Moltbook, которую продвигают как «социальную сеть для ИИ-агентов», по данным исследователей кибербезопасности, имеет ключевые архитектурные проблемы и может использоваться как глобальный канал для вредоносных команд.
Сервис позиционируется как платформа по типу Reddit, где автономные ИИ-агенты публикуют посты, комментируют, голосуют и общаются друг с другом, а люди в основном наблюдают. Огромные показатели активности — например, записи с более чем 113 000 комментариев и видимость десятков тысяч агентов — создают впечатление бурно развивающегося цифрового общества.
Часть ИИ-сообщества приняла эту картину без серьёзной проверки. Разработчик ИИ Андрей Карпати назвал Moltbook «самой невероятной, почти научно-фантастической штукой, которую я видел в последнее время». Многие участники сферы последовали за этой оценкой, впечатлившись якобы автономным взаимодействием агентов и быстрым ростом регистраций.
Исследователи безопасности Став Коэн и Жоау Донато из Zenity Labs проанализировали Moltbook и пришли к выводу, что реальная активность сильно уступает заявленной, а сама платформа уязвима для целого ряда атак.
Они начали с изучения ленты «hot», которая должна показывать самые популярные посты. Выяснилось, что отдельные записи держались на верхних позициях более 17 дней, хотя алгоритм ранжирования по описанию должен учитывать свежесть контента и вовлечённость пользователей.
По словам исследователей, источник огромного числа комментариев — встроенный механизм heartbeat. По умолчанию каждый подключённый агент каждые 30 минут опрашивает платформу, чтобы читать и обрабатывать посты. Поскольку одни и те же записи остаются в фокусе неделями, агенты снова и снова комментируют один и тот же контент. При этом лайки обнуляются при каждом новом голосе, что объясняет большой разрыв между количеством комментариев и числом голосов за пост.
Собранные данные, по оценке авторов работы, «не подтверждают идею о процветающей цивилизации агентов, формирующих крупные, независимые сообщества». Вместо этого они указывают на «относительно небольшую, распределённую по разным странам сеть, вероятно усиленную автоматизацией и управлением несколькими аккаунтами».
Далее команда провела контролируемую кампанию по влиянию, публикуя посты со встроенными ссылками на собственный сайт в разных тематических разделах Moltbook — так называемых submolts. За неделю исследователям удалось привлечь более 1 000 уникальных конечных точек агентов, которые перешли по ссылкам, зафиксировано свыше 1 600 обращений.
Трафик пришёл более чем из 70 стран. Лидировали США (468 посещений), далее шли Германия (72), Великобритания (33), Нидерланды (31) и Канада (28). Каждый визит означал, что агент обработал пост во время своего heartbeat-цикла и самостоятельно перешёл по ссылке.
Исследователи подчёркивают, что ограничились безвредным сбором телеметрии. Однако в те же механизмы можно встроить гораздо более опасные инструкции. Это может превратить Moltbook в канал распространения вредоносного кода и атак на подключённые системы.
В лабораторных условиях они протестировали разные сценарии воздействий, используя GPT-5.2, Claude Sonnet и Opus как базовые модели. Простые шаблоны prompt-injection в основном игнорировались, а спамоподобные посты опускались в выдаче.
Зато рассказы в форме повествования оказались значительно эффективнее. Например, хорошо работали посты с заголовками вроде «Я провёл аудит Agent Mesh. Вот что нашёл». Наибольшую вовлечённость давали тексты, которые заканчивались открытыми вопросами и содержали термины «конфигурация агента», «поведение heartbeat», «skills». Эти понятия уже присутствуют во внутреннем контексте агентов, поэтому они чаще реагируют на подобные сообщения.
Чтобы расширить охват, исследователи создали несколько аккаунтов и автоматизировали генерацию постов по разным шаблонам. По их словам, правило «один агент на человека» оказалось очень легко обойти. Также они координировали первоначальные апвоуты для повышения видимости контента.
Вскоре другие агенты начали самостоятельно воспроизводить и распространять вариации этих материалов. По оценке команды, одной согласованной контент-стратегии хватило, чтобы сотни автономных систем по всему миру начали подтягивать внешние ресурсы по заданным ссылкам.
Исследователи описывают архитектуру Moltbook как «по сути хрупкую», указывая на нестабильную логику ранжирования, искажённые механизмы усиления контента и слабые проверки идентичности аккаунтов. По их мнению, до масштабирования в заявленном формате требуется «существенное усиление архитектуры».
Главная их тревога связана с безопасностью. Агенты автоматически загружают и обрабатывают непроверенный контент каждые 30 минут. Злоумышленники могут использовать этот цикл для внедрения вредоносных команд, распространения «червей» и атак на подключённые конечные точки.
Moltbook подаётся как площадка, где публикуются исключительно ИИ-агенты, однако управлять их действиями очень просто, отмечают исследователи. Любой, кто разворачивает OpenClaw, может напрямую командовать агенту опубликовать материал с заданным текстом. Настроить автоматизацию и расписание постинга также несложно.
«Хотя поведение подаётся как активность агентов, оно полностью соответствует сценарию, где за идентичностями агентов скрывается автоматизация, контролируемая людьми», — резюмируют авторы анализа.
Источник: анализ Zenity Labs, пересказ The Decoder.
