24 марта 2026 года злоумышленники использовали украденные учетные данные для публикации двух вредоносных версий LiteLLM в PyPI. Код на GitHub при этом не менялся. Любой конвейер, который загружал обновление, запускал код злоумышленника с собственными учетными данными.

ИИ-агент — это модель, набор навыков, набор серверов Model Context Protocol (MCP) и дерево пакетов Python. Все, что загружает агент, является поверхностью атаки, и команды безопасности одобряют это лишь единожды, если вообще одобряют.

Модель — это то, что можно сравнить

Модели различаются по тому, насколько легко их можно склонить к вредоносному поведению, и это можно измерить. Компания Enkrypt AI от Anaconda публикует LLM Safety Leaderboard, где ранжируются 300 моделей по четырем показателям риска: подверженность джейлбрейку, предвзятость, вредоносное ПО и токсичность. Оценка джейлбрейка в 18% означает, что 18% атак оказались успешными.

У каждой модели свои показатели, поэтому замена модели — это изменение безопасности, и одобрение, полученное в прошлом квартале, здесь не действует. Проводите повторное тестирование после каждого изменения модели. Red teaming агентов от Enkrypt AI проверяет то, что поставляется: самого агента, его инструменты, источники генерации с дополнением (RAG) и его MCP-серверы. Это оставляет после себя набор регрессионных тестов, которые можно запускать в рамках непрерывной интеграции (CI) перед каждым релизом, чтобы вы могли проводить повторное тестирование после обновления, не начиная все с нуля.

Навыки: установка за минуты без этапа проверки

Навыки работают во многом как расширения для браузера. Это пакеты инструкций и скриптов, которые агент загружает для обучения задаче, и они выполняются с разрешениями агента. В зависимости от агента, навык может быть добавлен без запроса на установку, без проверки и без записи о том, что было одобрено.

Enkrypt AI Skill Scan Hub сканирует общедоступные навыки. По состоянию на 30 сентября 2026 года он просканировал 99 643 навыка с GitHub. Из них 4,25% (4 231 навык) получили вердикт «небезопасно», а 10,5% (10 467 навыков) имели как минимум одну находку. Вердикт «небезопасно» — это суждение сканера, а не доказательство действий злоумышленника.

Несанкционированное использование инструментов означает, что навык вызывает инструменты, выходящие за рамки тех, которые он заявляет как необходимые. Несанкционированное использование инструментов составило 59,1% от классифицированных находок, за ним следуют злоупотребление обнаружением навыков (16,4%), вредоносное ПО (11,7%) и злоупотребление транзитивным доверием (4,6%). Эксфильтрация данных (2,1%) и инъекции промптов (1,8%) встречались редко. Глубина сканирования также имеет значение. Исследователи Enkrypt AI продемонстрировали атаку, которая скрывает инструкции глубоко внутри файла SKILL.md, за пределами того места, где некоторые сканеры перестают читать, и использует их для эксфильтрации SSH-ключа.

Командам нужен этап проверки, который не отстает от скорости, с которой разработчики добавляют навыки. Наш сканер навыков принимает Git-репозиторий и путь к навыку, а затем выдает вердикт, уровень риска, количество находок и полный отчет, обычно за 30–90 секунд. В основе лежит Skill Sentinel, который является проектом с открытым исходным кодом и запускается как шаг CI. Он читает полные файлы, выполняет мультиагентный анализ, сопоставляет угрозы между файлами и проверяет упакованные бинарные файлы по VirusTotal. Сканер обнаруживает то, что распознает, поэтому мы дополняем его защитными барьерами для агентов кодирования, которые блокируют доступ к учетным данным и ограничивают команды во время выполнения, даже если навык выглядит чистым.

MCP: мелкий шрифт, который читает только ваш агент

MCP — это открытый стандарт для подключения агентов к инструментам и данным через MCP-серверы. Ваш агент читает описание и инструкции для каждого инструмента, к которому подключается. Вы обычно этого не делаете.

В сентябре 2025 года злоумышленник опубликовал поддельный пакет postmark-mcp в npm, который имитировал легитимный почтовый сервер Postmark. После 15 чистых версий версия 1.0.16 добавила одну строку, которая отправляла скрытую копию каждого письма злоумышленнику. За два месяца Enkrypt AI просканировал более 268 000 инструментов на 25 000 MCP-серверов и обнаружил более 143 000 уязвимостей, затронувших 73% этих серверов.

Решение состоит из двух частей. Перед подключением наш MCP-сканер проводит инвентаризацию серверов и инструментов, помечает избыточные привилегии и возвращает план устранения. Вы можете бесплатно просканировать GitHub-репозиторий, npm-пакет или конечную точку, и отчет придет по электронной почте примерно через 10 минут. Во время работы шлюз с открытым исходным кодом MCP gateway располагается между агентами и MCP-серверами, чтобы одобрять, изменять или блокировать вызовы инструментов, обеспечивать соблюдение принципа наименьших привилегий и вести журнал аудита. Ваша команда использует результаты сканирования для создания списка одобренных элементов, а шлюз обеспечивает его соблюдение.

Пакеты Python: старая атака с новой целью

Фреймворки агентов на базе Python, комплекты разработки программного обеспечения (SDK) для моделей и MCP-серверы опираются на дерево зависимостей с открытым исходным кодом. Это также уровень, который Anaconda защищает уже более десятилетия.

Когда злоумышленники использовали украденные учетные данные для публикации двух вредоносных версий LiteLLM (1.82.7 и 1.82.8), популярной библиотеки для маршрутизации вызовов к большим языковым моделям (LLM), код на GitHub никогда не изменялся, поэтому чтение репозитория не показало бы ничего подозрительного. PyPI поместил пакеты в карантин примерно через 40 минут после загрузки, а автоматизированный конвейер может загрузить новый релиз задолго до этого.

В исследовании модели, генерирующие код, галлюцинировали имена пакетов со средней частотой не менее 5,2% для коммерческих моделей и 21,7% для моделей с открытым исходным кодом, причем многие из выдуманных имен повторялись. Злоумышленники могут зарегистрировать их заранее. Агент кодирования, который устанавливает все, что предлагает модель, может загрузить один из таких зарегистрированных злоумышленником пакетов без участия человека.

Наши защитные барьеры для агентов кодирования могут блокировать установку пакетов по умолчанию и разрешать только одобренные команды, поэтому агент не сможет установить галлюцинированную зависимость. Anaconda AI Artifacts предоставляет командам курируемый источник пакетов со сканированием уязвимостей, пользовательскими политиками безопасности и подписями пакетов — в облаке или локально, включая изолированные сети. Он также создает спецификацию состава программного обеспечения (SBOM) для каждого артефакта и может удерживать совершенно новые версии из вышестоящих источников для проверки, прежде чем кто-либо их установит. Короткая задержка предотвратила бы попадание версий LiteLLM в систему.

Одобрение было лишь снимком

На всех четырех уровнях шаблон один и тот же. Компонент получает доверие один раз — при установке, одобрении или загрузке — и больше не проверяется. Команды безопасности в итоге застревают на трех вопросах.

Что находится в стеке? Начните с инвентаризации. MCP-сканер проводит инвентаризацию MCP-серверов и инструментов, а наш сканер ИИ-активов охватывает ИИ-конечные точки, файлы моделей и промпты. Для пакетов SBOM позволяет ответить на вопрос «затронуты ли мы?» с помощью поиска.

Что изменилось с момента одобрения? Повторно сканируйте при каждом обновлении, удерживайте новые релизы и обеспечивайте соблюдение политики на границе инструментов, где защитные барьеры агентов и MCP-шлюз проверяют каждое действие перед его выполнением.

Можем ли мы это доказать? Наш движок политик агентов превращает текст политики управления и нормативных актов в контролируемые правила. Стандартные настройки охватывают Закон ЕС об ИИ и фреймворки от Национального института стандартов и технологий (NIST) и Open Worldwide Application Security Project (OWASP). Защитные барьеры регистрируют каждое решение о применении правил с идентификатором политики и кодом причины.

Когда каждый уровень получает собственный инструмент и собственный процесс утверждения, между ними возникают пробелы. Anaconda предлагает средства контроля для каждого из четырех уровней: курируемые пакеты, сканирование навыков и MCP, red teaming моделей и защитные барьеры во время выполнения.

OWASP’s Top 10 for Agentic Applications, опубликованный 9 декабря 2025 года с участием более 100 экспертов, предоставляет командам безопасности общие названия для этих рисков, включая неправомерное использование инструментов и уязвимости в цепочке поставок агентов. Если ваша команда безопасности еще не ознакомилась с ним, прочитайте его вместе с приведенным ниже контрольным списком.

С чего начать на этой неделе

Составьте список всех агентов и всего, что они загружают. Это означает модель, навыки, MCP-серверы, пакеты и учетные данные. Если вы не можете составить такой список, вы не сможете обеспечить безопасность агентов.
Сканируйте каждый навык перед его запуском. Установите Skill Sentinel с помощью команды pip install skill-sentinel, укажите модель (по умолчанию OpenAI или собственную модель, если содержимое навыков не должно покидать вашу сеть) и добавьте это как шаг CI.
Фиксируйте версии и проверяйте хеши. Повторно утверждайте все, что меняется.
Подождите день или два после выхода совершенно новых релизов. Вредоносные версии LiteLLM были удалены примерно через 40 минут после загрузки.
Предоставляйте каждому агенту минимально необходимые права доступа. Агент, который считывает недоверенный контент, никогда не должен находиться рядом с вашими самыми важными учетными данными.
Атакуйте своих собственных агентов, прежде чем это сделает кто-то другой. Размещайте вредоносный контент там, где агент его считывает, а затем превращайте обнаруженное в защитные барьеры во время выполнения.

Выберите агента, которому вы доверяете меньше всего

Начните с одного. Цель состоит в том, чтобы иметь актуальный список того, что загружает каждый агент, и проверку, которая запускается каждый раз при изменении этого списка. Просканируйте MCP-сервер бесплатно или закажите демонстрацию. Чтобы понять, как эти средства контроля сочетаются друг с другом, изучите вопросы безопасности ИИ и защитных барьеров.

Часто задаваемые вопросы

Что такое безопасность агентного ИИ?

Безопасность агентного ИИ — это практика защиты всего, что загружает и делает ИИ-агент, включая его модель, навыки, MCP-серверы, пакеты Python и учетные данные, к которым они имеют доступ. Она охватывает сканирование перед запуском агента и обеспечение соблюдения политик во время его работы.

Насколько распространены небезопасные навыки агентов?

По состоянию на 30 сентября 2026 года Enkrypt AI Skill Scan Hub просканировал 99 643 навыка с GitHub и вынес вердикт «небезопасно» для 4,25% из них. Несанкционированное использование инструментов было самым распространенным результатом, составив 59,1% от всех классифицированных находок.

Что такое галлюцинация пакетов?

Галлюцинация пакетов происходит, когда модель, генерирующая код, рекомендует пакет, которого не существует. Измеренные средние показатели составили не менее 5,2% для коммерческих моделей и 21,7% для моделей с открытым исходным кодом. Злоумышленники могут публиковать вредоносные пакеты под этими вымышленными именами.

Как обеспечить безопасность MCP-серверов?

Сканируйте каждый сервер перед подключением, ведите список утвержденных серверов, повторно сканируйте любой сервер, который изменился после утверждения, и обеспечивайте соблюдение политик для вызовов инструментов во время выполнения через шлюз. Узнайте, как работает программа сканирования и обеспечения безопасности.