Российские компании используют зарубежные навыки для ИИ-агентов — среди них могут быть домены-заполнители, ведущие к мошенникам

Исследователи обнаружили домены-заполнители, обслуживающие замаскированные мошеннические перенаправления на macOS, которые используются в 349 навыках ИИ-агентов. Также домены замечены в 359 000 файлах GitHub. Об этом пишет HackRead.

Ранее стало известно, что в июле 2026 года число зафиксированных случаев потери контроля над языковыми моделями превысило 300 за месяц, а всего с начала года — более 1600. Эксперты предупредили, что каждый инструмент, выданный ИИ-агенту, может стать точкой действия. Редакция SecPost выпускала материал об этом.

Навыки ИИ-агентов — набор специализированных инструкций, знаний и инструментов, которые подключаются к ИИ-агенту и учат его выполнять конкретные задачи. Создаются разработчиками или пользователями, а агент при работе выбирает нужный навык, понимает задачу, вызывает необходимые инструменты (например, поиск, базы данных или API), выполняет последовательность действий и возвращает результат.

Разработчики часто оставляют домены yoursite.com и your-domain.com в коде в качестве примера. При этом приведенные домены не являются официально зарезервированными тестовыми адресами — зарегистрировать их может абсолютно любой человек.

Было выявлено, что два распространенных домена — yoursite.com и your-domain.com, —упоминаемые в более чем 300 навыках ИИ-агентов, ведут на мошеннические сайты. Некоторые из них выводят фейковое сообщение «Центра безопасности macOS» с уведомлением о 4 вирусах на устройстве с рекламой антивируса, другие — поддельное предупреждение о безопасности со списком вирусов, результатами сканирования устройства и индикатором выполнения задачи с обратным отсчетом.

Что такое ИИ-навыки и чем они опасны

СТО Veai Владислав Кудинов выделил, что навык в стандарте SKILL.md представлен в виде Markdown-файла с инструкцией без самого кода, поэтому в России каталога или магазина навыков не существует, однако сервис, который их предоставляет, — это инструмент, который и читает, и исполняет навыки. По заявлению собеседника SecPost, в такой роли представлен Veai, работающий с открытым стандартом и создающий навыки из чата, читая файлы .claude/skills.

При этом эксперт отметил, что чаще всего отечественные команды пишутся самими компаниями, в то время как зарубежные берутся с GitHub как библиотеки.

Старший партнер IT-интегратора «Энсайн» Алексей Постригайло указал, что в России есть сервисы с навыками для ИИ-агентов: готовый навык можно подключить в Yandex AI Studio. Собеседник SecPost обратил внимание, что готовые навыки пробуют отдельные специалисты и команды, причем используются как зарубежные, так и отечественные инструменты.

Ведущий бизнес-архитектор направления генеративного ИИ «Рексофт» Данил Привал подчеркнул, что важно понимать: навык — это не самостоятельный программный продукт, а определенным образом упакованный набор инструкций для языковой модели. Эксперт указал, что навык описывает, для какой задачи и в какой ситуации его следует использовать, какую последовательность действий выполнять и каким должен быть результат.

Директор по инновациям Fork-Tech Владислав Лаптев добавил, что возможность предоставления навыков для ИИ существует и в экосистемах Yandex, Сбера и МТС: их платформы позволяют подключать к моделям функции, плагины и интеграции. При этом, обратил внимание собеседник SecPost, компании также разрабатывают собственные навыки для профильных задач, распространяя их внутри организации, однако единого открытого российского каталога навыков, сопоставимого с международными площадками, еще не существует.

Эксперт уточнил, что навыки стали общепринятым способом настройки поведения ИИ-агентов, их используют и во внутренних процессах, и в ИИ-сервисах, которые выполняют задачи пользователей. Для общих же задач, как заметил Лаптев, часто выбирают зарубежные решения с площадок skills.sh и GitHub, для профильных, не закрывающихся библиотеками готовых решений, компании разрабатывают собственные навыки.

Владелец продукта Энтакси (компания «ЕМДЕВ») Андрей Филиппов подчеркнул, что компании в России уже используют ИИ-агентов с готовыми сценариями. Прежде всего, по мнению эксперта, такой подход применяется в работе с документами, поиске информации, поддержке сотрудников и в автоматизации типовых операций и разработках.

Филиппов указал: инцидент потенциально опасен для российского рынка, поскольку получение агентом доступа к внешним сайтам или навыкам может привести к подмене легитимного ресурса и загрузке вредоносного контента. «Риск особенно существенен для агентов с широкими правами», — заключил эксперт.

Постригайло также отметил: история с мошенническими доменами в навыках ИИ-агентов может коснуться российских компаний, если подобную ссылку откроет агент или же сотрудник. Если же сотрудники уже установили готовые навыки, эксперт порекомендовал проверить ссылки в их файлах. «Агенту стоит разрешить обращаться лишь к сайтам, которые нужны ему для работы. Адрес, когда-то добавленный в инструкцию для примера, сегодня может вести на мошенническую страницу», — заключил собеседник редакции SecPost.

Привал уточнил, что описанный инцидент с доменами, ведущим к мошенникам, актуален для российских пользователей, поскольку риски возникают, когда внешний навык подключают без проверки его содержимого. Эксперт уточнил, что в инструкцию можно заложить обращение к внешнему ресурсу, запуск скрипта или другие действия, в то время как агент при наличии прав будет им следовать.

Проджект-менеджер ГК Softline (MD Audit) Кирилл Лёвкин выделил, что сценарий с фишинговыми сайтами для России не новый, отличие только в том, что раньше человек сам переходил по ссылке, сейчас же это может сделать ИИ-агент.

«Для злоумышленника это еще и возможность спрятать вредоносное действие внутри вполне полезного инструмента. Например, сотрудник устанавливает навык для поиска информации, работы с документами или другой задачи и не ожидает, что вместе с ним получит нежелательное перенаправление», — заключил Лёвкин.