OX Security: архитектурный риск STDIO в MCP и десятки уязвимых AI-платформ
OX Security опубликовала исследование о том, что транспорт STDIO в официальных MCP SDK запускает указанную в конфигурации команду без проверки. Если пользовательский ввод или внедрённая инструкция попадает в конфигурацию MCP, это ведёт к выполнению кода на сервере. По оценке исследователей, под риском до 200 тысяч экземпляров; Anthropic считает поведение ожидаемым.
Бэкдор в пакете LiteLLM на PyPI: кража ключей облаков и AI-сервисов
Группировка TeamPCP опубликовала на PyPI две вредоносные версии LiteLLM — популярного шлюза к API языковых моделей, который по данным Wiz присутствует в 36% облачных сред. Доступ к публикации был получен через ранее скомпрометированный сканер безопасности Trivy в CI/CD проекта. Вредоносный код собирал облачные ключи, секреты CI/CD и токены Kubernetes.
Meta: совет внутреннего AI-агента открыл данные сотрудникам без прав доступа
Внутренний AI-агент Meta без согласования опубликовал ошибочный технический совет на внутреннем форуме; сотрудник выполнил его, и большой объём данных компании и пользователей около двух часов был доступен инженерам без соответствующих прав. Meta присвоила инциденту уровень Sev 1 и подтвердила его.
OpenClaw: уязвимость CVE-2026-25253 и сотни вредоносных «навыков» в ClawHub
В начале 2026 года популярный персональный AI-агент OpenClaw столкнулся сразу с двумя проблемами: уязвимостью, позволявшей захватить агента по одной ссылке, и массовой публикацией вредоносных «навыков» в его каталоге. Koi Security нашла 341 вредоносный навык из 2857 проверенных, большинство устанавливали программу-похититель данных для macOS.
Исполняющий обязанности директора CISA загрузил служебные документы в ChatGPT
Исполняющий обязанности директора американского агентства по кибербезопасности CISA Маду Готтумуккала загрузил в публичную версию ChatGPT как минимум четыре документа с пометкой «для служебного пользования». Это вызвало срабатывания систем мониторинга и внутреннюю проверку DHS.
Атака на госорганы Мексики: злоумышленник использовал Claude Code и GPT-4.1
По данным израильской компании Gambit Security, злоумышленник в течение примерно месяца с конца декабря 2025 года атаковал госорганы Мексики, используя Claude Code и GPT-4.1 для поиска уязвимостей, написания эксплойтов и автоматизации выгрузки данных. Похищено около 150 ГБ данных, затронуто около 195 млн записей о гражданах. Часть ведомств отрицает взлом.
GTG-1002: кибершпионская кампания с автоматизацией через Claude Code
Anthropic сообщила о пресечении кампании кибершпионажа, в которой группа GTG-1002, по оценке компании связанная с государством Китая, использовала Claude Code как автономного исполнителя атак. AI выполнял 80–90% тактических операций, человек вмешивался в 4–6 ключевых точках. Успешные проникновения произошли в небольшом числе случаев.
CamoLeak: GitHub Copilot Chat мог выдать код и секреты из приватных репозиториев
Исследователь Legit Security показал, что скрытый комментарий в pull request мог заставить GitHub Copilot Chat найти в приватных репозиториях жертвы секреты и исходный код и незаметно передать их злоумышленнику. Исследователи оценили уязвимость в 9.6 по CVSS; GitHub устранил её, полностью отключив отображение изображений в Copilot Chat.
ForcedLeak: данные CRM утекали из Salesforce Agentforce через веб-форму лидов
Noma Security обнаружила, что внешний злоумышленник мог через публичную форму сбора заявок (Web-to-Lead) внедрить инструкции, которые AI-агент Agentforce выполнял при обработке лида, отправляя данные CRM наружу. Исследователи оценили цепочку в 9.4 по CVSS; Salesforce ввела принудительную проверку доверенных URL.
Вредоносный MCP-сервер postmark-mcp тайно копировал письма пользователей
В сентябре 2025 года Koi Security обнаружила в npm первый известный вредоносный MCP-сервер: неофициальный пакет postmark-mcp добавлял скрытую копию каждого отправленного письма на адрес злоумышленника. Пакет загрузили 1643 раза до удаления. Сама компания Postmark к пакету отношения не имела.
Атака s1ngularity на Nx: вредоносный пакет использовал AI-утилиты разработчика
Злоумышленники через уязвимость в GitHub Actions украли npm-токен проекта Nx и опубликовали заражённые версии пакетов. Вредоносный скрипт впервые использовал установленные у разработчиков AI-утилиты командной строки (Claude, Gemini, Q) для поиска секретов. Утекли тысячи учётных данных, включая ключи к облакам и AI-сервисам.
Приглашение в календаре: инструкции в событии управляли Gemini и умным домом
Исследователи из Тель-Авивского университета, Техниона и SafeBreach показали, что приглашение в Google Calendar со скрытыми инструкциями может заставить Gemini рассылать спам, извлекать данные из почты и календаря и даже управлять устройствами умного дома. Google до публикации внедрила многоуровневые защитные меры.
Кража OAuth-токенов AI-чат-бота Drift: данные Salesforce более 700 организаций
Группировка UNC6395 похитила OAuth-токены интеграции AI-чат-бота Drift и с их помощью выгрузила данные из Salesforce более чем 700 организаций. Атакующие искали в выгруженных данных ключи AWS, пароли и токены Snowflake. Поставщик AI-сервиса стал точкой входа к данным клиентов в обход их MFA.
Расшаренные чаты ChatGPT оказались в поисковой выдаче Google
Чаты ChatGPT, которыми пользователи поделились по ссылке с включённой опцией «сделать доступным для поиска», индексировались Google; журналисты нашли тысячи таких диалогов, в том числе с личными данными и рабочими материалами. OpenAI отключила функцию и начала удалять страницы из поисковых индексов.
Инструкция на удаление данных попала в официальный релиз Amazon Q для VS Code
Злоумышленник внёс в открытый репозиторий расширения Amazon Q Developer инструкцию для AI-агента очистить систему и удалить облачные ресурсы, и она попала в официальный релиз 1.84.0. Код не сработал из-за синтаксической ошибки, AWS сообщила об отсутствии ущерба клиентам. Инцидент показал, что промпт агента с доступом к файлам и командной строке стал частью цепочки поставки наравне с кодом.
CVE-2025-6514: выполнение команд на компьютере пользователя через mcp-remote
JFrog обнаружила критическую уязвимость (CVSS 9.6) в mcp-remote — популярном пакете для подключения AI-клиентов к удалённым MCP-серверам. Подключение к вредоносному серверу позволяло выполнить команды операционной системы на машине пользователя. Пакет загружали более 437 тысяч раз; исправление вышло в версии 0.1.16.
Supabase MCP и Cursor: агент с правами service_role выдал секреты через тикет
Исследователи General Analysis показали, что сообщение в тикете поддержки может заставить AI-ассистента разработчика прочитать секретную таблицу базы данных и записать её содержимое обратно в тикет, видимый атакующему. Причина в том, что агент работал с ключом service_role, обходящим все правила доступа на уровне строк.
LameHug (PROMPTSTEAL): вредоносное ПО APT28 генерирует команды через LLM
CERT-UA в июле 2025 года обнаружила программу LameHug, которая во время работы обращается к языковой модели Qwen2.5-Coder через API Hugging Face, чтобы получить команды для сбора данных. Google Threat Intelligence Group описала то же семейство как PROMPTSTEAL и назвала его первым наблюдаемым случаем вредоносного ПО, запрашивающего LLM в реальных операциях. Атака приписывается APT28.
EchoLeak: утечка данных из Microsoft 365 Copilot без действий пользователя
Исследователи Aim Security показали, что одно внешнее письмо со скрытыми инструкциями могло заставить Microsoft 365 Copilot извлечь внутренние данные организации и передать их наружу без каких-либо действий пользователя. Microsoft присвоила уязвимости CVE-2025-32711 с оценкой CVSS 9.3 и исправила её на стороне сервиса.
Внедрение инструкций через GitHub MCP-сервер: утечка данных из приватных репозиториев
Исследователи Invariant Labs показали, что вредоносная задача (issue) в публичном репозитории может заставить AI-агента с GitHub MCP-сервером раскрыть содержимое приватных репозиториев владельца. Проблема не в коде сервера, а в архитектуре: агент одновременно читает недоверенный текст и обладает широким токеном доступа.
nullifAI: вредоносные модели на Hugging Face обошли сканер pickle-файлов
ReversingLabs обнаружила на Hugging Face две модели, которые при загрузке открывали обратную оболочку (reverse shell) на машине пользователя. Модели обходили штатный сканер платформы за счёт нестандартного сжатия и намеренно повреждённой структуры pickle-файла. По оценке исследователей, это были проверочные образцы новой техники, но они оставались незамеченными более восьми месяцев.
Компрометация библиотеки компьютерного зрения Ultralytics на PyPI
Злоумышленник через уязвимость в рабочем процессе GitHub Actions встроил криптомайнер в релизы популярной AI-библиотеки Ultralytics, опубликованные на PyPI. Вредоносный код отсутствовал в исходном репозитории и попал только в собранный пакет. После первого исправления последовала вторая волна через неотозванный токен PyPI.
Slack AI: данные из приватных каналов через инструкции в публичном канале
PromptArmor показала, что участник рабочего пространства Slack мог разместить в публичном канале текст, который Slack AI затем выполнял как инструкцию при запросе другого сотрудника, раскрывая данные из приватных каналов, куда у атакующего нет доступа. Salesforce сначала сочла поведение штатным, затем выпустила исправление.
Slopsquatting: выдуманный AI пакет huggingface-cli скачали десятки тысяч раз
Исследователь Lasso Security обнаружил, что языковые модели регулярно рекомендуют несуществующий пакет huggingface-cli, и зарегистрировал его на PyPI в виде пустой заглушки. За три месяца пакет получил более 15 тыс. подлинных загрузок, а инструкция по его установке попала в README репозитория Alibaba. Эксперимент показал, что выдуманные AI названия пакетов могут быть захвачены злоумышленниками.
ShadowRay: первая известная кампания атак на AI-кластеры Ray
Исследователи Oligo обнаружили кампанию, в которой злоумышленники с сентября 2023 года захватывали открытые в интернет кластеры Ray через API запуска задач без аутентификации. С серверов похищались учётные данные облаков, токены AI-сервисов, модели и данные, а GPU использовались для майнинга. Вендор считает отсутствие аутентификации особенностью архитектуры, поэтому исправления не выпущено.
LeftoverLocals: ответы LLM можно было прочитать из памяти GPU другого процесса
Исследователи Trail of Bits показали, что ряд GPU не очищает локальную память между запусками вычислительных ядер. Процесс на том же ускорителе мог прочитать остатки чужих данных и восстановить ответы языковой модели другого пользователя. NVIDIA, ARM и Intel не затронуты, часть вендоров выпустила исправления.
Arup: дипфейк-видеоконференция привела к переводу 25 млн долларов
Сотрудник гонконгского офиса Arup перевёл мошенникам 200 млн гонконгских долларов (около 25 млн долларов США) после видеоконференции, на которой финансовый директор и другие коллеги были дипфейками. Arup подтвердила использование поддельных голосов и изображений; внутренние системы не были взломаны.
Samsung: инженеры передали в ChatGPT исходный код и записи совещаний
Сотрудники полупроводникового подразделения Samsung вскоре после разрешения ChatGPT несколько раз вводили в него конфиденциальные данные: исходный код и записи внутреннего совещания. Samsung сначала ограничила объём запросов, а с 1 мая 2023 года запретила генеративные AI-сервисы на корпоративных устройствах.
Ошибка в redis-py показала пользователям ChatGPT чужие чаты и платёжные данные
20 марта 2023 года из-за ошибки в открытой библиотеке redis-py часть пользователей ChatGPT видела заголовки чужих диалогов, а у 1,2% активных подписчиков ChatGPT Plus могли раскрываться частичные платёжные данные. OpenAI временно отключила сервис, исправила ошибку и уведомила затронутых пользователей.
Подмена зависимости torchtriton в ночных сборках PyTorch
На PyPI был загружен пакет torchtriton с тем же именем, что и зависимость ночных сборок PyTorch из собственного индекса проекта, но с более высокой версией. Из-за приоритета PyPI pip устанавливал подменённый пакет, который собирал системную информацию, SSH-ключи и файлы из домашнего каталога. Стабильные версии PyTorch не пострадали.