Утечка ключей вместо взлома промптов: как злоумышленники используют украденный доступ к ИИ-агентам

10 сентября 2026 года исследовательская группа Anthropic Threat Intelligence выпустила 154-страничный отчет о злоупотреблениях ИИ за период с декабря 2025 по август 2026 года. Пока значительная часть дискуссии о безопасности LLM сосредоточена на prompt injection и jailbreak, реальные атаки показывают другой, не менее важный вектор: злоумышленники всё чаще охотятся не за самой моделью, а за доступом к инфраструктуре вокруг неё. Если украденный API-ключ принадлежит приложению, которому разрешены вызовы инструментов, атакующий получает возможность использовать этот легитимный канал для дальнейших действий внутри связанной инфраструктуры.

Для тех, кто хочет быстро увидеть механику угрозы и принципы защиты, мы объединили сценарий инфраструктурной компрометации агентных систем и модель изолированного шлюза в единую концептуальную схему:

Смещение фокуса атак с манипуляции ответами модели на компрометацию учетных данных заставляет пересмотреть устоявшиеся подходы к защите LLM-приложений. Чтобы понять масштаб проблемы, важно разобраться, почему традиционных проверок на уровне промпта оказывается недостаточно.

В 2024–2025 годах дискуссия о безопасности генеративного ИИ во многом концентрировалась вокруг Prompt Injection и Jailbreak. Специалисты соревновались в составлении защитных инструкций, пытаясь предотвратить обход системных правил через гипотетические сценарии или словесные парадоксы. Команды безопасности внедряли сложные защитные слои (Guardrails), фильтры входящих сообщений и ограничения словаря, исходя из предположения, что взаимодействие с моделью происходит строго через клиентский чат.

Однако практика атак на цепочки поставок ИИ (AI supply chain) показала ограниченность такой защиты. Злоумышленникам незачем тратить ресурсы на лингвистические манипуляции в интерфейсе, если они могут перехватить API-ключ компании. Получив рабочий токен, атакующий направляет запросы напрямую к эндпоинту провайдера — в обход веб-интерфейса и клиентских фильтров. Запросы подписываются валидным корпоративным ключом и могут выглядеть как легитимная активность клиента. Модель продолжает корректно выполнять инструкции, но эти инструкции исходят уже от внешней стороны.

В результате инвестиции в чисто текстовые фильтры не защищают систему от компрометации на уровне учетных данных. Данные отчета Anthropic показывают, что именно доступ к инфраструктуре и ключам становится ключевой целью киберопераций.

Этот инфраструктурный вектор подтверждается конкретными инцидентами, задокументированными в осеннем отчете лаборатории.

В сентябрьском докладе Anthropic Threat Intelligence подробно описаны схемы компрометации сред исполнения. В описанной кампании собственная инфраструктура Anthropic не была скомпрометирована: злоумышленники крали API-ключи из окружений клиентов и затем использовали их для проведения дальнейших атак.

Сбор учетных данных проводился в промышленных масштабах. В отчете приводится случай франкоязычного оператора (действовавшего под псевдонимами MeowSHA, frkoo и blazespider), который развернул инфраструктуру на 10 инстансах AWS EC2. С их помощью он скачал более 1,8 миллиона уникальных Android APK-файлов, декомпилировал их и автоматизировал поиск жестко зашитых (hardcoded) API-ключей и конфигурационных секретов через утилиту TruffleHog.

После этого оператор применил тот же подход примерно против 30 AI-компаний за четыре дня, пытаясь получить доступ к их закрытым ресурсам и корпоративным AI-системам. Доступа к предрелизной версии Claude он в итоге не получил.

При этом перехваченный доступ к API используется не только ради бесплатного инференса, но и как операционный слой для кибератак. Моделям передавали логи сканирования портов, сетевую телеметрию и фрагменты исходного кода жертв, поручая им сопоставлять аномалии и разрабатывать сценарии эксплуатации. Корпоративные учетные записи с высокими лимитами расходов (Spend Limits) превращаются в ликвидный ресурс: доступ к вычислительным ресурсам и подключенным инструментам на теневых площадках монетизируется наряду с традиционными базами данных.

Однако критические риски возникают тогда, когда украденный токен открывает доступ не просто к языковой модели, а к агенту, наделенному практическими полномочиями в реальной инфраструктуре бизнеса.

Главным драйвером развития прикладного ИИ в 2025–2026 годах стало внедрение автономных агентов и механизма вызова функций (Tool Calling). Моделям доверили выполнение практических операций: отправку SQL-запросов к базам данных, вызов вебхуков, работу с Git-репозиториями и запуск системных утилит.

Однако стремление к максимальной автономности часто приводит к системной проблеме — Privilege Creep, когда агенту выдаются избыточные права. В небезопасной архитектуре вызовы вроде bash_execute или операции удаления данных могут выполняться без отдельного слоя авторизации, если разработчик передал агенту такие полномочия напрямую.

В результате агент, предназначенный для внутренней аналитики или поддержки, при утечке токена становится удобным инструментом для атакующего. Он уже аутентифицирован во внутреннем контуре, его сетевая активность воспринимается как штатная, а действия маскируются под обычную бизнес-логику. Традиционные WAF и DLP при этом не обязательно смогут распознать такую атаку: с точки зрения сетевого слоя запрос к API выглядит легитимным, а смысл выполняемой моделью операции находится выше уровня, который эти средства обычно контролируют.

Разрывать эту цепочку приходится на архитектурном уровне: каждый потенциально опасный шаг агента должен проходить отдельную проверку прав и контекста.

Решение проблемы лежит в плоскости классической инфраструктурной изоляции и перехода к модели нулевого доверия (Zero Trust). В продакшене приложение не должно хранить постоянный мастер-ключ от внешнего LLM-провайдера непосредственно в среде исполнения агента. На практике такая модель защиты может строиться вокруг специализированного шлюза — Agent API Gateway, разделяющего хранение секретов, среду принятия решений и исполнение инструментов через несколько базовых механизмов:

Такой подход требует дополнительного проектирования и добавляет небольшую задержку при валидации, но изолирует риски: даже в случае перехвата активной сессии злоумышленник сталкивается с короткоживущим токеном и ограниченным набором действий внутри изолированного контейнера.

Смещение фокуса на изоляцию сред исполнения меняет требования и к управлению продуктами на базе ИИ.

Публикация отчета Anthropic показывает, что этап быстрого прототипирования агентных систем без оглядки на сетевую безопасность завершается. Для CTO и технических фаундеров это означает пересмотр архитектуры: агентные системы придётся проектировать с учётом возможной компрометации токенов, изоляции инструментов и минимальных прав доступа ещё на этапе базовой разработки.

Можно ожидать, что по мере распространения агентных систем требования к безопасности их сред исполнения будут всё чаще появляться в техническом due diligence и корпоративных проверках поставщиков. Для бизнеса вывод практический: границы полномочий модели и безопасность среды исполнения теперь становятся частью архитектуры продукта, а не задачей, которую можно отложить до момента выхода в продакшен.

Для тех, кто хочет глубже погрузиться в технические детали отчета Anthropic и архитектурные решения по защите агентных систем, в новом выпуске технологического подкаста «Голос из Матрицы» подробно разбираем схемы перехвата API-токенов, изоляцию вызовов инструментов и практику развертывания безопасных шлюзов.

Слушайте выпуск на удобной платформе: