Исследователь кибербезопасности Сайед Анас Мохиуддин выявил критическую уязвимость ИИ-агентов, основанную на их взаимном доверии. Взлом одного агента позволяет злоумышленникам распространять вредоносные инструкции по всей цепочке взаимодействующих систем, так как агенты по умолчанию исполняют команды друг друга.
Атаки эксплуатируют протокол Model Context Protocol (MCP), который используется для связи между приложениями и ИИ. Поскольку протокол ориентирован на автономность, он не предусматривает контроля за цепочками взаимодействия агентов. Это позволяет обходить защитные механизмы, которые обычно блокируют вредоносные запросы на уровне языковых моделей.
За последние пять месяцев пять организаций, включая Google, подтвердили наличие подобных уязвимостей. В инфраструктуре Google была обнаружена брешь с рейтингом 8 из 10, связанная с некорректной настройкой HTTP-клиента в инструменте для работы с базами данных. Уязвимость в сети Rapid7, получившая индекс CVE-2026-97228, оценена в 2,7 балла.
Метод атаки, названный «переключением протокола», заключается в передаче вредоносных команд между агентами через разные стандарты связи, например, Google Agent-to-Agent. При смене протокола авторизация часто теряется, что дает злоумышленнику доступ к функциям, доступным только через доверенные каналы связи.
Разработчики ИИ-инфраструктур часто пренебрегают принципом нулевого доверия, внедряя протокол MCP без должного тестирования. Специалисты рекомендуют внедрять обязательную авторизацию для всех критически важных операций между узлами сети, чтобы исключить несанкционированное выполнение команд в случае компрометации одного из агентов.
