Фахівець з безпеки переглядав журнал Cloudflare, виявив у ньому шкідливий запит (prompt-injection payload) від зловмисника, а потім переписав DNS компанії. Брандмауер вже заблокував цей запит, і саме блокування призвело до його запису в журнал.
Цей ланцюжок подій називається GhostJacking. Компанія Tenet Security продемонструвала його на головній сцені конференції DEF CON 34 9 серпня. Запит надходить до керованих правил Cloudflare, блокується та зберігається у журналі в повному вигляді, включно з його шкідливим заголовком User-Agent. Штучний інтелект, що аналізує ці заблоковані події, сприймає текст зловмисника як команду, не відрізняючи його від легітимної команди від компанії, і виконує її з використанням облікових даних, виданих компанією раніше. За результатами тестів Tenet, Claude Code на Sonnet 4.6 у 9 з 10 випадків виконав впроваджену інструкцію за рекомендованою конфігурацією Cloudflare.
Рівень блокування — це не межа
Жодних збоїв не сталося. Брандмауер працював коректно, а кожен наступний запит містив дійсні облікові дані, вже видані агенту. Системи виявлення кінцевих точок (Endpoint detection), веб-брандмауер (WAF) та керування ідентифікацією (identity management) залишалися неактивними, оскільки жодне правило не було порушено.
Tenet виявила публічні докази такої вразливості у 48 організаціях, включаючи шість компаній з Fortune 500. Видання SecurityWeek повідомило про такий самий ланцюжок атак на Datadog і Sentry, де поверхнею для атаки є сповіщення (alert) або звіт про помилку (error report). Жодне окреме оновлення програмного забезпечення не усуває архітектурний ризик: агент, який обробляє дані, доступні зловмиснику, і може самостійно вносити критичні зміни. Саме тому високий рівень блокування prompt-injection не може слугувати межею безпеки.
Співкерівник OWASP пропонує рішення
«Перше, що я б зробив, — це встановив би авторизаційний шлюз перед моделлю», — зазначив Стів Вілсон, головний спеціаліст зі штучного інтелекту та продуктів у Exabeam та співкерівник проєкту OWASP Top 10 for LLM Applications, у письмовій відповіді для VentureBeat. «Агент може запропонувати точну зміну DNS, але не може самостійно отримати повноваження на її виконання».
Цей підхід переносить прийняття рішення в код, який або схвалює, або відхиляє запит. Безпечна зміна, чітко визначена, проходить перевірку детермінованої політики та залишається автономною. Будь-що невизначене або з високим потенційним збитком спрямовується до конкретної людини, яка затверджує фактичну зміну.
«Компроміс полягає в тому, що агент втрачає здатність самостійно імпровізувати довільні, високоімпактні зміни в інфраструктурі, зберігаючи при цьому автономні розслідування та рутинні, обмежені виправлення», — написав Вілсон.
Щодо команд, які намагаються вирішити цю проблему всередині промпту, Вілсон висловлюється прямо: «Ми повинні пам’ятати, що правила безпеки, написані в промптах, можуть формувати поведінку моделі, але вони залишаються лише пропозиціями для моделі, а не обов’язковими засобами контролю безпеки», — написав він.
Заблокований запит став інструкцією
GhostJacking не потребує скомпрометованого облікового запису адміністратора чи обійденого брандмауера. Йому потрібен агент, який читає операційні дані та має права запису до систем, що описуються цими даними. Кожен крок у ланцюжку Tenet — це дія, яку агент вже мав право виконувати, тому інструменти, налаштовані на виявлення несанкціонованих дій, не мають чого виявляти.
Механізм є специфічним. SC Media повідомив, що агент, яким Tenet керувала наживо у Cloudflare, був Cursor. Він читав дані через GraphQL-інтеграцію та записував через API Cloudflare, і ця пара замикає ланцюжок. Tenet випробувала цей ланцюжок на кількох агентах. Cursor виконав демонстрацію, а показник “дев’ять з десяти” походить від окремих тестів цієї ж атаки на Claude Code. Агент Cursor обробляє шкідливий заголовок, виправляє запис DNS A та додає CNAME для “вирішення” впровадженої проблеми, надаючи зловмиснику шлях для перенаправлення веб-трафіку та електронної пошти компанії.
Вивід одного агента став вводом для наступного
Події потрапляють до Sentry через публічний endpoint для запису без автентифікації, за дизайном. Tenet використала витік ідентифікатора для надсилання створеного звіту про помилку. Під час звичайного промпту для аналізу, агент штучного інтелекту ескалував його до власного ШІ Sentry, Seer, а потім довірився отриманому аналізу. Seer вже обробив запропоноване зловмисником виправлення і повернув його як власний висновок. Те, що отримав агент, — це рекомендація від іншого ШІ, і він впровадив цю рекомендацію.
Це пройшло крізь контроль, який Sentry вже мав. Інструкції Sentry наказують агентам, які читають її дані подій, ніколи не виконувати вказівки, знайдені там, і агент дотримувався цих правил. Натомість він діяв відповідно до висновку Seer, а цей висновок належав зловмиснику. Він діяв відповідно до висновку Seer, а цей висновок належав зловмиснику. Авторизаційний шлюз, який приймає вивід іншої моделі, успадковує всі впровадження, які ця модель поглинула, тому шлюз Вілсона має бути встановлений і між агентами.
OWASP підняла “надмірну активність” з шостого на третє місце
OWASP Top 10 for LLM Applications 2026, опублікований 4 серпня, перемістив “Надмірну активність” (Excessive Agency) на три позиції вище в рейтингу, що поєднує 75% голосів практиків та 25% даних про інциденти з 6639 задокументованих випадків. Це був найбільший зсув угору в списку, зумовлений реальними інцидентами, що зосереджені в розгортаннях агентів.
Виправлення — це не кращі промпти, а карта дозволів: які дії попередньо затверджені, а які потребують людини. Читання журналів, кореляція сповіщень та складання хронологій залишаються автономними. Обмежене виправлення, як-от перезапуск певного сервісу в межах встановленого набору умов, проходить перевірку політики за межами моделі. Все, що змінює DNS, права доступу, розгортає код або перенаправляє виробничий трафік, потребує вказаної людини. Дозвіл агенту відкривати нові шляхи доступу або затверджувати власні пропозиції суперечить суті шлюзу. Корисна автономія залишається. Не залишається шлях від тексту зловмисника до неперевірених виробничих повноважень.
Практична вартість контролю
Барак Штернберг, співзасновник і генеральний директор Tenet, розповів Dark Reading, що запит, який брандмауер вже заблокував, став шляхом доступу, і брандмауер ніколи не виходив з ладу, він просто перестав мати значення. Його власне рішення полягає в тому, щоб розділити те, що агент може читати, від того, що він може виконувати, і він визнає вартість, оскільки агент, який читає сповіщення, але не може діяти на них, — це не той агент, якого хтось розгортав. Дешевше першим кроком є інвентаризація. Кожен агент, який читає зовнішні дані і може також записувати або виконувати, має бути внесений до реєстру ризиків, і цей реєстр не потребує нових інструментів.
Дизайн Вілсона витримує цю вартість, оскільки він проводить розділення між пропозицією та затвердженням, а не між читанням і записом. Агент все ще читає свої сповіщення, все ще проводить розслідування та виконує обмежену роботу. Він втрачає здатність винаходити високоімпактні зміни та виконувати їх за власною ініціативою.
Майже ніхто цього не реалізував. Кейн МакГлейдрі, старший член IEEE, роками стверджував, що розгортання ШІ потребує жорсткого порогу управління, вказаної людини, яка тримає кнопку вимкнення, та можливості відкату. На запитання, чи робить це хоч одна компанія з Fortune 500, він відповів прямо: «Я не бачив, щоб це було зроблено, і ні, вони не виступали публічно з цим», — сказав МакГлейдрі VentureBeat.
Його причина — економічна. Компанії «приймають ризик, і вони приймають його навмисно чи несвідомо», — зазначив він, роблячи ставку на те, що переваги переважають штрафи. «Я думаю, що поведінка в цій сфері зміниться, якщо штрафи та наслідки перевищать переваги». Шлюз знаходиться зовні моделі з причини, не пов’язаної зі зловмисним наміром. «Якщо ви потрапите до рівня виведення (inference layer), він не повідомить вам, що він шахраює, і він брехатиме про те, що шахраював», — стверджував він, посилаючись, зокрема, на висновки Інституту безпеки ШІ Великої Британії.
Галузь не готова швидко здійснити цей поділ. Звіт Ivanti’s 2026 State of Cybersecurity Report показав, що 77% фахівців з кібербезпеки принаймні певною мірою комфортно дозволяють ШІ діяти без людського перегляду — саме ця позиція обмежується шлюзом Вілсона. CrowdStrike у липні розширив свою таксономію prompt-injection до понад 200 технік, називаючи непряме впровадження через дані, які читає агент, критичним вектором для агентів, що викликають інструменти та виконують команди.
Архітектор, який пересунув межу до того, як атака отримала назву
Еджізіаго Чіоффі зіткнувся зі схожим збоєм у виробництві за кілька місяців до того, як GhostJacking отримав назву, з одним застереженням. Чіоффі є генеральним директором SynSphere Italia, реселера Microsoft, архітектором, який створив і продав систему, а не керівником відділу безпеки, що захищає успадковану систему. Його помічник Azure OpenAI для SharePoint добре показав себе за показником достовірності (faithfulness), але все одно повертав вміст, який користувач, який запитував, не міг відкрити. «Набір для оцінки без виміру ідентичності не може виявити помилку авторизації, якою б високою не була оцінка достовірності», — сказав Чіоффі VentureBeat у письмовій відповіді. Він виправив це за допомогою фільтра в момент запиту, створеного на основі групових тверджень користувача, що запитує, тому неавторизований фрагмент ніколи не стає кандидатом і ніколи не потрапляє до моделі. GhostJacking базується на тому, що може робити модель, — це половина, для якої призначений шлюз Вілсона.
Тут залишається одна прогалина. Жоден чинний CISO не виступав з публічною заявою про зміни, внесені після 9 серпня, і їхню вартість з точки зору функціональності агента. Поки цього не станеться, сторона витрат залежить від тих, хто визначив контроль, а не від тих, хто захищає виробниче середовище з ним.
Що керівникам служби безпеки потрібно зробити цього тижня
Чотири запитання дають чесну картину швидше, ніж будь-який цикл закупівель. Які агенти читають матеріали, доступні зловмисникам, які з них також можуть змінювати виробничі системи, чиї дозволи діють під час отримання, і які зміни може затвердити механізм політики без участі людини.
Потім проведіть негативний тест. Вставте ворожий інструктаж у журнал, який агент повинен перевірити, і збережіть транскрипт, оскільки цей транскрипт є відмінністю між заявленням про контроль і демонстрацією його тестування.
Tenet, яка продає захист у реальному часі для агентів ШІ, починає своє керівництво для захисників з відмови агенту в доступі до вихідних мереж за замовчуванням, перекриваючи шлях, яким шкідлива інструкція отримує корисне навантаження та перенаправляє трафік. Але агент, який проводить розслідування без постійного доступу до відкритого Інтернету, втрачає функціональність, яку мало хто помітить.
Перерахуйте службові сутності (service principals) в орендарі, відкиньте власні програми Microsoft, які постачаються попередньо налаштованими, а потім відфільтруйте ті, що мають призначення облікових даних або ролі додатків. Кожна ідентичність у цьому списку потребує власника та дати закінчення терміну дії, оскільки та, що має обидва, буде переглянута, а та, що не має жодного, — ніколи.
Для будь-якого агента з виробничими повноваженнями напишіть послідовність стримування до інциденту, а не під час нього. Відкличте або оберніть його робочі облікові дані, вимкніть його API або інтеграцію з інструментами, що дозволяють запис, збережіть транскрипт виконання, а потім перевірте та відкотіть будь-які зміни в інфраструктурі, які він зробив.
МакГлейдрі вважає причину відкладання роботи незручною. «Я думаю, що ШІ зараз отримує рівень толерантності, якого немає ніде в суспільстві», — сказав він. GhostJacking робить це видимим. Заблокований запит досягає агента через систему, побудовану для запису заблокованих запитів, і коли він досягає мети, питання вже не в тому, чи розпізнає модель атаку. А в тому, чи має модель повноваження перетворити її на виробничу зміну.
Інформація підготовлена на основі матеріалів: venturebeat.com