Microsoft позорно ошиблась с протоколом нового Интернета на ИИ

Планы Microsoft по «исправлению» Интернета с помощью искусственного интеллекта только что столкнулись с нелепой и опасной уязвимостью. Новейший протокол NLWeb, который компания с помпой представила буквально пару месяцев назад на конференции Build, уже оказался дырявым. Этот протокол называют «HTML для Агентского Интернета» — предполагается, что он позволит добавить в любой сайт или приложение интеллектуальный поиск наподобие ChatGPT. Казалось бы, эпоха ИИ наконец завоевывает веб. Но едва Microsoft начала внедрять NLWeb с такими клиентами, как Shopify, Snowlake и TripAdvisor, исследователи обнаружили критическую брешь в защите.

Баг настолько примитивный, что даже удивительно: хакер мог получить доступ к любым чувствительным файлам — от настроек системы до секретных ключей API для OpenAI или Gemini. А эксплуатируется эта уязвимость банальным способом — достаточно ввести специальный URL. Типичная «атака сквозь каталоги», или path traversal — о ней знают даже начинающие программисты. Microsoft якобы уже закрыла брешь, однако остается главный вопрос: как же такая детская оплошность прокралась мимо повышенного внимания к безопасности, о котором так выспренне вещает корпорация?

«Этот случай — суровое напоминание: когда мы строим системы на основе ИИ, старые ошибки могут стать фатальными и для серверов, и для самого ‘разума’ цифровых агентов», — комментирует Аонан Гуань, один из исследователей, нашедших баг, и ведущий инженер Wyze. Вместе с коллегой Лэй Вангом он уведомил Microsoft о проблеме уже 28 мая — то есть через считанные недели после релиза NLWeb. 1 июля Microsoft выкатила исправление, но от стандартной практики присвоить багу номер CVE (общепринятая система учёта уязвимостей) отказалась. Эксперты требуют дать CVE, чтобы мир узнал и мог отслеживать опасность, даже если NLWeb ещё не широко распространился.

Microsoft заявила, что репозиторий с уязвимостью обновлён и что сама компания этот баговый код в собственных продуктах не использует. По словам официального представителя, все клиенты репозитория автоматически защищены. Однако, подчёркивают исследователи, всем, кто строит свои продукты на NLWeb, нужно немедленно обновиться. Иначе каждый публично доступный экземпляр будет открыт для неавторизованного чтения файлов .env, где как раз и лежат заветные ключи для ИИ.

Если утечка такого файла серьёзна для обычного приложения, то для ИИ-агента — это катастрофа. По словам Гуаня, в таких файлах хранятся ключи для систем вроде GPT-4, которые обеспечивают «разум» и работу агента. Украсть такой ключ — всё равно что украсть у ИИ способность думать и принимать решения. Это может привести к крупным финансовым убыткам из-за злоупотребления API или даже к появлению вредоносных дубликатов.

Тем временем Microsoft всё активнее внедряет другой ИИ-протокол — Model Context Protocol (MCP) — прямо в Windows. За последние месяцы исследователи также неоднократно предупреждали о рисках MCP. Если ситуация с NLWeb чему-то и учит, то лишь тому, что корпорация должна внимательнее балансировать между желанием быстрее накачать свои продукты ИИ-функциями и фундаментальным соблюдением безопасности.