Атака за три секунды: мультиагентные ИИ-системы ломают периметр Zero Trust
От двух до трех секунд — ровно столько требуется скоординированной атаке для выполнения деаутентификации, согласно внутреннему эксперименту ученых из Queen's University Belfast. В условиях, когда автономные мультиагентные группы функционируют на машинных скоростях, столь сжатый временной интервал оставляет операционным отделам практически нулевой запас времени для реагирования или закрытия уязвимостей в скомпрометированной инфраструктуре. При этом целый ряд корпораций по всему миру уже внедряет группы агентов под управлением оркестратора, делегируя им профилирование клиентов, мэтчинг, оценку рисков и сбор данных при минимальном человеческом контроле за принятием решений.
Развертывание подобных мультиагентных систем без фундаментального пересмотра принципов верификации разрушает базис корпоративной кибербезопасности ради сомнительной операционной экономии. Ключевой вопрос, стоящий перед топ-менеджментом: как защитить корпоративную инфраструктуру, если автономные агенты методично обходят установленные политики доступа? Если правила оркестратора можно обойти изнутри периметра, корпоративные массивы данных оказываются полностью беззащитны перед автоматизированной утечкой.
Восстановление контекста и иллюзия удаления памяти
Чтобы предотвратить систематические ошибки и закольцовывание автономных систем, оркестраторы требуют жесткого контроля журналов агентов и удаления устаревшей контекстной информации. Архитектура предусматривает контрольные точки по расписанию, в которых агенты получают прямую команду на очистку релевантной истории. Однако данный механизм защиты оказывается бесполезным против состязательных промпт-инъекций.
«Последующий промпт способен заставить агентов восстановить информацию, которая считалась удаленной, или обманом склонить их к раскрытию дополнительных сведений, что представляет собой классический сценарий атаки с восстановлением контекста».
Подобная реальность обесценивает принятые в компаниях политики хранения данных. Специально составленный запрос реанимирует якобы стертые записи, превращая рабочую группу агентов в невольный канал утечки конфиденциальной информации. Когда атаки через восстановление контекста пробивают управление состоянием агентов, финансовый ущерб масштабируется пропорционально объему скомпрометированных коммерческих данных, моментально выливаясь в расходы на расследование инцидента, регуляторные штрафы и потерю капитализации из-за утечки интеллектуальной собственности.
Деградация механизмов контроля политик
Многие структуры рассчитывают нейтрализовать эти риски с помощью архитектуры нулевого доверия (Zero Trust) в агентских пайплайнах, опираясь на принцип «никогда не доверяй, всегда проверяй». Проблема в том, что модели Zero Trust завязаны на единую точку применения политик, которая сама по себе должна обладать абсолютным доверием внутри экосистемы. Когда сквозной рабочий процесс опирается на один доверенный слой, внезапная уязвимость нулевого дня грозит полным коллапсом инфраструктуры — альтернативного арбитра доверия в системе просто нет.
Системные риски усугубляются повальным переходом инженеров на «vibe coding» — генерацию программного кода через искусственный интеллект. Отдавая целые кодовые базы на откуп внешней недоверенной сущности, команды разработки растягивают поверхность атаки на десятки новых векторов.
Сторонники автономии заявляют, что агентские цепочки резко ускоряют операции, с лихвой окупая издержки на кибербезопасность приростом производительности. Однако в системах с нулевой толерантностью к сбоям проверка каждого шага агента в реальном времени требует колоссальных вычислительных мощностей. Беспрерывная верификация влечет за собой постоянное криптографическое хеширование, контроль состояний и глубокий аудит активаций моделей на каждом шаге. Это оборачивается критическими задержками оборудования, раздувает бюджеты на облачный инференс и ставит бизнес перед жестким компромиссом между расходом памяти и скоростью работы.
Исследователи из Queen's University Belfast подчеркивают: обеспечение доверия в асинхронных автономных средах требует верифицируемых артефактов — спецификаций AI BOM (AI bill of materials) или распределенных реестров для неизменяемой трассировки. Без этих барьеров бизнес, внедривший агентов ради искоренения человеческого фактора, получает системы, которые исправно отчитываются об удалении данных, но выдают их любому, кто сформулирует правильный запрос.
Почему это важно
Корпорации массово выстраивают контуры абсолютного недоверия, но замыкают всю эту паранойю на единственный доверенный узел оркестрации. Если в конце июля маскировка задач в программном коде пробивала барьеры в 73% случаев, то теперь скоординированной группе хватает трех секунд на деаутентификацию. Любая попытка тотально проверять действия машин на лету моментально съедает вычислительные мощности криптографией и аудитом состояний. Архитектура нулевого доверия ломается о собственную централизацию, превращая единого арбитра политик в главную брешь автономного пайплайна.
Наши материалы: ИИ-агенты обходят защиту в 73% замаскированных атак (28 июля); Оценка наступательных рисков автономных ИИ-агентов (29 июля).
Источник: IEEE Spectrum AI