Útoky rychlé injekce navádějí agenty AI do provádění plateb kryptoměnami, varuje Zscaler

` agentům říkala, aby vyřešili chybu dokončením platby. Stránka také obsahovala kód pro inicializaci převodu kryptoměny do pevně zakódované peněženky. Hrozba stojící za kampaní používá 10 úložišť GitHub, která odkazují na několik podobných webů obsahujících nepřímé okamžité injekce.

Podstatné je, že stránka cílí jak na stroje, tak na lidi. "Když je webová stránka vykreslena prohlížečem na počítači, zobrazí se uživateli stejné možnosti platby prostřednictvím kreditní karty nebo kryptoměny," poznamenal Zscaler.

Kampaň 2: Vydávání se za DeBank

Ve druhé kampani propagoval hrozba podvodnou webovou stránku, která překlepovala sledovač portfolia DeFi DeBank. Použité nepřímé výzvy sdělují agentům AI, že webová stránka vydávající se za identitu je legitimní doménou DeBank. Podvodná stránka je optimalizována tak, aby byla hodnocena pro vyhledávání související s DeBank tím, že do názvu a meta tagů nacpala klíčová slova jako „Přihlášení do DeBank“, „DeFi Dashboard“ a „Crypto Tracker“ a obsahuje metadata Open Graph a X (dříve Twitter), takže odkaz vypadá jako oficiální služba DeBank.

Pro testování dopadu kampaní vytvořil Zscaler autonomního AI agenta s možností procházení webu a provádění plateb a vyhodnotil jej proti 26 velkým jazykovým modelům. Čtyři z nich – Llama 3.3 70B Instruct, Llama 3.2 90B Vision Instruct, Gemini 3 Flash a Gemini 2.5 Pro – byly úspěšně zmanipulovány k provedení platby. Pouze dva, Claude Sonnet 4.5 a GPT-5.4, nesprávně kategorizovali podvodnou webovou stránku jako důvěryhodnou platformu DeBank.

Proč je obtížné vyřešit nepřímou výzvu

Nepřímé rychlé vložení je považováno za jeden z nejzávažnějších bezpečnostních problémů v generativní AI, protože zákeřná instrukce nepřichází jako přímý požadavek uživatele. Místo toho je zabudován do dat – webové stránky, dokumentu, e-mailu –, která agent získává a zpracovává jako součást svého pracovního postupu. Agent nemůže snadno rozlišit legitimní pokyn v načteném obsahu od příkazu zasazeného útočníkem, protože oba vypadají jako běžný text.

Zjištění Zscaleru ukazují, jak se tato nejednoznačnost stává nebezpečnou, jakmile agenti získají možnost provádět akce v reálném světě, jako je iniciování plateb. Podvod, který kdysi vyžadoval sociální inženýrství zaměřené na člověka, lze nyní zakódovat přímo do webového obsahu a čekat, až si ho automatizovaný asistent přečte a zareaguje na něj.

„Jak se agenti umělé inteligence stávají běžnějším rozhraním pro web, obsah samotný se stane větším útočným prostorem, což zdůrazňuje, že umělá inteligence je dvousečná zbraň, která může zefektivnit pracovní postupy a zároveň zavést nové možnosti zneužití,“ uzavřel Zscaler.

Důsledky pro podniky a vývojáře

Výzkum přináší přímé lekce pro organizace nasazující agentní AI. Poskytnutí plateb, vytváření účtů nebo sdílení dat agentům bez přísného potvrzení člověkem ve smyčce vytváří cestu pro útočníky ke zpeněžení kompromitovaného webového obsahu. Testování Zscaleru naznačuje, že náchylnost se u jednotlivých modelů značně liší, což znamená, že záleží na výběru modelu a na navrstvených zábradlích.

Práce také posiluje, že tradiční hygiena webového zabezpečení – ověřování pravosti balíčků, prověřování překlepových domén a podezřelé zacházení s nevyžádanými žádostmi o platbu – se nyní protíná s chováním AI. Jak agenti stále více procházejí, shrnují a jednají na základě webového obsahu jménem uživatelů, hranice mezi napadeným webem a kompromitovaným asistentem mizí.

Udržujte si náskok před AI

Pro průběžné pokrytí bezpečnosti AI, bezpečnostního výzkumu a rizik plynoucích z agentních systémů sledujte AI Buzz Wire, kde najdete informace o vývoji zodpovědné umělé inteligence.

Přečtěte si další zprávy o etice AI →