Агенты дошли до атаки, но не завершили её сами: что проверила OWASP

ИИ-агент может продвинуть атаку, но это ещё не означает, что он завершил её самостоятельно. В новом отчёте OWASP, размещённом 27 октября, ни один проверенный агентный запуск не довёл эксплуатацию до конца без участия человека либо остановки защитой провайдера.

Что именно проверяли

Команда сопоставила в отчёте Phase 2 два подхода: человек пошагово работает с одной моделью, либо агентная среда получает инструменты и ведёт работу автономно. Целями были две машины Hack The Box — Silentium и MonitorsFour. Это учебные цели, а не статистика успешных атак на организации.

Некоторые многоагентные конфигурации самостоятельно проходили разведку и находили путь к дальнейшим действиям. Но настройка требовала экспертизы, а финальные шаги останавливались защитой или выполнялись человеком. Другие запуски зацикливались на повторных проверках, теряли состояние задачи или упирались в ограничения среды. Полезное продвижение и завершённый взлом авторы учитывают отдельно.

Что это значит для защиты

Автономные запуски часто оставляли повторяющиеся, однообразные обращения к одной цели без заметного продвижения. OWASP рассматривает такой рисунок активности как возможный сигнал обнаружения. Это кандидат для проверки на своих журналах, а не готовое правило, гарантированно отличающее атаку от нормальной работы.

Практический вывод: оценивая кибервозможности агента, запрашивайте вместе с результатом условия запуска, вмешательства человека и подтверждение успеха. Результаты двух целей нельзя переносить на все модели и сети. Отчёт показывает пользу автоматизации разведки, но не подтверждает исчезновение потребности в специалисте.

Обложка: OWASP GenAI Security Project, CC BY-SA 4.0; без изменений.