Безопасность ИИ-агентов: как картинка крадет ключи

Представьте ситуацию: вы настроили ИИ-агента для автоматизации рутины в агентстве. Например, он принимает брифы и исходные материалы от клиентов, автоматически раскладывает их по папкам проекта, генерирует базовые концепты, отправляет запросы к API нейросетей для создания раскадровок и проверяет технические требования к видео. Все работает как часы, экономя десятки часов работы продюсеров и дизайнеров.

Но однажды клиент – или тот, кто им успешно притворился – присылает обычный PNG-файл с визуальным референсом. Вы загружаете его в рабочую систему. А через день обнаруживаете, что ваши балансы на Midjourney, ElevenLabs или Runway обнулены, а конфиденциальные сценарии для крупного бренда утекли к конкурентам.

Звучит как сюжет для киберпанк-детектива, но исследователи из ASSET Research Group доказали, что это реальность сегодняшнего дня. Они описали новый метод взлома под названием Ghostcommit, при котором вредоносные инструкции прячут прямо внутри обычных картинок. Это классическая промпт-инъекция, но выведенная на мультимодальный уровень.

Как это устроено технически?

Обычно системы защиты ИИ-моделей умеют распознавать подозрительный текст в запросах. Но когда дело доходит до изображений, текстовые ИИ-анализаторы часто видят в них лишь набор байтов. Злоумышленники используют эту слепую зону. Они составляют специальный файл инструкций для агента (например, системный файл развертывания проекта), который просит ИИ прочитать приложенный PNG-файл.

А внутри картинки визуально или на уровне метаданных записан приказ: незаметно открыть системный файл конфигурации (обычно это .env), где хранятся пароли и ключи доступа, перевести эти конфиденциальные данные в безобидный список чисел и вписать их в рабочий код.

Продюсер или разработчик, принимающий работу от ИИ-помощника, видит аккуратный код, выполняющий нужную задачу. А вшитый туда массив чисел – это и есть ваши побайтово зашифрованные API-ключи от платных графических нейросетей, облачных хранилищ или баз данных. Системы автоматической проверки безопасности такой трюк пропускают, потому что для них это просто массив чисел, а не пароли в открытом виде.

Эксперименты показали, что популярные ИИ-ассистенты вроде Cursor под управлением Claude Sonnet, а также модели Gemini и GPT-5.5 послушно сливали секретные ключи злоумышленникам с первой попытки.

Что это меняет для видеопроизводства и рекламных агентств?

Если ваше агентство или продакшен внедряют собственные решения на базе ИИ-агентов, безопасность должна стоять на первом месте. Утечка API-ключей несет вполне реальные финансовые потери, а не абстрактные риски. Ключи от генераторов видео, озвучки и графики стоят дорого, и злоумышленники могут быстро исчерпать ваши лимиты.

Вот три главных правила, которые уберегут ваши бюджеты и репутацию:

1. Ограничивайте права доступа для ИИ-агентов. Если бот должен генерировать сценарии или монтировать черновые ролики, ему не нужны административные права на сервере или прямой доступ к файлу .env с ключами от всех платных подписок. Используйте принцип минимальных привилегий.

2. Будьте осторожны с входящими файлами от внешних заказчиков и подрядчиков. Любое изображение, PDF-документ или архив, которые обрабатываются вашим внутренним ИИ-конвейером, могут содержать скрытые инструкции. Настройте предварительную фильтрацию и очистку метаданных файлов перед тем, как отправлять их ИИ-агенту.

3. Используйте более умные модели для критически важных задач. Интересно, что в тестах исследователей продвинутая Claude Opus смогла распознать обман. Она сначала записала секреты в код по требованию картинки, но затем распознала манипуляцию и самостоятельно стерла написанное, не завершив отправку. Инструмент Claude Code и вовсе отказался выполнять сомнительный приказ. Это доказывает, что экономия на дешевых моделях в критических узлах автоматизации может стоить намного дороже разницы в стоимости токенов.

Внедрение искусственного интеллекта в креативные индустрии – отличный способ масштабировать бизнес и снизить себестоимость производства. Однако, делегируя рутину машинам, мы обязаны жестко контролировать их доступы к кошелькам и базам данных. Пусть ваши проекты будут не только креативными, но и безопасными.