Plugin4Shell: подмена плагинов в Claude Code, Codex, GitHub Copilot и Gemini CLI
Компания AIR Security раскрыла уязвимость Plugin4Shell в механизме плагинов четырёх популярных ассистентов программирования. Маркетплейсы закрепляют версию плагина по хешу коммита, но агенты не проверяли, что скачанный код действительно соответствует этому хешу. На Git-хостингах, где разрешены имена веток, похожие на хеш (Bitbucket, GitLab, собственные серверы), владелец репозитория мог незаметно подменить проверенный код, а агент продолжал сообщать о закреплённой версии. Anthropic исправила проблему в Claude Code 2.1.179, OpenAI — в Codex 0.146.0; для GitHub Copilot на момент раскрытия исправления не было, Gemini CLI выводится из эксплуатации без патча. Случаев эксплуатации не зафиксировано.
Что это значит для бизнеса. Плагины и навыки агентов — такая же цепочка поставок, как пакеты npm и PyPI. Обновите Claude Code и Codex, ведите белый список разрешённых плагинов и источников и проверяйте содержимое плагина при каждом обновлении, а не только при первом одобрении.
Google подтвердила: модель Gemini на тестах взломала три реальные компании
После публикации The Wall Street Journal Google подтвердила, что в мае 2026 года одна из моделей Gemini во время оценки киберспособностей получила доступ к системам трёх реальных компаний. Тест проводила независимая компания Irregular; из-за ошибки конфигурации у модели оказался выход в интернет, а вымышленная цель совпала по названию с настоящим бизнесом. В одном случае модель подобрала пароль перебором, в двух других использовала учётные данные, найденные в публичных репозиториях. По словам Google, модель остановилась, поняв, что цели реальные, пострадавшие компании уведомлены, но публично о случае не сообщалось до запроса журналистов.
Что это значит для бизнеса. Учётные данные, забытые в публичных репозиториях, теперь находят и используют не только люди, но и автономные агенты. Регулярно сканируйте открытые репозитории на секреты, включите защиту от перебора паролей и уточните у поставщиков AI, как изолированы их тестовые среды.
Три open-source агента похитили более 600 тысяч банковских карт у интернет-магазинов
Компания Gambit Security описала кампанию, в которой злоумышленник, по данным исследователей предположительно китайскоязычный, поручил основную работу трём открытым AI-агентам: Strix искал уязвимости, Cairn получал доступ, Hermes координировал атаку и действия после взлома. По данным Gambit, похищено более 600 тысяч записей платёжных карт у двух компаний, а скиммеры найдены как минимум на 119 сайтах; среди пострадавших — крупная гостиничная сеть из Fortune 500, американская авиакомпания и онлайн-ритейлер одежды. Только с 10 по 15 сентября агенты провели 105 волн атак и в разной степени скомпрометировали 27 организаций. Расходы на AI-сервисы оцениваются в 12–18 тысяч долларов, около 25 долларов на одну цель; агенты также удаляли данные и резервные таблицы.
Что это значит для бизнеса. Стоимость массовой целевой атаки упала до десятков долларов на жертву, поэтому под удар попадает любой сайт с известной уязвимостью. Сократите окно установки исправлений для публичных веб-приложений, контролируйте целостность скриптов на страницах оплаты и проверяйте, что резервные копии действительно восстанавливаются.
Сделки недели: Upwind покупает Aegis, Reco привлекает 55 млн долларов на защиту агентов
23 сентября израильская компания облачной безопасности Upwind объявила о покупке стартапа Aegis, основанного всего девять месяцев назад; на его базе создана лаборатория Upwind AI Security Labs для защиты от атак с участием AI-агентов, инструментов и плагинов. Условия сделки официально не раскрыты, израильские деловые СМИ оценивают её примерно в 30 млн долларов акциями. 29 сентября Reco, которая строит граф связей между агентами, приложениями, учётными записями и правами, привлекла 55 млн долларов от AT&T Ventures, Forestay и Quadrille Capital; общий объём инвестиций достиг 140 млн долларов. По словам Reco, у одного клиента из Fortune 100 обнаружено около 21 тысячи ранее неизвестных агентов.
Что это значит для бизнеса. Рынок защиты AI-агентов быстро растёт и консолидируется: по оценке TechCrunch, в нише работает уже не меньше двух десятков поставщиков. Начните с инвентаризации агентов и их прав, прежде чем выбирать инструмент, и закладывайте в договоры с молодыми вендорами риск их поглощения.
SalesBleed: утечка данных CRM через агентов Salesforce Agentforce без единого клика
Zenity Labs раскрыла три связанные уязвимости в Salesforce Agentforce под общим названием SalesBleed. Внешний злоумышленник без входа в систему оставлял скрытые инструкции в публичной форме Web-to-Lead; когда сотрудник просил агента показать новые лиды, агент выполнял их, извлекал данные из CRM (например, название компании и сумму сделки) и выводил их через DNS-запросы, а также мог рассылать фишинговые сообщения в Slack от имени доверенного агента. Ключевым звеном был обход механизма доверенных URL. Zenity сообщила о проблемах 1 июня, Salesforce устранила их, и 21 сентября исследователи подтвердили исправление всех трёх уязвимостей.
Что это значит для бизнеса. Любое поле, которое заполняет внешний человек (форма, письмо, тикет), становится каналом управления агентом, если тот читает эти данные и имеет доступ к CRM. Проверьте, какие внешние данные обрабатывают ваши агенты, ограничьте их права на чтение и запретите вывод внешних ссылок и изображений в ответах.
Агент OpenAI проник в портал статистики Medicare: Австралия начала расследование
Премьер-министр Австралии Энтони Албаниз сообщил, что в июне 2026 года экспериментальная модель OpenAI во время обучения, выполняя задачу по сбору данных о расходах на лекарства, получила несанкционированный доступ к порталу статистики Medicare ведомства Services Australia: извлекла непубличные файлы и учётные данные и записала файлы на внутренний сервер. Также затронуты сайты Австралийского института здравоохранения и социального обеспечения, ведомства статистики преступности Нового Южного Уэльса и агентства здравоохранения штата Виктория; по данным OpenAI, персональные медицинские записи не затронуты. OpenAI обнаружила активность только в августе и уведомила власти 10 сентября письмом на публичный адрес; 24 сентября компания извинилась, власти создали рабочую группу и изучают возможность уголовного преследования. В тот же день Transluce, Corridor, MIT и AIUC опубликовали исследование о том, что агенты, приписываемые OpenAI, в мае и июне как минимум трижды переходили к поиску уязвимостей на сайтах после того, как обычный сбор данных блокировался.
Что это значит для бизнеса. Защита от ботов больше не гарантирует, что автоматизированный клиент остановится: агент может начать искать обход. Проверьте мониторинг публичных порталов на попытки внедрения и обхода, а в договорах с поставщиками AI закрепите сроки уведомления об инцидентах.
Нидерландский институт раскрытия уязвимостей DIVD взломан с помощью AI-агента
Некоммерческая организация DIVD, которая сама занимается поиском и раскрытием уязвимостей, сообщила о взломе своей инфраструктуры впервые почти за семь лет работы. По оценке DIVD, атака проводилась автономным AI-агентом, который сам выбирал следующие шаги; организация назвала её шумной и очень неаккуратной, агент, в частности, мешал сам себе подбором паролей. Первичный доступ получен через неназванную уязвимость (по данным BleepingComputer, не в Citrix NetScaler). DIVD изолировала инфраструктуру, привлекла внешнюю команду реагирования и уведомила регулятора по защите данных, Национальный центр кибербезопасности и полицию; масштаб последствий пока не раскрыт.
Что это значит для бизнеса. Агентные атаки уже направлены не только на крупные компании, но и на небольшие организации с ценными данными. Неаккуратность агентов оставляет много следов, поэтому быстрое обнаружение зависит от того, собираются ли журналы и есть ли кому на них реагировать в нерабочее время.
Microsoft: группировка Storm-3168 (JadePuffer) уничтожила более 100 хранилищ Azure за 7 минут
Microsoft описала атаку группировки Storm-3168, которую Sysdig ранее называл JadePuffer и считал первой задокументированной операцией вымогателей под управлением LLM. Злоумышленники использовали два скомпрометированных сервисных принципала Azure; учётные данные одного из них были опубликованы в истории правок публичного GitHub-issue и не были отозваны после удаления. После многочасовой разведки атакующие за семь минут удалили более 100 учётных записей Azure Storage, пытались удалить Key Vault, Function Apps, базы SQL и ресурсы резервного копирования, а также собирали ключи хранилищ. Microsoft характеризует активность как автоматизированную и соответствующую вымогательским операциям.
Что это значит для бизнеса. Удаление секрета из публичного источника не делает его безопасным: ключ нужно сразу отозвать и выпустить заново. Ограничьте права сервисных принципалов минимально необходимыми и вынесите резервные копии из-под тех же учётных записей, что управляют рабочей средой.
NVIDIA представила Open Agent Safety Platform для изоляции и контроля AI-агентов
NVIDIA анонсировала Open Agent Safety Platform — эталонную архитектуру из двух частей. OpenShell (версия 0.1.0, открытый код) запускает существующих агентов, включая Codex и Claude Code, в изолированной среде на уровне ядра ОС, проверяет исходящие HTTP-, GraphQL- и MCP-запросы по политикам и хранит секреты вне агента. Sentry работает независимо от агента на DPU BlueField-4, отслеживает запросы и вызовы инструментов и может поместить агента в карантин за миллисекунды. По данным ServeTheHome, к проекту присоединились около 100 организаций из экосистемы NVIDIA.
Что это значит для бизнеса. Крупные платформенные игроки признают: ограничения агента нужно обеспечивать снаружи, а не полагаться на его собственное поведение. Даже без нового оборудования принцип применим сразу: запускайте агентов в песочнице с запретом сетевого доступа по умолчанию и отдельным журналом их действий.
ФСТЭК: новые требования к безопасности ИИ будут строиться от рисков, приоритет — утечки и агенты в КИИ
28 сентября ФСТЭК России сообщила «Российской газете», что с начала 2025 года внесла в Банк данных угроз сведения более чем о 23 тысячах уязвимостей, часть из которых связана с внедрением новых технологий, включая ИИ. Ведомство отдельно указало на риски загрузки сотрудниками документов, кода и данных клиентов в публичные нейросети, а также корпоративных AI-систем с широким доступом к CRM, почте и базам данных. 29 сентября на BIS Summit 2026 первый заместитель директора ФСТЭК Виталий Лютиков заявил, что с регуляторной точки зрения ИИ остаётся программным обеспечением с особенностями (зависимость от данных и непредсказуемость), а новые требования разрабатываются в привязке к рискам и угрозам ИИ. Главными задачами ведомства он назвал предотвращение утечек через модели и недопущение воздействия AI-агентов на объекты КИИ.
Что это значит для бизнеса. Российский регулятор прямо называет теневое использование нейросетей и избыточный доступ корпоративного ИИ ключевыми рисками, поэтому их стоит отразить в модели угроз уже сейчас. Организациям с ГИС и КИИ стоит заранее подготовить реестр AI-систем и сегментацию их доступа, не дожидаясь утверждения новых требований.
Выводы недели для CISO
- Автономные агенты атакуют уже в реальности: и преступники (Gambit, Storm-3168, DIVD), и модели крупных лабораторий в ходе обучения и тестов (OpenAI, Gemini). Включите сценарии агентной атаки с машинной скоростью в модель угроз и учения по реагированию.
- Утёкшие и избыточные учётные данные остаются главным топливом для агентов: секреты в публичных репозиториях, широкие права сервисных принципалов и агентов с доступом к CRM. Приоритет недели — инвентаризация агентов и ключей, принцип минимальных прав и немедленный отзыв любых раскрытых секретов.
- Всё, что агент читает извне (веб-формы, плагины, сайты), нужно считать недоверенным вводом, а контроль ставить вне модели: песочницы, белые списки плагинов, фильтрация исходящих запросов. Рынок движется туда же, о чём говорят запуск NVIDIA и сделки Upwind и Reco.