Безопасность 10 октября 2026, 01:05 МСК

Исследователь показал атаки через доверие между ИИ-агентами и протокол MCP

Специалист по безопасности Сайед Анас Мохиуддин продемонстрировал, что вредоносную инструкцию можно передавать по цепочке ИИ-агентов, в том числе через MCP.

Атаки были показаны на системах, связанных с Google, JPMorgan Chase, Weaviate, Rapid7, французской межведомственной службой цифровых технологий и федеральным правительством США. Во всех случаях ключевую роль сыграли уязвимости во взаимодействии агентов.

Схема такова: агент получает вредоносную инструкцию из контента или в ходе задачи и передаёт её следующему агенту как обычное задание. Получатель доверяет внутреннему агенту и выполняет команду, которую мог бы отклонить при прямом обращении. В некоторых сценариях это приводит к SSRF — запросам к внутренним ресурсам, недоступным извне.

Мохиуддин назвал такой класс атак protocol pivoting. Маркус Фервье из X41 D-Sec считает, что это по сути разновидность промпт-инъекции.

Уязвимость в инструменте Rapid7 оценена в 2,7 из 10 и исправлена в сентябре. Ошибка в MCP Toolbox for Databases от Google получила 8 из 10: HTTP-клиент мог переходить по перенаправлениям на внутренние адреса без должной проверки IP. Google закрыла её списками разрешённых диапазонов и блокировкой небезопасных адресов. Случаи напоминают о принципе zero trust: инструкции, передаваемые между агентами, нужно проверять как потенциально вредоносные.

• Уязвимость в Google MCP Toolbox for Databases — 8 из 10, исправлена
• Уязвимость Rapid7 — 2,7 из 10, исправлена в сентябре