Ataki polegające na natychmiastowym wstrzykiwaniu oszukują agentów AI do dokonywania płatności w kryptowalutach, ostrzega Zscaler

” instruował agentów, aby naprawili błąd poprzez dokończenie płatności. Strona zawierała także kod inicjujący transfer kryptowaluty do zakodowanego na stałe portfela. Osoba zagrażająca stojąca za tą kampanią korzysta z 10 repozytoriów GitHub zawierających łącza do wielu podobnych witryn zawierających pośrednie podpowiedzi.

Co najważniejsze, witryna jest skierowana zarówno do maszyn, jak i ludzi. „Kiedy witryna jest renderowana przez przeglądarkę na komputerze, użytkownikowi wyświetlane są te same opcje płatności kartą kredytową lub kryptowalutą” – zauważył Zscaler.

Kampania druga: Podszywanie się pod DeBank

W drugiej kampanii ugrupowanie zagrażające promowało fałszywą witrynę internetową, wprowadzając literówkę do narzędzia do śledzenia portfela DeFi DeBank. Zastosowane pośrednie podpowiedzi informują agentów AI, że podszywająca się witryna internetowa jest legalną domeną DeBank. Fałszywa witryna jest zoptymalizowana pod kątem wyszukiwań związanych z DeBank, wypełniając tytuł i metatagi słowami kluczowymi, takimi jak „DeBank Login”, „DeFi Dashboard” i „Crypto Tracker”. Zawiera także metadane Open Graph i X (dawniej Twitter), więc link wydaje się być oficjalną usługą DeBank.

Aby przetestować wpływ kampanii, Zscaler zbudował autonomicznego agenta AI z możliwością przeglądania stron internetowych i realizacji płatności i ocenił go na podstawie 26 dużych modeli językowych. Cztery z nich — Llama 3.3 70B Instruct, Llama 3.2 90B Vision Instruct, Gemini 3 Flash i Gemini 2.5 Pro — zostały pomyślnie zmanipulowane w celu dokonania płatności. Tylko dwie, Claude Sonnet 4.5 i GPT-5.4, błędnie sklasyfikowały fałszywą witrynę jako zaufaną platformę DeBank.

Dlaczego trudno jest rozwiązać pośredni, natychmiastowy zastrzyk

Pośrednie wstrzykiwanie podpowiedzi jest uważane za jeden z najpoważniejszych problemów bezpieczeństwa w generatywnej sztucznej inteligencji, ponieważ złośliwe instrukcje nie docierają jako bezpośrednie żądanie użytkownika. Zamiast tego jest osadzony w danych — stronie internetowej, dokumencie, wiadomości e-mail — które agent pobiera i przetwarza w ramach swojego przepływu pracy. Agent nie może łatwo odróżnić prawidłowych instrukcji w odzyskanej treści od polecenia wydanego przez osobę atakującą, ponieważ oba wyglądają jak zwykły tekst.

Ustalenia projektu Zscaler pokazują, jak niejednoznaczność staje się niebezpieczna, gdy agenci zyskają możliwość podejmowania rzeczywistych działań, takich jak inicjowanie płatności. Oszustwo, które kiedyś wymagało inżynierii społecznej skierowanej przeciwko człowiekowi, można teraz zakodować bezpośrednio w treści internetowej i czekać, aż automatyczny asystent go przeczyta i podejmie działania.

„W miarę jak agenci sztucznej inteligencji staną się coraz powszechniejszym interfejsem w Internecie, sama treść stanie się większą powierzchnią ataku, co podkreśli, że sztuczna inteligencja to miecz obosieczny, który może usprawnić przepływ pracy, wprowadzając jednocześnie nowe możliwości nadużyć” – podsumował Zscaler.

Konsekwencje dla przedsiębiorstw i programistów

Badanie niesie bezpośrednie wnioski dla organizacji wdrażających agentową sztuczną inteligencję. Przyznawanie agentom możliwości dokonywania płatności, tworzenia kont lub udostępniania danych bez ścisłego potwierdzenia przez człowieka stwarza atakującym możliwość zarabiania na zainfekowanych treściach internetowych. Testy Zscalera sugerują, że podatność różni się znacznie w zależności od modelu, co oznacza, że ​​zarówno wybór modelu, jak i nałożone na niego poręcze mają znaczenie.

Praca ta potwierdza również, że tradycyjna higiena bezpieczeństwa sieciowego – weryfikacja autentyczności pakietów, sprawdzanie domen z literówką i podejrzliwe traktowanie niechcianych żądań płatności – obecnie krzyżuje się z zachowaniem sztucznej inteligencji. W miarę jak agenci coraz częściej przeglądają, podsumowują i reagują na treści internetowe w imieniu użytkowników, granica między zaatakowaną witryną a zaatakowanym asystentem zanika.

Wyprzedź sztuczną inteligencję

Aby na bieżąco omawiać bezpieczeństwo sztucznej inteligencji, badania nad bezpieczeństwem i zagrożenia wynikające z systemów agentowych, śledź AI Buzz Wire, aby zapoznać się z wydarzeniami kształtującymi odpowiedzialną sztuczną inteligencję.

Przeczytaj więcej aktualności dotyczących etyki AI →