Инструменты ИИ-агента

Оригинал: AI Agent Tools

Злоумышленники могут создавать и публиковать отравленные инструменты ИИ-агента. Отравленные инструменты могут содержать вредоносные определения или инструкции, доступные модели, скрытое поведение, реализуемое исполняемой логикой, либо ответы во время выполнения, предназначенные для манипулирования ИИ-агентом. Инструменты могут публиковаться через репозитории исходного кода, реестры пакетов, реестры инструментов или навыков ИИ-агентов либо удалённые сервисы, контролируемые злоумышленником. Инструмент может быть вновь созданным либо представлять собой модифицированный вариант легитимного инструмента и может проявлять вредоносное поведение при его выборе, установке или вызове ИИ-агентом жертвы.

Злоумышленники могут распространять отравленные инструменты через открытые репозитории систем контроля версий (например, GitHub или GitLab), реестры пакетов (например, npm) или специализированные репозитории для обмена инструментами (например, OpenClaw Hub). Такие реестры могут почти не регулироваться и содержать множество отравленных инструментов [[opensourcemalware]]. Инструменты также могут публиковаться в виде удалённо размещённых серверов [[mcpservers]].

Тактики

AML.TA0003Подготовка ресурсов

Родительская техника

AML.T0115Публикация отравленных ИИ-артефактов

Другие подтехники родителя

AML.T0115.000Наборы данныхПодтехника AML.T0115.001МоделиПодтехника

Меры защиты

AML.M0016Сканирование уязвимостей

Реестры инструментов сканируют загружаемые пакеты инструментов и их зависимости на наличие вредоносного кода и уязвимостей перед добавлением в каталог.

Примеры процедур из кейсов

AML.CS0049Компрометация цепочки поставки через отравленный навык ClawdBotАктор: Jamieson O'Reilly / Тактика: AML.TA0003 Подготовка ресурсов

Исследователь разработал отравленный навык ClawdBot под названием "What Would Elon Do?" Вредоносный промпт находился в файле `rules/logic.md`, который считывается при активации навыка. Исследователь опубликовал навык в ClawdHub.

AML.CS0053Эксфильтрация писем через отравленный MCP-сервер PostmarkАктор: Unknown Bad Actor / Тактика: AML.TA0003 Подготовка ресурсов

Злоумышленник опубликовал вредоносную версию `postmark-mcp` в npm.

AML.CS0054Эксфильтрация данных через отравленный удалённый MCP-инструментАктор: Invariant Labs / Тактика: AML.TA0003 Подготовка ресурсов

Исследователи разместили отравленный MCP-сервер, содержащий вредоносные инструкции, скрытые в строке документации (docstring) одного из предоставляемых инструментов.