Поисковая выдача может привести ИИ-агента прямо к чужим командам, даже если исходный сайт давно исчез из интернета. Компания AIR Security обнаружила 36 доменов, которые уже никто не зарегистрировал, но поисковик продолжает показывать в результатах. Потенциальный атакующий может купить такой адрес, разместить на нём инструкции и дождаться визита ИИ-помощника.
Авторы Web Hole проверили около 2000 запросов, характерных для ИИ-помощников, и изучили примерно 6500 сайтов. Часть исчезнувших ресурсов сохранила позиции в поисковой выдаче. Поисковый индекс не всегда успевает отразить смену владельца домена или исчезновение прежнего содержимого, поэтому хорошо ранжировавшийся адрес может оставаться заметным после закрытия сайта.
Среди примеров AIR Security назвала pyquestions.com и thestackoverflow.com. На момент проверки оба домена были свободны, хотя поисковик предлагал их при запросах об ошибке Python и директиве ng-change в AngularJS. Для перехвата результата не требуется взламывать прежний сервер. Достаточно зарегистрировать освободившийся адрес и разместить там страницу с вредоносными командами.
В описанном сценарии агент Claude обращается к WebSearch, получает результаты и описания страниц. При необходимости WebFetch загружает выбранную страницу, а языковая модель предварительно пересказывает содержимое. Если сайт содержит обращённые к агенту инструкции, вредоносный текст может попасть в рабочий контекст под видом справки и повлиять на действия помощника.
Такой приём называют промпт-инъекцией. Атакующий не меняет запрос пользователя, а добавляет команды в данные, которые помощник читает при выполнении задачи. Веб-страница не должна управлять действиями модели, но граница доверия может нарушаться. Ранее проверка HTTP-заголовков показала, что посторонние инструкции могут скрываться даже вне видимого текста страницы.
Кроме заброшенных доменов, AIR Security нашла сайты, напрямую обращающиеся к ИИ-агентам, и ресурсы, которые показывают ботам и обычным браузерам разное содержимое. В результатах поиска встретился репозиторий GitHub с вредоносными командами в README. Подмена ответа специально для бота осложняет ручную проверку, поскольку человек может увидеть совершенно другую версию страницы.
Риск зависит от полномочий агента. Если помощник лишь пересказывает найденное, итогом может стать искажённый ответ. Если агент имеет доступ к терминалу и может исполнять команды, успешная инъекция потенциально позволяет запустить код на рабочей машине. AIR Security не приводит доказательств массовых взломов через свободные домены. Авторы описали возможный путь атаки.
Похожий риск уже проявлялся в исследовании Google о вредоносных инструкциях на веб-страницах. AIR Security советует проверять интернет-данные до передачи в контекст агента и не принимать высокий рейтинг сайта за гарантию безопасности. Самостоятельный ИИ-помощник может не только изменить ответ из-за чужой страницы, но и совершить нежелательное действие.