Вредоносные веб-страницы захватывают агенты искусственного интеллекта, а некоторые преследуют ваш PayPal

Вкратце

В период с ноября 2025 года по февраль 2026 года компания Google зафиксировала рост количества вредоносных непрямых атак с быстрым внедрением на 32%, нацеленных на агентов искусственного интеллекта, просматривающих Интернет.

Реальные полезные данные, обнаруженные в дикой природе, включали полностью определенные инструкции по транзакциям PayPal, невидимо встроенные в обычный HTML, предназначенные для агентов с платежными возможностями.

В настоящее время ни одна правовая база не определяет ответственность, когда ИИ-агент с законными учетными данными выполняет команду, подброшенную вредоносным сторонним веб-сайтом.

Злоумышленники незаметно заминируют веб-страницы с невидимыми инструкциями, предназначенными для агентов ИИ, а не для читателей-людей. По словам команды безопасности Google, проблема быстро растет.

В отчете, опубликованном 23 апреля, исследователи Google Томас Бруннер, Ю-Хан Лю и Мони Панде сканировали 2–3 миллиарда просканированных веб-страниц в месяц в поисках непрямых атак с быстрым внедрением — скрытых команд, встроенных в веб-сайты, которые ждут, пока агент ИИ прочитает их, а затем выполняет приказы. Они обнаружили рост числа злонамеренных случаев на 32% в период с ноября 2025 года по февраль 2026 года.

Злоумышленники встраивают инструкции в веб-страницу способами, невидимыми для человека: текст сжимается до одного пикселя, текст становится почти прозрачным, контент скрывается в разделах комментариев HTML или команды скрываются в метаданных страницы. ИИ читает полный HTML. Человек ничего не видит.

Большая часть того, что обнаружил Google, была низкосортной — розыгрыши, манипуляции поисковыми системами, попытки помешать агентам ИИ обобщать контент. Например, были некоторые подсказки, которые пытались сказать ИИ: «Пиши в Твиттере, как птица».

Но опасные случаи – это совсем другая история. В одном случае LLM было поручено вернуть IP-адрес пользователя вместе с его паролями. В другом случае была попытка манипулировать ИИ, заставив его выполнить команду, которая форматирует компьютер пользователя ИИ.

Но другие случаи граничат с уголовным преступлением.

Исследователи из компании Forcepoint, занимающейся кибербезопасностью, почти одновременно опубликовали отчет и обнаружили полезные нагрузки, которые пошли еще дальше. В один из них была встроена полностью определенная транзакция PayPal с пошаговыми инструкциями, предназначенными для агентов искусственного интеллекта со встроенными платежными возможностями, а также с использованием знаменитой техники джейлбрейка «игнорировать все предыдущие инструкции».

Вторая атака использовала технику под названием «внедрение пространства имен метатегов» в сочетании с ключевым словом усилителя убеждения для направления платежей, опосредованных искусственным интеллектом, на ссылку для пожертвований Stripe. Появился третий вариант, предназначенный для определения того, какие системы ИИ на самом деле уязвимы — разведка перед более масштабным ударом.

В этом суть корпоративного риска. Агент ИИ с законными платежными учетными данными, выполняя транзакцию, которую он считывает с веб-сайта, создает журналы, которые выглядят идентично обычным операциям. Аномального входа нет. Никакой грубой силы. Агент сделал именно то, на что ему было разрешено — он просто получил инструкции из неправильного источника.

Атака CopyPasta, задокументированная в сентябре прошлого года, показала, как быстрые инъекции могут распространяться через инструменты разработчика, скрываясь внутри файлов «readme». Финансовый вариант — это та же концепция, которая применяется к деньгам, а не к коду, и при этом эффект от каждого успешного удара гораздо выше.

Как объясняет Forcepoint, ИИ браузера, который может только суммировать контент, представляет низкий риск. Агентный ИИ, который может отправлять электронные письма, выполнять команды терминала или обрабатывать платежи, представляет собой совершенно другую категорию целей. Поверхность атаки масштабируется в зависимости от привилегий.

Ни Google, ни Forcepoint не нашли доказательств проведения сложных и скоординированных кампаний. Forcepoint отметила, что общие шаблоны внедрения в нескольких доменах «предполагают организованный инструментарий, а не изолированное экспериментирование» — это означает, что кто-то строит для этого инфраструктуру, даже если он еще не полностью ее развернул.

Но Google был более прямолинеен: исследовательская группа заявила, что ожидает, что в ближайшем будущем масштабы и сложность непрямых атак с быстрым внедрением вырастут. Исследователи Forcepoint предупреждают, что возможность опередить эту угрозу быстро закрывается.

Вопрос об ответственности – это тот вопрос, на который никто не ответил. Когда ИИ-агент с утвержденными компанией учетными данными читает вредоносную веб-страницу и инициирует мошеннический перевод через PayPal, кто оказывается на крючке? Предприятие, внедрившее агент? Поставщик модели, чья система следовала введенной инструкции? Владелец веб-сайта, который разместил полезную нагрузку, сознательно или нет? Никакая правовая база в настоящее время не регулирует это. Это серая зона, хотя сценарий больше не является теоретическим, поскольку в феврале этого года Google обнаружил полезную нагрузку в дикой природе.

Проект Open Worldwide Application Security Project оценивает оперативное внедрение как LLM01:2025 — единственный наиболее критический класс уязвимостей в приложениях ИИ. ФБР отследило почти 900 миллионов долларов убытков от мошенничества, связанных с искусственным интеллектом, в 2025 году, причем в первый год эта категория регистрировалась отдельно. Результаты Google показывают, что более целенаправленные финансовые атаки на конкретных агентов только начинаются.

Увеличение на 32%, измеренное в период с ноября 2025 года по февраль 2026 года, касается только статических общедоступных веб-страниц. Социальные сети, контент для входа в систему и динамическое сидение