TL;DR: инженерство на огнено оружје за агенти и неговата скриена површина за напад
Инженерството за искористување на агенти е практика на градење сè околу модел на вештачка интелигенција (инструкции, алатки, дозволи, меморија и повратни јамки) што го претвора во функционален агент. Тој појас, а не моделот, е местото каде што сега лежи најголемиот дел од вистинскиот безбедносен ризик.
- Промената: Тимовите престанаа да ги подесуваат упатствата и почнаа да ги користат инженерските појаси. Агент = модел + појас.
- Проблемот: Системот за поврзување се наоѓа во обични текстуални датотеки (правила, вештини, MCP конфигурации) кои се прегледуваат како документација, ако воопшто се прегледуваат.
- Доказите: Задната врата на Rules File и вистинските MCP CVE-и покажуваат дека напаѓачите веќе го напаѓаат.
- Поправете: третирајте го ременот како код. Направете инвентар, прегледајте го и скенирајте го пред да се испрати.
Секој безбедносен разговор за вештачката интелигенција на крајот завршува на моделот. Може ли да се блокира? Дали ќе халуцинира? Дали провајдерот се обучува за нашите податоци?
Фер прашања. Но, тие се сè погрешни. Кога агент на вештачката интелигенција брише табела за производство, отвора задна врата или испраќа е-пошта до список на клиенти до странец, моделот ретко е тој што не успеал. Моделот го направил токму она што му дозволувал неговиот систем.
Агент = модел + опрема за прицврстување
Во текот на изминатата година, индустријата тивко го промени она што значи да се гради со вештачка интелигенција. Брзото инженерство отстапи место на контекстуалното инженерство, а контекстуалното инженерство отстапи место на нешто поголемо: инженерство на агентски снопови.
Идејата е едноставна. Самиот модел е машина за расудување без раце. Спрегата е сè што му дава раце и работа: инструкциите што ги следи, алатките што може да ги повика, дозволите што ги поседува, меморијата што ја чува и проверките што ги откриваат неговите грешки. Веб-страницата на Мартин Фаулер го опишува инженерството на хендсфри како работа што корисниците на агенти за кодирање сега ја прават за да ги направат агентите сигурни, и академска рамка објавена оваа година го дели системот на единаесет одговорности, од пристап до алатки и меморија на проектот до дозволи и верификација.
Резултатите се реални. Тимовите што практикуваат инженерство на агентски снопови известуваат дека менувањето само на снопот, со истиот модел под него, може драматично да ги промени резултатите на агентот. Ова покренува непријатна поента за секој што е во безбедноста: ако снопот одлучува како се однесува агентот, снопот одлучува како може да се злоупотреби.
Земете нешто обично како инсталирање на зависност. Развивачот застанува за да го провери името на пакетот. Агент со вистинската алатка во својот сет само ја извршува командата, и ако пакетот е злонамерен, ништо во моделот нема да го запре. Токму тоа го разоткриваме во оваа епизода од SafeDev Talks: Што се менува кога агентите на вештачката интелигенција инсталираат зависности сами по себе, и зошто инженерството за искористување на агентите тивко стана проблем на синџирот на снабдување.
Како изгледа инженерството за искористување на агенти во репозиториум
Отворете репозиториум каде што програмерите користат агенти за вештачка интелигенција, а системот за поврзување е токму таму, во датотеки што веројатно никогаш не сте ги скенирале:
- Датотеки со правила и инструкции (
AGENTS.md,.cursorrules, инструкции од копилотот) што му кажуваат на агентот како да се однесува. - Датотеки за вештини кои пакетираат можности за повторно користење што агентот ги вчитува по барање.
- Конфигурации на MCP серверот што го поврзуваат агентот со алатки, бази на податоци и API-ја.
- Системски инструкции и шаблони за инструкции вградено во кодот на апликацијата.
- Агентско поврзување: до кои алатки може да допре агентот, кои податоци може да ги преземе и дали помеѓу нив е поставена заштитна ограда.
Сето тоа е обичен текст. Сето тоа е commitзаедно со кодот. И сè се прегледува на истиот начин како што се прегледува документацијата: брз поглед, одобрување, спојување. Сепак, секоја од овие датотеки може тивко да преработи што агентот е упатен да направи и што му е дозволено да допре.
Тоа е вистинската последица од инженерството за поврзување на агенти: најмоќната конфигурација во вашиот софтвер сега е најмалку прегледана.
Напаѓачите веќе забележале
Ова не е теоретска загриженост. Ременот има кратка, но впечатлива историја на инциденти.
- Задната врата на датотеката со правила. Во март 2025 година, истражувачите открија напад каде скриени знаци на Unicode во датотека со правила им наложија на асистентите за кодирање со вештачка интелигенција да вметнат скриен код, без да го споменат во нивниот видлив одговор. Рецензент кој ја читал датотеката не забележал ништо необично. Сега е каталогизирана како Студија на случај MITRE ATLAS AML.CS0041.
- Отруени MCP алатки. До 2025 година, истражувачите постојано покажуваа дека агентите имплицитно им веруваат на описите на алатките, па затоа злонамерен MCP сервер може да го насочи агентот едноставно со тоа што ќе се опише себеси на правилен начин. Истата година, CVE-2025-6514 во широко преземен MCP клиент дозволено е извршување на далечински команди при поврзување со недоверлив сервер, оценето со 9.6 на CVSS.
- Прекумерна агенција. на OWASP Топ 10 за апликации за LLM прекумерната агенција ја наведува како најголем ризик: агентите добиваат повеќе алатки, дозволи или автономија отколку што е потребно за задачата. Тоа не е маана на моделот. Тоа е дизајн на огнен појас.cisјон.
Забележете го шаблонот. Ниеден од овие напади не го крши моделот. Тие го кршат појасот, а моделот верно го прави останатото.
Зошто вашиот безбедносен стек не го гледа тоа
Еве го незгодниот дел. Повеќето организации веќе користат добри алатки за AppSec, и речиси ништо од нив не е изградено за овој слој.
Статичката анализа го разбира кодот, но не знае што е модел или зошто е важен недоверливиот текст што тече во системскиот потсетник. Анализата на композицијата ги инвентира пакетите, но не ги набројува MCP серверите или датотеките со вештини. Тајните скенери може да пропуштат API клуч што се наоѓа во конфигурациската датотека на агентот. Ниту една од овие алатки не е неисправна. Тие едноставно беа изградени за свет каде што конфигурацијата не даваше наредби.
Значи, инженерството на агентскиот систем за поврзување се движи брзо, а безбедноста го прегледува делот што може да го види: моделот и кодот. Системот за поврзување е помеѓу.
Пет навики за прицврстување на појасот
Инженерството за поврзување на агенти за обезбедување не бара нов тим. Потребни се неколку навики кои го третираат поврзувањето како што е: извршна намера.
| Навика | Зошто е важно | Што да сторите |
|---|---|---|
| 1. Инвентар на секој појас | Не можеш да обезбедиш агенти кои никој не ги пријавил. | Пронајдете го секој модел, агент, MCP сервер, вештина и барање низ вашите репозиториуми, од самите датотеки со код и конфигурација, а не од анкета. |
| 2. Прегледајте ги датотеките за поврзување како што е кодот | Правилата, вештините и MCP конфигурациите можат да го преработат она што го прави агентот, но сепак тие се прегледуваат како документација. | Дајте им го истото pull request проверка како логика на апликацијата, вклучувајќи проверки за скриени знаци. |
| 3. Закачете што вчитува агентот | Промпт или модел референциран од променлива етикета може да се препосочи без промена на кодот. | Закачи ги потсетниците и моделите во непроменливи верзии. |
| 4. Поставете заштитна ограда на секој мијалник | Преземените документи, излезните податоци од алатките и содржината на корисникот можат да носат инјектирани инструкции во моделот. | Поставете заштитна ограда на патеката секаде каде што таа содржина може да стигне до моделот. |
| 5. Чувајте ги акредитивите надвор од ременот | Клучевите на давателот на вештачка интелигенција во датотеките со барања и конфигурациите на агентите се лесна победа за напаѓачот. | Отстранете ги и продолжете да ги скенирате датотеките на ременот за тајни. Лесно е да се поправи. |
Обезбедување на ременот, не само на моделот
Безбедност на Xygeni AI започнува таму каде што инженерството за искористување на агенти остава свој отпечаток: во вашите складишта. Ги открива средствата на вештачката интелигенција низ вашата база на кодови (модели, агенти, MCP сервери, вештини, инструкции, guardrailsи алатките за кодирање со вештачка интелигенција што се користат) од кодот, зависностите и конфигурациските датотеки што ги оставаат тие алатки.
Потоа ги анализира датотеките со вештини, датотеките со правила и MCP конфигурациите како безбедносни артефакти, а не како документација, и открива ризици од класа на инјектирање на prompt во поврзувањето на агентите, како што е недоверлива содржина што достигнува системски потсетник или понор за пребарување без заштитна ограда. Скенирањето на тајни на Xygeni ги означува акредитивите на давателите на вештачка интелигенција во потсетниците и датотеките за конфигурација на агентите, а зависностите на вашиот стек со вештачка интелигенција добиваат иста детекција на малициозен софтвер како и сè друго, пред да постои потпис.
NAJČESTO POSTAVUVANI PRAŠANJA
Што е инженерство за искористување на агенти?
Инженерството на поврзување на агенти е дисциплина на дизајнирање на околината околу модел на вештачка интелигенција (инструкции, алатки, дозволи, меморија, контекст и јамки за верификација) така што тој се однесува како сигурен агент. Моделот обезбедува расудување; поврзувањето одлучува што агентот може да види и направи.
По што се разликува инженерството за поврзување на агенти од инженерството на брзи информации?
Инженерството на промпти обликува една инструкција. Инженерството на снопови на агенти го обликува целиот систем во кој работи агентот, низ многу чекори, алатки и сесии. Промптот е една датотека во снопот.
Зошто појасот претставува безбедносен ризик?
Бидејќи контролира што му е дозволено на агентот да прави и се наоѓа во датотеки со обичен текст кои ретко се прегледуваат како безбедносни артефакти. Компромитирајте датотека со правила или MCP конфигурација и ќе го контролирате агентот, без да го допирате моделот.
Кој треба да поседува безбедносни појаси за агенти?
Безбедност на апликациите, соработка со инженерите кои градат и конфигурираат агенти. Системот за поврзување е дел од софтверот што го испорачувате, па затоа припаѓа во истите процеси на преглед, скенирање и инвентар како и остатокот од вашиот код.
