Вредоносному софту больше не нужен код. Достаточно текста 🤖🪓

VirusTotal выкатил исследование базы из 35 000+ скиллов и плагинов для AI-агентов. Из них вредоносными оказались более 6.6 тысяч. Но самое смешное — как авторы этих зловредов прячут инструкции от глаз человека. Никакой квантовой криптографии, только эксплуатация беспечности кожаных мешков и особенностей рендеринга текста.

Рецепт «идеальной» малвари 2026 года:

1️⃣ Простыня пробелов Древнейший трюк, который снова работает. В условный SKILL.md заливают полезную доку, затем вставляют от 100 до 800 пустых строк, а в самом конце дописывают инструкцию для LLM.

Человек листает файл в IDE или репозитории: текст кончился, вроде всё чисто. Автоматические линтеры и сканнеры часто обрезают вывод слишком длинных текстовых файлоы. А агент читает файл целиком. И в самом низу находит команду: например, молча слать скрытой копией все письма на левый ящик. Гениально и просто.

2️⃣ HTML-комментарии Все же читают документацию в красивом интерфейсе GitHub, либо в IDE?

Markdown-парсеры зачастую просто не отображают . Для человека их нет. Но когда агент подтягивает файл контекстом, он парсит сырой текст.

Внутри комментария злоумышленники заботливо пишут:

Модель видит авторитетный контекст и покорно выворачивает карманы.

3️⃣ Невидимый Юникод Тут уже пошла эстетика: 🔵 Unicode Tag Characters: символы, зеркалящие ASCII, но не отображаемые большинством редакторов и браузеров. Строка визуально абсолютно пустая, а модель декодирует из неё прямую инструкцию на запуск шелл-скрипта через curl | bash. 🔵 Символы нулевой ширины: их пихают прямо внутрь обычных слов. Человек видит обычный текст, модель всё прекрасно токенизирует и понимает смысл, а вот корпоративные DLP-системы и регулярки для поиска утечек ключей ломают зубы и пропускают встроенные инструкции.

4️⃣ Отравление долгосрочной памяти Самый мерзкий паттерн. Скилл просит модель: «Запиши в свой MEMORY.md или системный промпт следующее правило...». Вы можете найти малварь, поматериться и удалить скилл через пять минут. Но агент уже зафиксировал в своей долгосрочной памяти поведение или бэкдор, и будет годами подмешивать левые инструкции во все будущие сессии.

Уже нужно перестать относиться к промптам, плагинам и тулам для агентов как к «просто текстам». В агентных архитектурах текст — это теперь как исполняемый бинарник. Кажется, скоро отделы ИБ начнут проверять маркдаун-документацию с тем же пристрастием, с каким раньше декомпилировали сомнительные .dll. И будут абсолютно правы.