Одно письмо — и Manus взломан

Популярный AI-агент Manus оказался уязвим для атаки, которую можно было провести с помощью одного электронного письма. Исследователи по безопасности из Salt Labs нашли способ обойти защитные ограничения сервиса и заставить его выполнить вредоносный код. Конкретную уязвимость уже устранили, однако сам факт обхода защиты показывает: подобные лазейки могут существовать и в других AI-агентах.

Атаки типа prompt injection, или внедрение инструкций в запрос, известны с первых лет развития AI-агентов. Их суть проста: система не всегда отличает обычные данные от команд. Если пользователь просит агента пересказать письмо, а внутри письма спрятана дополнительная инструкция, агент может воспринять ее как задачу. Например, злоумышленник способен приказать найти все письма со словом «пароль» и переслать их на указанный адрес.

Такая атака становится опасной, когда AI-агент подключен к сторонним сервисам: электронной почте, календарю, браузеру, социальным сетям, облачному хранилищу или финансовым приложениям. Согласно отчету Menlo «2026: The State of Consumer AI», пользователи уже предоставили AI-агентам доступ к электронной почте в 36% случаев, к браузерам — в 33%, к приложениям для обмена сообщениями — в 31%, к облачному хранилищу — в 29%, а к календарям — в 27%. Доступ к медицинским приложениям получили 23% пользователей, к финансовым аккаунтам — 20%.

Разработчики Manus знали об угрозе. Агент мог обнаружить подозрительную инструкцию внутри анализируемых данных и предупредить владельца. Но он не игнорировал такую команду полностью, а продолжал обрабатывать ее — словно охранник, который заметил подозрительный чемодан уже после того, как открыл его.

Salt Labs проверила интеграцию Manus с Gmail. Исследователи отправили письмо со скрытой инструкцией. Агент распознал ее как вредоносную и сообщил об этом, но анализ показал: содержимое письма воспринималось не как пассивные данные, а как потенциально исполняемая команда. Операцию остановил защитный механизм, обнаруживший опасное действие.

Тогда исследователи проверили, что произойдет, если система не поймет, что инструкция вредоносна. Они экспериментировали с разными способами обхода, включая кодировку Base64 и команду расшифровать данные с помощью Python. В итоге сработал JSFuck — необычный способ обфускации JavaScript, использующий ограниченный набор символов и редко применяемый в современных средах.

Исследователи поместили в письмо небольшой JSFuck-пayload, который должен был выполнить простую JavaScript-команду. Manus, по их словам, интерпретировал операцию как декодирование и отображение содержимого, но фактически запустил произвольный JavaScript-код в серверной среде. Salt Labs зафиксировала ожидаемый результат выполнения.

Так была нарушена важная граница безопасности: недоверенное содержимое письма превратилось в исполняемый код внутри среды AI-агента. Manus уведомил владельца, но уже после выполнения кода — примерно как сигнализация, которая срабатывает после того, как дверь вынесли вместе с рамой.

Salt Labs передала информацию через программу bug bounty компании Meta — механизм, в рамках которого исследователи сообщают разработчикам о найденных уязвимостях. В компании заявили, что проблема устранена и больше не позволяет проводить такую атаку.

Главный вывод шире истории с Manus. Защитные фильтры, которые проверяют текст запросов и поведение модели, необходимы, но недостаточны. Безопасность должна учитывать и реальные действия AI-агента: к каким инструментам, API и системам он подключен и что может сделать от имени пользователя. Если исследователи смогли обойти ограничение, преступники рано или поздно попробуют сделать то же самое — возможно, уже другим способом.