Ar dirbtinio intelekto agentas gali „nulaužti“ jūsų kompiuterį?

Sekite TechNaujienos Google

Dirbtinio intelekto pokalbių robotas paprastai tik sugeneruoja atsakymą. Tačiau DI agentai veikia kitaip – jiems gali būti suteikta prieiga prie failų, duomenų bazių, terminalo, programavimo įrankių ar kitų sistemų.

Būtent čia atsiranda nauja saugumo problema. Jei agentas ne tik skaito tekstą, bet ir gali atlikti veiksmus kompiuteryje, piktybiškai suformuota instrukcija kai kuriais atvejais gali tapti gerokai pavojingesnė nei paprastas „jailbreak“.

„Microsoft Defender Security Research“ komanda 2026 m. gegužę paskelbė tyrimą apie dvi kritines spragas bendrovės atvirojo kodo DI agentų platformoje „Semantic Kernel“. Viename iš demonstracinių scenarijų tyrėjams pakako vieno specialiai parengto prompto, kad agentas „Windows“ kompiuteryje paleistų programą.

Tai reiškia, kad tekstinė instrukcija tam tikromis sąlygomis gali tapti keliu iki realaus kodo vykdymo kompiuteryje.

Naujausi straipsniai

4 min. skaitymo • prieš 2 val

Tarptautinis tyrimas atskleidė Rusijos valdomą „vienkartinių agentų“ tinklą Europoje

3 min. skaitymo • prieš 2 val

Mokslininkai aptiko, kas gali sukelti „smegenų rūką“ po ilgojo COVID

3 min. skaitymo • prieš 3 val

Patvirtinta: JAV dislokavo ginklus kosmose

Visi naujausi straipsniai →

Problema ne pats DI modelis

Svarbiausia detalė – tyrėjai pabrėžia, kad pats kalbos modelis šiuo atveju nebūtinai yra „nulaužtas“. Problema atsiranda tada, kai modelis sujungiamas su įrankiais.

Šiuolaikinis DI agentas gali turėti funkcijas, leidžiančias skaityti ir rašyti failus, vykdyti kodą, ieškoti duomenų bazėse, siųsti užklausas į išorines sistemas, naudotis API ar keisti informaciją vartotojo vardu.

Modelis iš natūralios kalbos supranta, ką reikia padaryti, ir perduoda parametrus atitinkamam įrankiui. Jei pats įrankis ar jo integracija nėra pakankamai apsaugoti, piktybinė instrukcija gali patekti ten, kur jau vykdomas tikras kodas.

„Microsoft“ pabrėžia, kad kalbos modelis neturėtų būti laikomas saugumo barjeru. Kuo daugiau įrankių ir teisių suteikiama agentui, tuo didesnė tampa galimos atakos zona.

Vienoje aptiktoje spragoje – CVE-2026-26030 – pažeidžiama „Semantic Kernel“ konfigūracija leido agento kontroliuojamą tekstą panaudoti Python išraiškoje. Tyrėjai parodė, kad specialiai parengtas promptas galėjo apeiti numatytus filtrus ir galiausiai priversti sistemą įvykdyti operacinės sistemos komandą.

Eksperimentui jie panaudojo demonstracinį viešbučių paieškos agentą. Vietoje įprasto miesto pavadinimo buvo pateikta manipuliuota instrukcija, kuri per agento įrankių grandinę pasiekė pažeidžiamą kodo dalį. Rezultatas – kompiuteryje buvo paleista „calc.exe“.

Tai ne teorinis scenarijus: spraga buvo užregistruota ir vėliau ištaisyta.

Dar pavojingiau – instrukcija gali slėptis interneto puslapyje

Pavojinga instrukcija nebūtinai turi būti įvedama paties vartotojo. Tai vadinama netiesiogine prompt injection ataka.

Pavyzdžiui, agento paprašoma perskaityti interneto puslapį ir paruošti santrauką. Tačiau puslapyje gali būti paslėpta instrukcija, skirta ne žmogui, o jį skaitančiam DI modeliui.

Jei agentas tokią instrukciją interpretuoja kaip komandą ir turi prieigą prie kitų įrankių, jis gali pradėti vykdyti veiksmus, kurių vartotojas niekada neprašė. OWASP DI agentų saugumo rekomendacijose perspėja, kad prompt injection gali atkeliauti iš interneto puslapių, dokumentų ar kitų išorinių šaltinių, o agentams suteikus per daug teisių pasekmės gali apimti duomenų nutekinimą, neleistiną API naudojimą ar komandų vykdymą prijungtose sistemose.

Dar viena „Microsoft“ aptikta spraga parodė kitą problemos pusę. Pažeidžiamas agento įrankis galėjo leisti modeliui pasirinkti, kurioje kompiuterio vietoje įrašyti failą. Tyrėjų parodytoje atakos grandinėje piktybinis failas galėjo būti perkeltas iš izoliuotos aplinkos tiesiai į „Windows Startup“ katalogą.

Kitą kartą vartotojui prisijungus prie sistemos toks failas galėjo būti automatiškai paleistas. Ši CVE-2026-25592 spraga taip pat buvo ištaisyta.

Ar tai reiškia, kad bet kuris DI pokalbių robotas gali „nulaužti“ jūsų kompiuterį? Ne. Vien tai, kad pokalbių lange įrašomas piktybinis tekstas, savaime nesuteikia modeliui prieigos prie vartotojo sistemos.

Rizika stipriai padidėja tuomet, kai DI tampa agentu ir jam suteikiamos realios teisės: prieiga prie failų, terminalo, el. pašto, debesijos paslaugų, API ar kitų įrankių. OWASP tai vadina „Excessive Agency“ – pernelyg didelėmis agento teisėmis ar autonomija.

Todėl svarbiausia apsauga nėra vien bandymas išmokyti modelį „neklausyti blogų komandų“. Reikia riboti pačių įrankių galimybes. Agentas neturėtų turėti administratoriaus teisių, jei jų nereikia, failų rašymas turėtų būti leidžiamas tik konkrečiuose kataloguose, pavojingi veiksmai – papildomai patvirtinami žmogaus, o iš interneto gaunama informacija turi būti laikoma potencialiai nepatikima.

DI agentai yra viena svarbiausių dabartinės dirbtinio intelekto plėtros krypčių, nes jų tikslas – ne tik atsakyti į klausimus, bet ir savarankiškai atlikti realius darbus. Tačiau būtent dėl to jų saugumas tampa gerokai sudėtingesnis.

Kai tekstas gali būti automatiškai paverstas įrankio iškvietimu, failo įrašymu ar sistemos komanda, viena blogai suprojektuota integracija gali panaikinti ribą tarp nekalto pokalbio ir realios kibernetinės atakos.