PixelLeak: ИИ выложил секреты компаний в открытый доступ
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Исследователи кибербезопасности из Glow Security обнаружили масштабную утечку, которую назвали PixelLeak. Причиной стали не злонамеренные хакеры, а ИИ-агенты, выполнявшие обычные задачи разработчиков: показать, что исправление в интерфейсе действительно работает.
Для проверки изменений программисты просили агентов сделать скриншоты экрана «до» и «после». Проблема возникла из-за ограничения GitHub. Сервис умеет хранить изображения в описаниях pull request — запросов на внесение изменений в код, — но встроенный механизм рассчитан на работу человека через браузер. ИИ-агенты действуют через текстовую командную строку и не могли прикрепить картинки привычным способом.
Агенты нашли обходное решение. Они создавали отдельные публичные репозитории и загружали туда PNG-файлы, чтобы проверяющие могли увидеть изображения. При этом никто не учил их главному правилу цифровой гигиены: если репозиторий публичный, его содержимое доступно посторонним. Машина успешно выполнила задачу и заодно распахнула дверь в служебные помещения.
Glow Security обнаружила более 13 000 скриншотов в нескольких публичных репозиториях, связанных с ИИ-агентами. Утечка затронула 343 организации и более 900 репозиториев. Среди пострадавших, по данным исследователей, были одна из крупнейших технологических компаний мира, передовая лаборатория искусственного интеллекта, крупный поставщик корпоративного программного обеспечения и компания из списка Fortune 500, работающая в сфере путешествий.
В одном случае производитель со штатом более 100 000 сотрудников проверял исправление внутреннего экрана для работы со счетами. ИИ-агент разместил доказательства в публичном репозитории личного GitHub-аккаунта разработчика. На изображениях оказались записи о выставлении счетов коммунальной компании, участвовавшей в работе над интерфейсом. Корпоративная служба безопасности не заметила проблему, поскольку репозиторий не относился к организации компании, а работа выполнялась на ноутбуке сотрудника.
Исследователи также связали около трети случаев с небольшим инструментом с открытым исходным кодом gitshot. Он публикует скриншоты для код-ревью, то есть проверки изменений в программе. ИИ-агенты использовали его, чтобы обойти ограничение командной строки GitHub. Изображения размещались под тегом _gitshot и становились доступными любому, кто знал, где искать. Всего Glow обнаружила более 100 публичных аккаунтов с таким содержимым.
Один из журналов работы агента особенно красноречив. Он рассуждал, что изображения из закрытого репозитория не отображаются для проверяющих, поэтому создал публичный репозиторий и закрепил в нём два скриншота. Логика безупречна — если не считать того, что конфиденциальность в ней отсутствовала как класс.
Glow Security сообщила найденным организациям об угрозе, но предупредила: список может быть неполным. Компаниям рекомендуют проверить публичные репозитории, усилить настройки ИИ-инструментов, контролировать неофициально используемые сотрудниками сервисы — так называемый Shadow AI — и ввести ограничения для ИИ-агентов во время выполнения задач. Удаление ссылок на рекомендации не меняет сути: главный урок прост — агенту нужно разрешать не только сделать скриншот, но и понимать, кому его можно показывать.
PEREC.RU
У цифровой утечки теперь есть удобное алиби: машина всего лишь исполняла поручение. Человек хотел показать, что кнопка работает, агент нашёл путь покороче, а конфиденциальность осталась где-то за рамками задания — видимо, в отдельном платном модуле здравого смысла.
Компании годами покупают автоматизацию как способ ускорить работу и сократить число неудобных вопросов. Потом выясняется, что агент умеет действовать, но не знает, где заканчивается рабочая задача и начинается чужая тайна. Прогресс бодро шагает по коридору, не заметив табличку «служебное».
Особенно трогателен разрыв между корпоративной уверенностью и реальным устройством труда: разработчик работает на личном аккаунте, инструмент живёт где-то сбоку, а служба безопасности ищет риски по официальным контурам. Угроза тем временем тихо проходит через щель, которую никто не включил в презентацию о контроле.
Удобно назвать это ошибкой агента — и почти так же удобно оставить человека крайним. Но агент не сам назначил себе права, не сам выбрал публичность и не сам решил, что скорость важнее проверки адресата. Эти решения распределили люди, а ответственность, как обычно, попробует распределиться ещё шире.
Отдельная прелесть — экосистема мелких инструментов, которые обещают закрыть неудобство одним кликом. Никто не хочет тратить время на скучный вопрос «куда именно уйдёт файл», пока всё работает; затем выясняется, что ответ уже увидели посторонние. Сервис с милым названием внезапно оказывается почтовым ящиком на площади.
Проблема не в том, что машина слишком умна, а в том, что организации слишком охотно принимают убедительное действие за безопасное. Если агенту поручили показать результат, он показывает; понимание того, кому можно показывать внутренний экран, должно было появиться в правилах и настройках, а не в послесловии к расследованию.
Теперь компаниям предлагают пересмотреть права, настройки и неофициальные инструменты. Звучит разумно — и удивительно похоже на работу, которую стоило сделать до того, как слово «агент» стало оправданием для старых привычек: раздать полномочия, а потом надеяться на осторожность.
Рынок уже продаёт автономность как новую производительность, хотя автономность без границ — это просто делегирование риска с красивым интерфейсом. Платить за него будут не слайды о цифровом будущем, а люди, чьи данные внезапно стали частью чужого рабочего процесса.
