам данных, записям клиентов и системам управления идентификацией. Если внешнее электронное письмо способно гарантированно перехватить среду принятия решений внутреннего ИИ-агента, поверхность атаки увеличивается по экспоненте.

Кроме того, непрямая инъекция промптов размывает грань между обработкой данных и выполнением кода. В традиционных вычислительных средах операционные системы обеспечивают строгое разделение между данными и исполняемым кодом для предотвращения переполнения буфера и повреждения памяти. Однако в нейросетевых языковых моделях естественный язык одновременно выступает и входными данными, и набором программных инструкций. До тех пор пока разработчики не научатся надежно изолировать сторонние текстовые данные от иерархии внутренних инструкций агента, внедрение автономных агентов для обработки потоков внешней электронной почты создает открытый канал уязвимости по всему периметру предприятия.

## The background

Атаки с использованием инъекций промптов впервые привлекли широкое внимание исследователей безопасности вскоре после массового распространения базовых больших языковых моделей в конце 2022 года. Первые демонстрации были сосредоточены на прямых инъекциях промптов — широко известных как «jailbreaking», — при которых непосредственный пользователь вводил специально составленные запросы, чтобы склонить чат-бота к нарушению политик модерации контента, генерации токсичных материалов или раскрытию базовых системных инструкций. Однако к середине 2023 года специалисты по безопасности выявили куда более опасную категорию непрямых инъекций промптов, когда вредоносные инструкции внедряются в пассивные источники данных, такие как веб-сайты, отчеты в формате PDF или входящие письма, которые ИИ-система извлекает и интерпретирует.

Осознавая системный характер этого риска, проект Open Worldwide Application Security Project (OWASP) в 2023 году опубликовал список Top 10 для приложений на базе больших языковых моделей, определив инъекцию промптов в качестве основной категории под кодом LLM01. Органы безопасности, включая Агентство по кибербезопасности и безопасности инфраструктуры США (CISA) и Национальный центр кибербезопасности Великобритании (NCSC), впоследствии выпустили совместные рекомендации, предупреждающие специалистов по защите корпоративных сетей о том, что моделям на естественном языке не хватает детерминированного механизма разделения управляющих сигналов и входных данных.

В то же время индустрия коммерческого ПО стремительно перешла от изолированных диалоговых чат-ботов к агентным рабочим процессам. Ведущие пакеты корпоративных офисных приложений от таких поставщиков, как Microsoft, Google, а также независимых стартапов, интегрировали агентов, способных автономно читать сообщения, запрашивать данные из корпоративных интрасетей и выполнять многоэтапные действия во взаимосвязанных приложениях. Хотя подобная автоматизация значительно повышает эффективность труда, она наделяет потребительские и корпоративные модели правами на запись и выполнение действий на ключевых административных платформах.

Традиционные поставщики решений для защиты от фишинга с трудом успевают за этими изменениями. Данные организации Anti-Phishing Working Group (APWG) фиксируют постоянный ежеквартальный рост числа уникальных фишинговых кампаний за последние годы, которые все чаще усиливаются сгенерированным текстом и автоматизированными механизмами доставки. Вектор инъекций, выявленный Malwarebytes, использует эту тенденцию, выбирая своей целью автоматизированных посредников, которых компании внедряли для снижения административной нагрузки.

## Reaction

Предупреждение от Malwarebytes вновь привлекло внимание отрасли к разрыву между выпусками коммерческих продуктов и надежными концепциями агентной безопасности. Хотя в исходном материале не приводились официальные ответы крупных разработчиков потребительских агентов, аналитики корпоративной кибербезопасности и инженеры по безопасности искусственного интеллекта активно обсуждают стратегии снижения рисков на профессиональных конференциях и в органах стандартизации.

На технических форумах разработчиков дискуссия сосредоточилась на целесообразности архитектурной изоляции в «песочницах». Программные инженеры все чаще утверждают, что автономным агентам нельзя предоставлять универсальный API-доступ, позволяющий одновременно читать ненадежный внешний контент и выполнять запись в привилегированные внутренние системы в рамках одной и той же среды выполнения. Отраслевые аналитики ожидают, что специалисты по корпоративным закупкам начнут требовать проведения строгой сторонней проверки методом «red teaming» перед тем, как предоставить ИИ-ассистентам доступ к инфраструктуре корпоративных коммуникаций.

Ожидается, что регуляторные органы, курирующие стандарты кибербезопасности и искусственного интеллекта, — включая European Union AI Office, действующий в соответствии с графиком вступления в силу закона EU AI Act, и Национальный институт стандартов и технологий США (NIST), — рассмотрят ограничения привилегий агентов в предстоящих редакциях своих стандартов цифровой безопасности. Независимые защитники прав потребителей также призвали поставщиков ПО предоставить более четкие предупреждения о том, в какой степени автоматизированными ассистентами можно манипулировать с помощью враждебных внешних входных данных.

## What we don't know yet

Несмотря на наглядную демонстрацию механизмов уязвимости, первые обнародованные данные оставляют без ответа ряд операционных вопросов. Главное — в техническом анализе не уточняется точная частота практической эксплуатации уязвимости в реальных корпоративных средах. До сих пор неясно, смогли ли изощренные хакерские группировки или киберпреступные синдикаты успешно применить автоматизированные инъекции промптов на практике для совершения финансового мошенничества, или же сделанные выводы являются результатом контролируемого тестирования концепции (proof-of-concept), проведенного исследователями в целях защиты.

Кроме того, в материале не уточняется, какие именно проприетарные модели или модели с открытым исходным кодом наиболее подвержены этим почтовым эксплойтам, а также демонстрируют ли проприетарные архитектурные средства защиты — такие как архитектуры верификации с двумя LLM, уровни очистки входных данных или конституционные ограничения обучения — измеримую эффективность в блокировании подобных попыток. Также остается неизвестным, в какой мере ведущие почтовые провайдеры уже применяют фильтры машинного обучения, специально настроенные на удаление полезной нагрузки инъекций промптов до того, как сообщения попадут к агентам пользователей.

## What to watch

В ближайшие месяцы несколько ключевых индикаторов прояснят, как технологический сектор будет реагировать на уязвимости коммуникационных агентов к инъекциям промптов:

- Технические обновления и технические документы (white papers) от ведущих поставщиков платформ для совместной работы, включая Microsoft, Google и разработчиков корпоративных приложений, с описанием того, будут ли они внедрять структурные защитные механизмы, такие как подтверждение конфиденциальных действий агента человеком (human-in-the-loop). - Обновления списка OWASP Top 10 для больших языковых моделей и руководств от Национального института стандартов и технологий (NIST), касающихся границ сред выполнения агентов и стандартов изоляции ввода-вывода. - Отчеты об анализе угроз от организаций по реагированию на инциденты, которые укажут, начали ли группировки сложных постоянных угроз (APT) или операторы программ-вымогателей использовать автоматизированную инъекцию промптов в качестве вектора первоначального проникновения. - Анонсы новых продуктов от специализированных поставщиков систем безопасности электронной почты, предлагающих специализированные уровни инспекции в среде выполнения, предназначенные для очистки текста перед его передачей автоматизированным агентам.

Данный материал основан на оригинальном репортаже, опубликованном 17 октября 2026 года технологическим журналистом Victor Tangermann, в котором подробно описывался анализ уязвимостей безопасности, обнародованный компанией Malwarebytes.