🖇 Агент прочитал подброшенную задачу на GitHub и выложил закрытые данные в публичную правку. Рецепт из трёх частей
В мае 2025 исследователи Invariant Labs подложили вредную задачу в открытый проект, и агент с официальным GitHub MCP-сервером (это переходник между агентом и сервисом) прочитал её и вынес данные закрытого проекта в публичную правку.
Как это работает: 📝 Ловушка — обычный текст задачи в открытом проекте 🔺 Опасная тройка: личные данные, чужой текст, канал наружу 🛠 Восемь дыр в серверах — это работа их авторов
Скрепка думает 🖇 Агент принимает любой прочитанный текст за указание, даже если его написал посторонний. Устроено так же, как курьер с ключами от твоей квартиры, который выполняет любую записку, приклеенную к двери: кто её оставил, он не проверяет. Чинить код серверов будут их авторы, а твоя часть — не выдавать одному агенту все три ингредиента сразу.
🧪 Что попробовать: Когда просишь агента разобрать чужие тексты — задачи в проекте, письма, страницы сайтов, — не подключай в этой же сессии закрытые проекты и личные данные.
🔗 dev.to
💬 Сколько подключений у твоего агента включено прямо сейчас?
