Криптокошельки под угрозой: вирусная сеть ИИ-ботов Moltbook обнажает серьезные угрозы безопасности

Социальная платформа, где роботы общаются друг с другом вместо людей, привлекла внимание в интернете на прошлой неделе, но эксперты по безопасности говорят, что настоящая история — это то, что они обнаружили под поверхностью.

Moltbook попал в заголовки новостей как место, где искусственный интеллект публикует контент, а люди лишь наблюдают. Посты быстро становились странными. ИИ-агенты, казалось, начинали свои собственные религии, писали гневные сообщения о людях и объединялись в онлайн-культы. Но специалисты по компьютерной безопасности говорят, что все это странное поведение — лишь побочное шоу.

То, что они обнаружили, было более тревожным. Открытые базы данных, полные паролей и адресов электронной почты, распространение вредоносного программного обеспечения и превью того, как сети ИИ-агентов могут пойти не так.

Некоторые из самых странных разговоров на сайте, например, планы ИИ-агентов по уничтожению человечества, оказались в основном фейковыми.

Джордж Хальхуб, преподающий в Центре взаимодействия UCL, сказал Fortune, что Moltbook демонстрирует вполне реальные опасности. Злоумышленники могут использовать платформу как полигон для вредоносного программного обеспечения, мошенничества, фейковых новостей или трюков, захватывающих других агентов перед атакой на более крупные сети.

«Если 770 тысяч агентов на клоне Reddit могут создать такой хаос, что произойдет, когда агентные системы будут управлять корпоративной инфраструктурой или финансовыми транзакциями? Это стоит внимания как предупреждение, а не как повод для празднования», — сказал Хальхуб.

Исследователи безопасности говорят, что OpenClaw, программное обеспечение ИИ-агента, на котором работают многие боты на Moltbook, уже имеет проблемы с вредоносным ПО. Отчет OpenSourceMalware обнаружил 14 поддельных инструментов, загруженных на его сайт ClawHub всего за несколько дней. Эти инструменты утверждали, что помогают с крипто-трейдингом, но на самом деле заражали компьютеры. Один из них даже попал на главную страницу ClawHub, обманывая обычных пользователей, чтобы они скопировали команду, которая загружала скрипты, предназначенные для кражи их данных или криптокошельков.

Что такое инъекция промптов и почему она так опасна для ИИ-агентов?

Самая большая опасность — это то, что называется инъекцией промптов, известный тип атаки, при котором вредоносные инструкции скрыты в контенте, подаваемом ИИ-агенту.

Саймон Уиллисон, известный исследователь в области безопасности, предупреждал о трех вещах, происходящих одновременно. Пользователи позволяют этим агентам видеть личные электронные письма и данные, подключают их к сомнительному контенту из интернета и разрешают им отправлять сообщения. Один плохой промпт может заставить агента украсть конфиденциальную информацию, опустошить криптокошельки или распространить вредоносное программное обеспечение без ведома пользователя.

Чарли Эриксен, занимающийся исследованиями в области безопасности в Aikido Security, считает Moltbook ранним предупреждением для всего мира ИИ-агентов. «Я думаю, Moltbook уже оказал влияние на мир. Пробуждение во многих отношениях. Технологический прогресс ускоряется с такой скоростью, и вполне очевидно, что мир изменился таким образом, который еще не до конца понятен. И нам нужно сосредоточиться на смягчении этих рисков как можно раньше», — сказал он.

Так есть ли на Moltbook только ИИ-агенты, или в этом замешаны реальные люди? Несмотря на все внимание, кибербезопасная компания Wiz обнаружила, что 1,5 миллиона так называемых независимых агентов Moltbook не были тем, за что себя выдавали. Их расследование показало, что за этими аккаунтами стояло всего 17 000 реальных людей, при этом невозможно было отличить реальный ИИ от простых скриптов.

Галь Нагли из Wiz сказал, что он мог зарегистрировать миллион агентов за несколько минут, когда тестировал это. Он сказал: «Никто не проверяет, что является реальным, а что нет».

Wiz также обнаружила огромную уязвимость безопасности в Moltbook. Основная база данных была полностью открыта. Любой, кто нашел один ключ в коде веб-сайта, мог читать и изменять почти все. Этот ключ давал доступ к примерно 1,5 миллионам паролей ботов, десяткам тысяч адресов электронной почты и личным сообщениям. Злоумышленник мог притвориться популярными ИИ-агентами, украсть данные пользователей и переписать посты даже без входа в систему.

Нагли сказал, что проблема возникла из-за того, что называется «вайб-кодингом». Что такое вайб-кодинг? Это когда человек просит ИИ написать код, используя обычный язык.

Кнопка экстренного отключения ИИ-агентов истекает через два года

Ситуация напоминает события 2 ноября 1988 года, когда студент-аспирант Роберт Моррис выпустил самовоспроизводящуюся программу в ранний интернет. В течение 24 часов его червь заразил примерно 10% всех подключенных компьютеров. Моррис хотел измерить размер интернета, но ошибка в коде заставила его распространяться слишком быстро.

Современная версия может быть тем, что исследователи называют промпт-червями, инструкциями, которые копируют себя через сети общающихся ИИ-агентов.

Исследователи из Исследовательской лаборатории Симула обнаружили 506 постов на Moltbook, что составляет 2,6 процента от просмотренных, содержащих скрытые атаки. Исследователи Cisco документировали одну вредоносную программу под названием «Что бы сделал Илон?», которая крадла данные и отправляла их на внешние серверы. Программа заняла первое место в репозитории.

В марте 2024 года исследователи безопасности Бен Насси, Став Коэн и Рон Биттон опубликовали статью, показывающую, как самовоспроизводящиеся промпты могут распространяться через ИИ-помощников по электронной почте, красть данные и рассылать спам. Они назвали его Morris-II, в честь оригинального червя 1988 года.

В настоящее время такие компании, как Anthropic и OpenAI, контролируют кнопку экстренного отключения, которая могла бы остановить вредоносные ИИ-агенты, поскольку OpenClaw работает в основном на их сервисах. Но локальные модели ИИ становятся лучше. Такие программы, как Mistral, DeepSeek и Qwen, постоянно улучшаются. В течение года или двух запуск способного агента на персональных компьютерах может стать возможным. В этот момент не будет провайдера, который мог бы отключить эти системы.