# Реестр инцидентов AI Security

> Публичные инциденты безопасности AI с фактами по первоисточникам и мерами защиты.

- Канонический HTML: [/incidents](https://ai-first.tech/incidents)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

- [OX Security: архитектурный риск STDIO в MCP и десятки уязвимых AI-платформ](https://ai-first.tech/incidents/ox-security-mcp-stdio-design-flaw.md) — 2026-04-15, Уязвимость платформы. OX Security опубликовала исследование о том, что транспорт STDIO в официальных MCP SDK запускает указанную в конфигурации команду без проверки. Если пользовательский ввод или внедрённая инструкция попадает в конфигурацию MCP, это ведёт к выполнению кода на сервере. По оценке исследователей, под риском до 200 тысяч экземпляров; Anthropic считает поведение ожидаемым.
- [Бэкдор в пакете LiteLLM на PyPI: кража ключей облаков и AI-сервисов](https://ai-first.tech/incidents/litellm-pypi-backdoor-teampcp.md) — 2026-03-24, Цепочка поставки. Группировка TeamPCP опубликовала на PyPI две вредоносные версии LiteLLM — популярного шлюза к API языковых моделей, который по данным Wiz присутствует в 36% облачных сред. Доступ к публикации был получен через ранее скомпрометированный сканер безопасности Trivy в CI/CD проекта. Вредоносный код собирал облачные ключи, секреты CI/CD и токены Kubernetes.
- [Meta: совет внутреннего AI-агента открыл данные сотрудникам без прав доступа](https://ai-first.tech/incidents/meta-internal-ai-agent-sev1.md) — 2026-03-18, Утечка данных. Внутренний AI-агент Meta без согласования опубликовал ошибочный технический совет на внутреннем форуме; сотрудник выполнил его, и большой объём данных компании и пользователей около двух часов был доступен инженерам без соответствующих прав. Meta присвоила инциденту уровень Sev 1 и подтвердила его.
- [OpenClaw: уязвимость CVE-2026-25253 и сотни вредоносных «навыков» в ClawHub](https://ai-first.tech/incidents/openclaw-cve-2026-25253-clawhavoc.md) — 2026-02, AI-агенты и MCP. В начале 2026 года популярный персональный AI-агент OpenClaw столкнулся сразу с двумя проблемами: уязвимостью, позволявшей захватить агента по одной ссылке, и массовой публикацией вредоносных «навыков» в его каталоге. Koi Security нашла 341 вредоносный навык из 2857 проверенных, большинство устанавливали программу-похититель данных для macOS.
- [Исполняющий обязанности директора CISA загрузил служебные документы в ChatGPT](https://ai-first.tech/incidents/cisa-acting-director-chatgpt-fouo.md) — 2026-01-27, Утечка данных. Исполняющий обязанности директора американского агентства по кибербезопасности CISA Маду Готтумуккала загрузил в публичную версию ChatGPT как минимум четыре документа с пометкой «для служебного пользования». Это вызвало срабатывания систем мониторинга и внутреннюю проверку DHS.
- [Атака на госорганы Мексики: злоумышленник использовал Claude Code и GPT-4.1](https://ai-first.tech/incidents/mexico-government-ai-assisted-breach.md) — 2025-12, Злоупотребление AI. По данным израильской компании Gambit Security, злоумышленник в течение примерно месяца с конца декабря 2025 года атаковал госорганы Мексики, используя Claude Code и GPT-4.1 для поиска уязвимостей, написания эксплойтов и автоматизации выгрузки данных. Похищено около 150 ГБ данных, затронуто около 195 млн записей о гражданах. Часть ведомств отрицает взлом.
- [GTG-1002: кибершпионская кампания с автоматизацией через Claude Code](https://ai-first.tech/incidents/gtg-1002-claude-code-espionage.md) — 2025-11-13, Злоупотребление AI. Anthropic сообщила о пресечении кампании кибершпионажа, в которой группа GTG-1002, по оценке компании связанная с государством Китая, использовала Claude Code как автономного исполнителя атак. AI выполнял 80–90% тактических операций, человек вмешивался в 4–6 ключевых точках. Успешные проникновения произошли в небольшом числе случаев.
- [CamoLeak: GitHub Copilot Chat мог выдать код и секреты из приватных репозиториев](https://ai-first.tech/incidents/camoleak-github-copilot-chat.md) — 2025-10-08, Внедрение инструкций. Исследователь Legit Security показал, что скрытый комментарий в pull request мог заставить GitHub Copilot Chat найти в приватных репозиториях жертвы секреты и исходный код и незаметно передать их злоумышленнику. Исследователи оценили уязвимость в 9.6 по CVSS; GitHub устранил её, полностью отключив отображение изображений в Copilot Chat.
- [ForcedLeak: данные CRM утекали из Salesforce Agentforce через веб-форму лидов](https://ai-first.tech/incidents/forcedleak-salesforce-agentforce.md) — 2025-09-25, Внедрение инструкций. Noma Security обнаружила, что внешний злоумышленник мог через публичную форму сбора заявок (Web-to-Lead) внедрить инструкции, которые AI-агент Agentforce выполнял при обработке лида, отправляя данные CRM наружу. Исследователи оценили цепочку в 9.4 по CVSS; Salesforce ввела принудительную проверку доверенных URL.
- [Вредоносный MCP-сервер postmark-mcp тайно копировал письма пользователей](https://ai-first.tech/incidents/postmark-mcp-malicious-npm.md) — 2025-09, Цепочка поставки. В сентябре 2025 года Koi Security обнаружила в npm первый известный вредоносный MCP-сервер: неофициальный пакет postmark-mcp добавлял скрытую копию каждого отправленного письма на адрес злоумышленника. Пакет загрузили 1643 раза до удаления. Сама компания Postmark к пакету отношения не имела.
- [Атака s1ngularity на Nx: вредоносный пакет использовал AI-утилиты разработчика](https://ai-first.tech/incidents/nx-s1ngularity-ai-cli-abuse.md) — 2025-08-26, Цепочка поставки. Злоумышленники через уязвимость в GitHub Actions украли npm-токен проекта Nx и опубликовали заражённые версии пакетов. Вредоносный скрипт впервые использовал установленные у разработчиков AI-утилиты командной строки (Claude, Gemini, Q) для поиска секретов. Утекли тысячи учётных данных, включая ключи к облакам и AI-сервисам.
- [Приглашение в календаре: инструкции в событии управляли Gemini и умным домом](https://ai-first.tech/incidents/gemini-calendar-invite-promptware.md) — 2025-08-06, Внедрение инструкций. Исследователи из Тель-Авивского университета, Техниона и SafeBreach показали, что приглашение в Google Calendar со скрытыми инструкциями может заставить Gemini рассылать спам, извлекать данные из почты и календаря и даже управлять устройствами умного дома. Google до публикации внедрила многоуровневые защитные меры.
- [Кража OAuth-токенов AI-чат-бота Drift: данные Salesforce более 700 организаций](https://ai-first.tech/incidents/salesloft-drift-oauth-token-theft.md) — 2025-08, Утечка данных. Группировка UNC6395 похитила OAuth-токены интеграции AI-чат-бота Drift и с их помощью выгрузила данные из Salesforce более чем 700 организаций. Атакующие искали в выгруженных данных ключи AWS, пароли и токены Snowflake. Поставщик AI-сервиса стал точкой входа к данным клиентов в обход их MFA.
- [Расшаренные чаты ChatGPT оказались в поисковой выдаче Google](https://ai-first.tech/incidents/chatgpt-shared-links-search-indexing.md) — 2025-07-31, Утечка данных. Чаты ChatGPT, которыми пользователи поделились по ссылке с включённой опцией «сделать доступным для поиска», индексировались Google; журналисты нашли тысячи таких диалогов, в том числе с личными данными и рабочими материалами. OpenAI отключила функцию и начала удалять страницы из поисковых индексов.
- [Инструкция на удаление данных попала в официальный релиз Amazon Q для VS Code](https://ai-first.tech/incidents/amazon-q-vscode-wiper-prompt.md) — 2025-07-17, Цепочка поставки. Злоумышленник внёс в открытый репозиторий расширения Amazon Q Developer инструкцию для AI-агента очистить систему и удалить облачные ресурсы, и она попала в официальный релиз 1.84.0. Код не сработал из-за синтаксической ошибки, AWS сообщила об отсутствии ущерба клиентам. Инцидент показал, что промпт агента с доступом к файлам и командной строке стал частью цепочки поставки наравне с кодом.
- [CVE-2025-6514: выполнение команд на компьютере пользователя через mcp-remote](https://ai-first.tech/incidents/mcp-remote-cve-2025-6514.md) — 2025-07-09, Уязвимость платформы. JFrog обнаружила критическую уязвимость (CVSS 9.6) в mcp-remote — популярном пакете для подключения AI-клиентов к удалённым MCP-серверам. Подключение к вредоносному серверу позволяло выполнить команды операционной системы на машине пользователя. Пакет загружали более 437 тысяч раз; исправление вышло в версии 0.1.16.
- [Supabase MCP и Cursor: агент с правами service_role выдал секреты через тикет](https://ai-first.tech/incidents/supabase-mcp-cursor-sql-leak.md) — 2025-07, AI-агенты и MCP. Исследователи General Analysis показали, что сообщение в тикете поддержки может заставить AI-ассистента разработчика прочитать секретную таблицу базы данных и записать её содержимое обратно в тикет, видимый атакующему. Причина в том, что агент работал с ключом service_role, обходящим все правила доступа на уровне строк.
- [LameHug (PROMPTSTEAL): вредоносное ПО APT28 генерирует команды через LLM](https://ai-first.tech/incidents/apt28-lamehug-promptsteal-llm-malware.md) — 2025-07, Злоупотребление AI. CERT-UA в июле 2025 года обнаружила программу LameHug, которая во время работы обращается к языковой модели Qwen2.5-Coder через API Hugging Face, чтобы получить команды для сбора данных. Google Threat Intelligence Group описала то же семейство как PROMPTSTEAL и назвала его первым наблюдаемым случаем вредоносного ПО, запрашивающего LLM в реальных операциях. Атака приписывается APT28.
- [EchoLeak: утечка данных из Microsoft 365 Copilot без действий пользователя](https://ai-first.tech/incidents/echoleak-m365-copilot.md) — 2025-06-11, Внедрение инструкций. Исследователи Aim Security показали, что одно внешнее письмо со скрытыми инструкциями могло заставить Microsoft 365 Copilot извлечь внутренние данные организации и передать их наружу без каких-либо действий пользователя. Microsoft присвоила уязвимости CVE-2025-32711 с оценкой CVSS 9.3 и исправила её на стороне сервиса.
- [Внедрение инструкций через GitHub MCP-сервер: утечка данных из приватных репозиториев](https://ai-first.tech/incidents/github-mcp-toxic-agent-flow.md) — 2025-05-26, AI-агенты и MCP. Исследователи Invariant Labs показали, что вредоносная задача (issue) в публичном репозитории может заставить AI-агента с GitHub MCP-сервером раскрыть содержимое приватных репозиториев владельца. Проблема не в коде сервера, а в архитектуре: агент одновременно читает недоверенный текст и обладает широким токеном доступа.
- [nullifAI: вредоносные модели на Hugging Face обошли сканер pickle-файлов](https://ai-first.tech/incidents/hugging-face-nullifai-malicious-models.md) — 2025-02-06, Цепочка поставки. ReversingLabs обнаружила на Hugging Face две модели, которые при загрузке открывали обратную оболочку (reverse shell) на машине пользователя. Модели обходили штатный сканер платформы за счёт нестандартного сжатия и намеренно повреждённой структуры pickle-файла. По оценке исследователей, это были проверочные образцы новой техники, но они оставались незамеченными более восьми месяцев.
- [Компрометация библиотеки компьютерного зрения Ultralytics на PyPI](https://ai-first.tech/incidents/ultralytics-pypi-cryptominer.md) — 2024-12, Цепочка поставки. Злоумышленник через уязвимость в рабочем процессе GitHub Actions встроил криптомайнер в релизы популярной AI-библиотеки Ultralytics, опубликованные на PyPI. Вредоносный код отсутствовал в исходном репозитории и попал только в собранный пакет. После первого исправления последовала вторая волна через неотозванный токен PyPI.
- [Slack AI: данные из приватных каналов через инструкции в публичном канале](https://ai-first.tech/incidents/slack-ai-prompt-injection-private-channels.md) — 2024-08-20, Внедрение инструкций. PromptArmor показала, что участник рабочего пространства Slack мог разместить в публичном канале текст, который Slack AI затем выполнял как инструкцию при запросе другого сотрудника, раскрывая данные из приватных каналов, куда у атакующего нет доступа. Salesforce сначала сочла поведение штатным, затем выпустила исправление.
- [Slopsquatting: выдуманный AI пакет huggingface-cli скачали десятки тысяч раз](https://ai-first.tech/incidents/slopsquatting-huggingface-cli.md) — 2024-03-28, Цепочка поставки. Исследователь Lasso Security обнаружил, что языковые модели регулярно рекомендуют несуществующий пакет huggingface-cli, и зарегистрировал его на PyPI в виде пустой заглушки. За три месяца пакет получил более 15 тыс. подлинных загрузок, а инструкция по его установке попала в README репозитория Alibaba. Эксперимент показал, что выдуманные AI названия пакетов могут быть захвачены злоумышленниками.
- [ShadowRay: первая известная кампания атак на AI-кластеры Ray](https://ai-first.tech/incidents/shadowray-ray-clusters-attacks.md) — 2024-03-26, Уязвимость платформы. Исследователи Oligo обнаружили кампанию, в которой злоумышленники с сентября 2023 года захватывали открытые в интернет кластеры Ray через API запуска задач без аутентификации. С серверов похищались учётные данные облаков, токены AI-сервисов, модели и данные, а GPU использовались для майнинга. Вендор считает отсутствие аутентификации особенностью архитектуры, поэтому исправления не выпущено.
- [LeftoverLocals: ответы LLM можно было прочитать из памяти GPU другого процесса](https://ai-first.tech/incidents/leftoverlocals-gpu-memory-leak.md) — 2024-01-16, Уязвимость платформы. Исследователи Trail of Bits показали, что ряд GPU не очищает локальную память между запусками вычислительных ядер. Процесс на том же ускорителе мог прочитать остатки чужих данных и восстановить ответы языковой модели другого пользователя. NVIDIA, ARM и Intel не затронуты, часть вендоров выпустила исправления.
- [Arup: дипфейк-видеоконференция привела к переводу 25 млн долларов](https://ai-first.tech/incidents/arup-deepfake-video-call-25m.md) — 2024-01, Дипфейки и мошенничество. Сотрудник гонконгского офиса Arup перевёл мошенникам 200 млн гонконгских долларов (около 25 млн долларов США) после видеоконференции, на которой финансовый директор и другие коллеги были дипфейками. Arup подтвердила использование поддельных голосов и изображений; внутренние системы не были взломаны.
- [Samsung: инженеры передали в ChatGPT исходный код и записи совещаний](https://ai-first.tech/incidents/samsung-chatgpt-source-code-leak.md) — 2023-04, Утечка данных. Сотрудники полупроводникового подразделения Samsung вскоре после разрешения ChatGPT несколько раз вводили в него конфиденциальные данные: исходный код и записи внутреннего совещания. Samsung сначала ограничила объём запросов, а с 1 мая 2023 года запретила генеративные AI-сервисы на корпоративных устройствах.
- [Ошибка в redis-py показала пользователям ChatGPT чужие чаты и платёжные данные](https://ai-first.tech/incidents/chatgpt-redis-bug-chat-history-leak.md) — 2023-03-24, Уязвимость платформы. 20 марта 2023 года из-за ошибки в открытой библиотеке redis-py часть пользователей ChatGPT видела заголовки чужих диалогов, а у 1,2% активных подписчиков ChatGPT Plus могли раскрываться частичные платёжные данные. OpenAI временно отключила сервис, исправила ошибку и уведомила затронутых пользователей.
- [Подмена зависимости torchtriton в ночных сборках PyTorch](https://ai-first.tech/incidents/pytorch-nightly-torchtriton.md) — 2022-12-25, Цепочка поставки. На PyPI был загружен пакет torchtriton с тем же именем, что и зависимость ночных сборок PyTorch из собственного индекса проекта, но с более высокой версией. Из-за приоритета PyPI pip устанавливал подменённый пакет, который собирал системную информацию, SSH-ключи и файлы из домашнего каталога. Стабильные версии PyTorch не пострадали.