За последние пять месяцев Google и четыре другие организации признали уязвимости, при которых взлом одного ИИ-агента позволяет распространять вредоносные инструкции на остальных.
Это частный случай внедрения вредоносных подсказок, но целью становится не языковая модель, а конкретный агент, например для перевода или анализа данных. Достаточно взломать одного, и остальные выполнят его указания.
Такую атаку сложно обнаружить: каждый агент делает то, для чего создан. Он проверяет только собственную внешнюю точку входа, а за взаимодействием агентов никто не следит.
Исследователь назвал этот класс атак «переключением протокола» (protocol pivoting). Агенту ставят задачу через MCP, а он пересылает вредоносные инструкции другим агентам по иным протоколам, например Google A2A или Agent Network Protocol.
При передаче авторизация и уровень доверия могут теряться. Агент считает, что между протоколами установлено доверие, и использует возможности, доступные только через другой протокол.
Схема сработала в пяти организациях, у которых общим был только протокол MCP. Он внедряется повсеместно, но не прошёл достаточного тестирования и не имеет надлежащей защиты.
Разработчики пренебрегают принципом нулевого доверия. Он предполагает, что любой узел может быть скомпрометирован, поэтому для критичных операций с другими узлами нужна предварительная авторизация.
MCP-серверы хранят учётные данные каждого агента, а агенты по архитектуре доверяют друг другу. Поэтому атаки, которые отвергла бы модель, срабатывают на уровне агентов, часто приводя к SSRF: сервер отправляет несанкционированные сетевые запросы.
Уязвимость CVE-2026-97228, найденная в сети Rapid7, получила всего 2,7 балла из 10. В Google обнаружили более серьёзную, на 8 из 10.
MCP-инструмент для работы с базами данных инициализировал HTTP-клиент вне политики CheckRedirect, которая определяет обработку перенаправлений, и не проверял целевые IP-адреса.
Поэтому при подготовленном параметре пути инструмент обращался к внутренней конечной точке от имени злоумышленника. Google закрыла проблему списками разрешённых и заблокированных диапазонов IP.
Независимый исследователь Сайед Анас Мохиуддин (Syed Anas Mohiuddin) указал на фундаментальную проблему, не зависящую от моделей и обвязки: ИИ-агенты по умолчанию полностью доверяют друг другу.