Поставщик облачных сервисов описал full‑stack защиту для корпоративных AI‑агентов

Поставщик облачных сервисов опубликовал разбор рисков массового внедрения автономных AI‑агентов и предложил многоуровневый подход к защите инфраструктуры и процессов.

Поставщик облачных сервисов представил системный анализ угроз при массовом использовании автономных AI‑агентов и предложил «full‑stack» подход к их защите — от контроля цепочки поставок до многослойной детекции во время инференса и вызовов инструментов. Это важно, поскольку автоматизация способна увеличить масштаты ошибок и уязвимостей, а отсутствие комплексной защиты повышает риск кражи данных и неавторизованных действий от имени агентов.

Авторы приводят ряд эмпирических оценок эффективности и уязвимостей агентов: по данным CyberARK число агентов превышает число людей в соотношении 82:1; по оценке IDC использование агентов ускоряет доставку решений на 400%; по результатам исследований Carnegie Mellon и Stanford автоматический майнинг данных эффективнее человека в 60 — 100 раз. При этом исследования MIT, Harvard и Stanford показывают, что более 70% агентов лишены механизмов саморефлексии и восстановления после ошибок, что усугубляет возможные последствия инцидентов.

В качестве практического кейса анализ рассматривает явление «Lobster Rush» вокруг open‑source фреймворка OpenClaw, набравшего свыше 285 000 звёзд на GitHub, и связанную с этим вспышку инцидентов. В экосистеме выявлены случаи отравления цепочки поставок — более 800 вредоносных Skills на ClawHub содержали бэкдоры, прошедшие антивирусную проверку; выявлялись инъекции подсказок и примеры эскалации прав, включая удаление писем пользователей и другие вредоносные действия.

Аналитики выделяют четыре основных атакующих цепочки. Первая — отравление цепочки поставок: публикация вредоносных Skills или плагинов, приводящая к загрузке троянов (в том числе вариантов Atomic Stealer) по HTTP и кражам паролей браузеров и ключей кошельков. Вторая — многоточечный обход защит: семантическая обфускация и разделение контекста для обхода мер безопасности на этапах инференса, RAG‑получения и вызова инструментов. Третья — захват автономного исполнения через эксплуатацию уязвимостей (path traversal, command injection) для перехвата потока выполнения. Четвёртая — скрытное проникновение в офис: перемещение по сети с использованием учётных данных агента и сложности обнаружения из‑за отсутствия контроля над Non‑Human Identities (NHI).

Ситуация усугубляется открытой экспозицией и недостаточной видимостью. По данным Bitdefender, 22% компаний фиксировали неавторизованную активность OpenClaw внутри своих сетей; Censys и Hunt.io регистрируют более 40 000 инстансов OpenClaw, доступных из интернета. Одновременно утверждается, что 92% предприятий не имеют полного обзора внешних активов, что повышает риск масштабных утечек и злоупотреблений. На уровне практических выводов предлагается строить защиту сквозь весь стек: ужесточить контроль цепочки поставок, внедрять валидацию прав и входных подсказок, отслеживать публично доступные инстансы и ускорять исправление CVE. Рекомендации также включают многоуровневую детекцию на этапах инференса, RAG и вызова инструментов, усиление SDLC, мониторинг Non‑Human Identities и проактивное управление видимостью внешних сервисов — меры, требующие координации инженеров, владельцев платформ и команд по безопасности.