OWASP Agentic Skills Top 10 — Security Assessment Checklist

OWASP на днях выпустили практический чек-лист для оценки безопасности AI-агентов — Agentic Skills Security Assessment Checklist, инструмент для ревью, апрува и переоценки/пересмотра навыков агентов.

Главная идея проста и заключается в том, каждый скилл проверяется по набору критериев, и любое "нет" - потенциальная уязвимость.

Ключевые практики:
😜 проверка подписи и source of truth
😜 SBOM и pinned dependencies
😜 sandbox и dynamic behavioral testing
😜 минимизация прав (principle of least privilege)
😜 отдельное сканирование кода и prompt/инструкций

В целом, почему родился этот пост? Про сам чеклист что много писать, читайте сами. Но захотелось немного порефлексировать на очень показательный кейс этого года — ClawHavoc, атаку на экосистему OpenClaw.

Если разложить её в логике kill chain / MITRE ATT&CK, становится видно, что это классическая цепочка, но адаптированная под LLM-агентов.
Атака начинается на стадии initial access, но не через эксплоит, а через supply chain. Злоумышленник публикует скилл в публичный registry — это фактически аналог poisoned dependency. В терминах ATT&CK это ближе всего к T1195 (Supply Chain Compromise) , но с важной оговоркой, так как точкой входа становится не бинарь, а текст — SKILL.md. Агент читал SKILL.md, LLM генерировала полезный ответ с просьбой выполнить команду (curl | bash), и пользователь сам запускал малварь. Дальше шла кража API-ключей, кошельков и других секретов.
Это по сути комбинация supply chain атаки и prompt injection, где LLM становится частью kill chain.

Такой скилл не прошёл бы OWASP чек-лист.
Он бы завалился сразу по нескольким критическим пунктам:
😮 неподтверждённый источник и отсутствие подписи
😮 вредоносные инструкции в metadata
😮 избыточные права (shell, доступ к секретам)
😮 отсутствие sandbox и поведенческого анализа

Так что пользуемся, друзья!
Кстати, вполне рабочая идея — просто запулить агента, который автоматически прогоняет скиллы по чек-листу перед деплоем (свои и коллег).
Все!
👽

AI Agent Traps (Google DeepMind)

Появился новый термин/класс уязвимостей — AI Agent Traps — атаки не на модель, а на среду, в которой работает агент. В отличие от классических атак на МО или промпт инъекции, здесь атака происходит через нормальные каналы восприятия агента (нормальные - не совсем подходит, но интуитивно "нормальные" 🤣).

Авторы вводят понятие agent traps (специально сконструированные элементы (веб-контент, данные, интерфейсы), которые заставляют агента выполнять нежелательные действия, не ломая модель напрямую, а манипулируя её входом).

Кроме того, дана системная классификация атак по этапам работы агента (помнишь, недавно было про чеклист агентов?). Выделяются шесть типов:
🦷 Content Injection — скрытые инструкции в HTML, CSS, медиа (расхождение между человеческим и машинным восприятием);
📔 Semantic Manipulation — искажение ризонинга через фрейминг и когнитивные эффекты;
🧠 Cognitive State — поизонинг памяти и RAG-баз;
🎰 Behavioural Control — джейлбрейк и принуждение к действиям (например, утечке данных);
🕸 Systemic Traps — атаки на коллективное поведение множества агентов (каскады, congestion, Sybil);
➰ Human-in-the-loop — воздействие на человека через агента.

Особый интерес представляют приведённые результаты: скрытые инъекции в HTML изменяют ответы моделей в 15–29% случаев, а простые промпт инъекции в веб-контенте способны частично перехватывать поведение агентов до 86% сценариев. В мультимодальных настройках универсальные adversarial-примеры (например, картинки) демонстрируют ещё более высокую эффективность, достигая уровней успешности атак, сопоставимых с полноценным джейлбрейками 🚬.
Также показано, что атаки на память и RAG могут иметь долгосрочный эффект, влияя на поведение агента в будущих сессиях при минимальном объёме отравленных данных. Про RAG вообще интересно, а то уже совсем обленились доучивать модели, заменяем рагами и радуемся!

Таким образом, работа не только предлагает концептуальную классификацию, но и подкрепляет её количественными и экспериментальными наблюдениями 😡🤬, демонстрируя и практическую реализуемость описанных угроз и важность пересмотра иб-практик. На почитать жареные факты!

Все!
😋