Вы наняли ИИ-помощника. А команды ему отдаёт чужой сайт

Вы поручили искусственному интеллекту разобрать почту. Хотели сэкономить полчаса: кому ответить, что оплатить, какую встречу перенести.

А теперь представьте, что одно из писем тоже решило дать вашему помощнику поручение. Например, переслать документы на посторонний адрес. Вы об этом не просили. Но письмо написано убедительно, инструкция выглядит служебной, а доступ к почте у помощника уже есть.

Удобно устроились. Помощника наняли вы, а руководить им пытается кто-то другой.

Это пример **непрямой prompt injection** — внедрения инструкции через материал, который читает ИИ. Такой инструкцией может оказаться текст на сайте, в письме или документе. Атакующий рассчитывает, что модель воспримет его как указание к действию. Google описывает этот механизм в исследовании попыток воздействия на ИИ через открытый интернет. [1]

Когда нейросеть только отвечает в чате, подмена может испортить ответ. Когда она получает инструменты, последствия выходят за пределы разговора. У помощника могут быть права читать файлы, отправлять письма, менять записи и обращаться к рабочим сервисам.

И здесь возникает неприятный вопрос: **кому именно он сейчас подчиняется?**

Человеку понятно, что фраза на чужом сайте не становится распоряжением владельца компьютера. Для языковой модели эту границу приходится поддерживать специальными средствами. Она обрабатывает и задачу пользователя, и содержимое страницы — а внутри страницы может находиться текст, который пытается выдать себя за более важную инструкцию.

Поэтому опасность определяется не только способностями модели, но и выданными ей полномочиями. Anthropic прямо рассматривает агента как сочетание модели, управляющего контура, инструментов и среды. Ошибка в любом из этих компонентов способна ослабить защиту всей системы. [2]

Чужой текст уже стал объектом исследований

В апреле 2026 года Google опубликовала результаты поиска подобных инструкций в открытом интернете. Исследователи обнаружили разные намерения: от попыток повлиять на пересказ страницы и продвинуть нужную компанию до вредоносных указаний. При этом обычный поиск подозрительных фраз даёт много шума: статья, объясняющая атаку, тоже содержит примеры опасных команд. [1]

Получается любопытная задача. Помощник должен уметь читать материалы по безопасности, не выполняя приведённые в них инструкции. Примерно как врач должен понимать описание отравления, не проверяя рецепт на себе.

12 октября 2026 года вышел препринт **BrowseSafe++**, посвящённый обнаружению таких атак в браузерных агентах. Авторы представили 38 675 пар страниц: вариант с внедрённой инструкцией и контрольный вариант. Материалы представлены в нескольких формах, включая HTML, текст, дерево доступности и скриншоты. Это позволяет исследовать, как способ представления страницы влияет на обнаружение угрозы. [3]

Но здесь важно удержаться от красивого преувеличения. Успешное распознавание атак на определённом наборе данных ещё не доказывает безопасность помощника во всех реальных задачах. Исследовательский тест имеет свои условия, а рабочая система — свои подключения, права и последствия ошибок.

Что с этим делать человеку

Мой практический вывод из этих материалов: полезно отдельно решать два вопроса — что помощник может прочитать и что ему разрешено сделать после прочтения.

Для поиска и подготовки черновика обычно не требуется право отправлять письма. Для анализа таблицы не обязательно разрешать удаление строк. Для чтения документации не нужен доступ ко всем секретам проекта.

Поэтому я бы начал с простых правил:

• Выдавать доступ под конкретную задачу.
• Проверять адресата и состав данных перед отправкой.
• Подтверждать действия, которые меняют важные записи, права доступа или публикуют информацию.
• Сохранять журнал действий, чтобы можно было восстановить ход событий.

Это не обещание абсолютной защиты. Сама Anthropic подчёркивает, что сочетание защитных мер не даёт такой гарантии. [2]

Раньше мы учились не доверять письмам с просьбой срочно назвать пароль. Теперь похожий урок проходят наши цифровые помощники. Только письмо может обращаться уже к ним, а расплачиваться за ошибку предстоит владельцу аккаунта.

**Я за помощников, которые экономят время. И за то, чтобы право распоряжаться моими данными оставалось у меня. Даже если чужой сайт очень вежливо просит об обратном.**

Источники

1. Google. [AI threats in the wild: The current state of prompt injections on the web](https://blog.google/security/prompt-injections-web/), 23 апреля 2026. 2. Anthropic. [Trustworthy agents in practice](https://www.anthropic.com/research/trustworthy-agents), 9 апреля 2026. 3. Chen Y. и соавт. [BrowseSafe++: Benchmarking Prompt Injection Detection Across Web Contexts, Languages, and Browser Views](https://arxiv.org/abs/2610.17457), препринт от 12 октября 2026. 4. SecurityLab. [ИИ-агенты научились читать сайты. Теперь сайты могут отдавать им команды](https://www.securitylab.ru/analytics/572023.php), 27 апреля 2026. Обзор для дополнительного чтения.

Материал проверен 19 октября 2026 года. Практические выводы — авторская интерпретация; приведённая в начале ситуация — иллюстрация механизма атаки, а не сообщение о конкретном инциденте.