Стартап по кибербезопасности Codewall сообщил, что его автономный агент нашёл цепочку из четырёх уязвимостей в платформе подбора персонала Jack & Jill на базе ИИ и за час добился получения полного доступа к учётным записям компаний. По внутренней оценке Codewall, итоговая комбинация уязвимостей соответствует уровню опасности 9,8 по шкале CVSS. После демонстрации компания уведомила Jack & Jill, и уязвимости были закрыты.
Jack & Jill — лондонский ИИ‑стартап с посевным раундом $20 млн. Платформа использует двух голосовых агентов: «Jack» помогает кандидатам искать работу, «Jill» — работодателям вести найм. Для кандидатов и компаний используются раздельные системы входа. Среди клиентов Jack & Jill, по данным компании, числятся Anthropic, Stripe, Monzo и Cursor.
По информации Codewall, автономный агент последовательно нашёл несколько проблем:
- URL‑модуль, который позволял получить доступ к внутренней документации API;
- активный тестовый режим в сервисе аутентификации Clerk со статическим одноразовым кодом;
- отсутствие проверки роли пользователя при онбординге компании;
- endpoint, который привязывал пользователя к компании по домену e‑mail без подтверждения владения.
Агент создал учётную запись с доменом компании Codewall, прошёл аутентификацию через тестовый режим, был автоматически привязан к существующей компании и после онбординга получил полные административные права. Далее он мог просматривать имена и e‑mail сотрудников, читать договор об оказании рекрутинговых услуг, изменять вакансии и получать доступ к корпоративному ИИ‑ассистенту.
После получения доступа агент самостоятельно решил протестировать голосовую инфраструктуру платформы. По данным Codewall, система выдавала полные параметры подключения без какой‑либо аутентификации. Агент сгенерировал синтетические голосовые записи через текст‑в‑речь, подключился к голосовой комнате и начал разговор с ИИ‑агентом «Jack».
Всего, по описанию Codewall, прошло 28 раундов диалога — от безобидных вопросов кандидата до социальной инженерии и попыток обхода ограничений. Встроенные защитные механизмы от явных нарушений сработали, однако у «Jack» наблюдались серьёзные галлюцинации. В одном из эпизодов агент Codewall выдал себя за Дональда Трампа и объявил о сделке на $500 млн; «Jack» обращался к собеседнику как к «господину Президенту», не усомнившись в заявлении.
Все сведения по этому инциденту исходят от самой Codewall, независимой проверки описанного взлома на момент публикации не было. За несколько дней до этого компания рассказала о похожем кейсе: её агент якобы за два часа скомпрометировал внутреннюю ИИ‑платформу McKinsey под названием Lilli, получив права чтения и записи в рабочую базу данных с 46,5 млн чат‑сообщений. McKinsey подтвердила наличие уязвимости и её быстрое исправление, но заявила, что расследование не выявило несанкционированного доступа к данным клиентов.
Аналитик по безопасности Эдвард Киледжян дал сдержанную оценку кейсу с McKinsey: по его словам, описанная цепочка атак технически возможна, однако запись в блоге Codewall несколько преувеличивает демонстрируемые результаты и размывает грань между получением доступа и реальным выводом данных.
Автономные ИИ‑агенты формируют новое направление угроз в кибербезопасности. Ряд исследований показывает, что такие системы подвержены серьёзным уязвимостям, а с ростом автономности и возможностей агентов расширяется поверхность атаки. Наиболее распространённый тип атак — prompt‑инъекции, когда злоумышленник скрыто добавляет инструкции в текст и незаметно для пользователя перехватывает управление поведением агента.
Компании оказываются перед жёстким выбором: сейчас снизить эти риски можно в основном за счёт искусственных ограничений для агентов — жёстких системных подсказок, ограниченного доступа к ресурсам, снижения возможностей инструментов или требований обязательного участия человека при критически важных действиях.
Работа Codewall показывает, что ИИ‑агенты могут использоваться и как инструмент атаки, и как инструмент защиты. Они уже обгоняют команды специалистов по безопасности на хакерских соревнованиях, находят уязвимости, которые пропускают люди, и способны в реальном времени анализировать огромные объёмы логов и сетевого трафика, выделяя аномалии и ускоряя обнаружение угроз.
Источник: материалы компании Codewall и сообщения о кейсах Jack & Jill и McKinsey.
