{"id":"ab6e99fe-4162-4564-ba77-7d08255641dc","slug":"issledovateli-obkhodyat-6-freymvorkov-ai-agentov-prostym-promptom-repeat-after-me","title":"Исследователи обходят 6 фреймворков AI-агентов простым промптом «Repeat-After-Me»","excerpt":"Исследователи из Пенсильванского университета, Университета Монпелье и Дартмутского колледжа показали, что шесть популярных фреймворков для AI-агентов можно заставить выполнить вредоносный вызов инструмента, просто попросив модель повторить текст. Эта уязвимость подчёркивает, что безопасность агентов зависит не от модели, а от «упряжи» — инфраструктуры, которая управляет её действиями.","content":"

Meta Platforms Inc. признана экстремистской организацией, её деятельность запрещена на территории Российской Федерации

Исследователи обманом заставили шесть широко используемых фреймворков AI-агентов выполнить вызовы инструментов, написанные атакующим, просто попросив базовую модель повторить вызов. Техника, названная «Repeat-After-Me», сработала на LangChain LangGraph, Microsoft Agent Framework, Microsoft AutoGen, Google Agent Development Kit 2.0, AWS Strands Agents и CrewAI. Об этом сообщили исследователи из Пенсильванского университета, Университета Монпелье и Дартмутского колледжа.

«Кажущийся безобидным запрос на повторение текста даёт атакующему прямой контроль над вызовом инструмента и его аргументами», — пишут исследователи в статье.

В той же работе сообщается, что созданный командой инструмент тестирования обнаружил подтверждённые уязвимости безопасности в 118 из 273 открытых серверов Model Context Protocol (MCP), которые удалось запустить.

\n $\"Harness$ \n

В демонстрации исследователи попросили AI-модель повторить текст, оформленный как запрос на вызов инструмента. Сначала модель отказалась выполнять опасный запрос, но включила запрошенный текст в свой ответ. Фреймворк на этом этапе его не выполнил.

Затем исследователи представили запрос как гипотетический и велели модели воспроизвести только предоставленный текст. Модель выдала структурированный вызов инструмента, который LangGraph и отправил на исполнение. Симулированный инструмент вернул результат до того, как модель снова выразила отказ.

«Текст отказа и выполненный вызов противоречат друг другу: системный промпт определил, что модель сказала, а не то, что сделал оркестратор», — отмечают исследователи.

Выводы исследователей не означают, что каждое развёртывание этих шести фреймворков ведёт себя подобным образом.

В статье подробно описана одна демонстрация на LangGraph 1.2.0 с моделью Meta Llama 3.1 8B, запущенной через Ollama. У агента было два фиктивных инструмента — make_bomb и launch_missiles, которые возвращали фиксированные данные и не имели реального эффекта. Единственной защитой был системный промпт, предписывающий модели отклонять опасные запросы.

Когда модель впервые попросили повторить вызов launch_missiles, она отказалась, но вывела вызов в виде текста, и LangGraph ничего не выполнил. Затем исследователи представили запрос как гипотетический и велели модели вывести только процитированный вызов. На этот раз модель вернула вызов в структурированной форме, и LangGraph немедленно выполнил его с аргументами атакующего. Отказ модели поступил только после того, как инструмент вернул результат.

«Системный промпт определил, что модель сказала, а не то, что сделал оркестратор», — повторяют исследователи. Они сообщили об отсутствии проверки перед выполнением разработчикам LangGraph.

В статье полная расшифровка приведена только для LangGraph. Для остальных пяти фреймворков указано, что исследователи воспроизвели поведение, но без дополнительных деталей.

LangChain, Microsoft, Google, AWS и CrewAI не ответили на запросы о комментариях.

Независимый исследователь безопасности и специалист по red team Вибхум Дуби заявил, что находка указывает на архитектурную слабость, а не на отдельную ошибку.

«Модель может сгенерировать технически корректный вызов инструмента, который...» — приводит его слова издание.

\n $\"Harness$ \n

Проблема выходит за рамки отдельных фреймворков. Как отмечается в отчёте State of Agent Security Report за 2026 год, в изученных средах около 1280 сторонних продуктов теперь встраивают AI. Примерно 282 из них находятся за единым входом. Остальная тысяча по умолчанию невидима для инфраструктуры идентификации, потому что стек идентификации может управлять только тем, что аутентифицируется через него, а большинство агентов этого не делают.

Этот разрыв — самое ясное выражение сдвига, который индустрия безопасности только начинает осознавать. Годами «безопасность AI» решала проблему первой стороны: компания решала использовать AI, закупала лицензии, развёртывала модель за шлюзом, и безопасность направляла средства контроля на то, что бизнес выбрал. Агенты приходят не так. Они появляются внутри программного обеспечения, которое предприятие уже использует, и приходят без решения.

Каждый инструмент контроля первой стороны предполагает наличие момента: сканирование модели предполагает, что модель была выбрана; проверка промптов предполагает, что шлюз развёрнут; политика допустимого использования предполагает, что было принятие. Этот момент давал безопасности возможность провести проверку, определить поверхность для инструментирования и назначить ответственного.

Агенты пропускают этот момент. Salesforce Slack Code, запущенный в августе 2026 года, позволяет пользователю отметить агента-программиста в любом разговоре; агент читает общий контекст, пишет код и открывает pull request. В анонсе обещается, что агенты «наследуют встроенную модель безопасности Slack, разрешения и административные контроли с первого дня, без дополнительных усилий со стороны ИТ». Для команды безопасности это предложение описывает автономного актора с доступом к GitHub и производственной инфраструктуре, управление которым сводится к членству в канале чата. Инструментировать было нечего, потому что ничего не было принято.

Лидеры безопасности склонны делить агентов на две категории: купленные и созданные. Есть третья, и она самая большая. Унаследованные агенты поставляются внутри существующих платформ через обновления продуктов. Настроенные агенты — это собственные промпты и логика предприятия, работающие на чужой среде выполнения, модели и коннекторах. Созданные агенты — это открытые фреймворки на инфраструктуре, которой предприятие владеет от начала до конца. Первые две категории составляют подавляющее большинство внедрений и растут экспоненциально, поскольку каждое крупное приложение становится платформой для агентов. Третья — самая маленькая и медленно растущая, и только у неё есть репозиторий для сканирования и сбор�