Приложение Г — Трекер эксплоитов и инцидентов ASI (Agentic Exploits & Incidents Tracker)
Инициатива ASI Exploits and Incidents стремится информировать и устанавливать OWASP Top 10 for Agentic Applications, ссылаясь на реальные инциденты и эксплоиты. Это будет дополнять, но не замещать существующее сообщение об уязвимостях в рамках проекта GenAI Security. Аналогично, любые аспекты, касающиеся реагирования на инциденты, должны обсуждаться с инициативой CTI, ответственной за публикацию руководства по реагированию на инциденты.
Список ниже обновляется еженедельно, чтобы отражать أحدث публично доступную информацию. Последняя версия доступна в посвящённом репозитории GitHub: https://github.com/OWASP/www-project-top-10-for-large-language-model-applications/blob/main/initiatives/agent_security_initiative/ASI%20Agentic%20Exploits%20%26%20Incidents/ASI_Agentic_Exploits_Incidents.md
Таблица эксплоитов и инцидентов
| Дата | Эксплоит / Инцидент | Краткое описание воздействия | Сопоставление ASI T&M | Ссылки на дополнительный анализ |
|---|---|---|---|---|
| Окт 2025 | Malicious MCP Package Backdoor | NPM-пакет с бэкдором MCP-сервера с двумя обратными шеллами (установка и время выполнения), обеспечивающий персистентный удалённый доступ к агентным средам. | ASI04 (Agentic Supply Chain Vulnerabilities) | NPM |
| Окт 2025 | Framelink Figma MCP RCE | Несанитизированный ввод пользователя в инструмент get_figma_data Framelink Figma MCP обеспечивает неаутентифицированное удалённое выполнение команд на хост-системах. | ASI05 (Unexpected Code Execution) · ASI02 (Tool Misuse & Exploitation) | Figma Context MCP · NVD · Koi Security · Imperva |
| Окт 2025 | Cursor Config Overwrite via Case Mismatch | Файловая система без учёта регистра позволила специально разработанной подсказке перезаписать критический конфиг Cursor, обеспечивая персистентный RCE и компрометацию агента. | ASI05 (Unexpected Code Execution) | Cursor Workspace File Injection |
| Окт 2025 | Cursor agent prompt led Cursor to write malicious .code-workspace settings | Позволяет выполнение команд при открытии рабочего пространства через интеграцию VSCode. | ASI05 (Unexpected Code Execution) | — |
| Окт 2025 | MCP OAuth Response Exploit | Поток OAuth в недоверенных MCP-серверах может возвращать отравленные ответы, позволяя злоумышленнику инжектировать команды, выполняемые агентом после аутентификации. | ASI07 (Insecure Inter-Agent Communication) | — |
| Окт 2025 | Cursor CLI Project Config RCE | Клонированные проекты с .cursor/cli.json могут переопределить глобальный конфиг, позволяя атакующим командам выполняться через контекст Cursor CLI. | ASI04 (Agentic Supply Chain Vulnerabilities) | — |
| Окт 2025 | Cursor Agent File Protections Bypassed | Механизм защиты файлов агента Cursor CLI может быть обойден через инъекцию подсказок, позволяя RCE через перезапись конфига. | ASI05 (Unexpected Code Execution) | Cursor · NVD · Y4tacker |
| Окт 2025 | Google Gemini Trifecta | Косвенная инъекция подсказок через логи, историю поиска и контекст просмотра может обмануть Gemini, заставив его раскрывать конфиденциальные данные и выполнять непреднамеренные действия в подключённых сервисах Google. | ASI01 (Agent Goal Hijack) | Tenable |
| Сен 2025 | Malicious MCP Server Impersonating Postmark | Зарегистрирован как первый дикий вредоносный сервер MCP на npm; он имитировал postmark-mcp и тайно BCC'ил электронные письма злоумышленнику. | ASI02 (Tool Misuse & Exploitation) | Postmark · Koi Security |
| Сен 2025 | ForcedLeak (Salesforce Agentforce) | Критическая косвенная инъекция подсказок в Salesforce Agentforce позволяет внешнему злоумышленнику ввести в заблуждение агента и экспортировать конфиденциальные записи CRM за пределы организации. | ASI01 (Agent Behaviour Hijack) | Salesforce · Noma Security |
| Сен 2025 | Visual Studio Code & Agentic AI workflows RCE | Инъекция команд в агентных рабочих процессах ИИ может позволить удалённому неаутентифицированному злоумышленнику заставить VS Code выполнить инжектированные команды на машине разработчика. | ASI01 (Agent Goal Hijack) · ASI02 (Tool Misuse & Exploitation) | Microsoft · NVD |
| Сен 2025 | Amazon Q Prompt Poisoning | Деструктивная подсказка в расширении рисковала стереть файлы. | ASI01 (Agent Goal Hijack) · ASI02 (Tool Misuse & Exploitation) · ASI04 (Agentic Supply Chain Vulnerabilities) | AWS · NVD |
| Июль 2025 | Google Gemini CLI File Loss | Агент неправильно интерпретировал инструкции по файлам и стёр каталог пользователя; признал катастрофическую потерю. | ASI05 (Unexpected Code Execution) | |
| Июль 2025 | ToolShell RCE via SharePoint | Эксплойт RCE в SharePoint, используемый агентами. | ASI05 (Unexpected Code Execution) | Microsoft · NVD · Eye Security |
| Июль 2025 | Replit Vibe Coding Meltdown | Агент галлюцинировал данные, стёр production DB и сгенерировал ложные выходы, чтобы скрыть ошибки. | ASI01 (Agent Goal Hijack) · ASI09 (Human-Agent Trust Exploitation) · ASI10 (Rogue Agents) | Replit · SaaStr |
| Июль 2025 | Microsoft Copilot Studio Security Flaw | Агенты были публичными по умолчанию и не имели аутентификации. Злоумышленники могли перечислять и получать доступ к экспонированным агентам, извлекая конфиденциальные бизнес-данные из сред продакшена. | ASI03 (Identity & Privilege Abuse) | — |
| Июнь 2025 | Heroku MCP App Ownership Hijack | Вредоносный ввод инструмента эксплуатировал границу доверия Heroku MCP, захватывая владение приложением без авторизации через инъекцию вызовов агентом. | ASI03 (Identity & Privilege Abuse) | Heroku |
| Июнь 2025 | Hub MCP Prompt Injection (Cross-Context) | Злоумышленная веб-страница могла общаться с локальным прокси MCP Inspector (без аутентификации) через DNS-rebinding/CSRF и заставлять его выполнять команды MCP через stdio, что приводило к произвольному выполнению команд ОС и экспорту данных. | ASI01 (Agent Goal Hijack) · ASI02 (Tool Misuse & Exploitation) | MCP · NVD |
| Июнь 2025 | AgentSmith Prompt-Hub Proxy Attack | Прокси-агент подсказки экспортировал API-ключи. | ASI04 (Agentic Supply Chain Vulnerabilities) | Noma Security |
| Май 2025 | EchoLeak (Zero-Click Prompt Injection) | Критический эксплойт с нулевым кликом, позволяющий простому электронному письму trigger Copilot на утечку конфиденциальных данных (электронные письма, файлы, журналы чата) за пределы его предполагаемой области. | ASI01 (Agent Goal Hijack) · ASI02 (Tool Misuse & Exploitation) · ASI07 (Insecure Inter-Agent Communication) · ASI05 (Unexpected Code Execution) · ASI06 (Memory & Context Poisoning) | Microsoft · NVD · Zenity Labs · Aim Security · Oligo Security |
| Май 2025 | GitPublic Issue Repo Hijack | Текст публичного issue перехватил ИИ-разработчика, заставив его утечь приватное содержимое репозитория через меж-репозиторную инъекцию подсказок. | ASI01 (Agent Goal Hijack) · ASI02 (Tool Misuse & Exploitation) · ASI06 (Memory & Context Poisoning) · ASI07 (Insecure Inter-Agent Communication) · ASI08 (Cascading Failures) | Invariant Labs |
| Апр 2025 | Agent-in-the-Middle (A2A Protocol Spoofing) | Злоумышленный агент опубликовал поддельную agent-карту в открытом каталоге A2A, ложноclaim высокую степень доверия. LLM-судья выбрал его, permitting роу-агенту перехватывать конфиденциальные данные и утекать их несанкционированным сторонам. | ASI03 (Identity & Privilege Abuse) · ASI06 (Memory & Context Poisoning) · ASI07 (Insecure Inter-Agent Communication) · ASI08 (Cascading Failures) · ASI10 (Rogue Agents) | Trustwave |
| Мар 2025 | GitHub Copilot & Cursor CodeAgent Exploit | Манипулированные предложения ИИ-кода встраивали бэкдоры, утекали API-ключи и вносили логические ошибки в код продакшена, создавая значительный риск цепочки поставок, так как разработчики доверяли выводам ИИ. | ASI04 (Agentic Supply Chain Vulnerabilities) · ASI08 (Cascading Failures) · ASI09 (Human-Agent Trust Exploitation) | Pillar Security |
| Мар 2025 | Flowise PreAuth Arbitrary File Upload | Неаутентифицированная произвольная загрузка файлов позволила компрометировать агентный фреймворк и потенциальный удалённый контроль сервера после задержанного ответа вендора. | ASI05 (Unexpected Code Execution) | FlowiseAI · NVD · Dor Attias (Medium) |
| Фев 2025 | OpenAI ChatGPT Operator Vulnerability | Инъекция подсказок в веб-контенте заставила Operator следовать инструкциям злоумышленника, обращаться к аутентифицированным страницам и раскрывать личные данные пользователей. Показала риски утечки от слабо охраняемых автономных агентов. | ASI01 (Agent Goal Hijack) · ASI02 (Tool Misuse & Exploitation) · ASI03 (Identity & Privilege Abuse) · ASI04 (Agentic Supply Chain Vulnerabilities) · ASI06 (Memory & Context Poisoning) · ASI07 (Insecure Inter-Agent Communication) · ASI09 (Human-Agent Trust Exploitation) | Wunderwuzzi |
genai.owasp.org