ainews
AI-агент Grok украл $175K по команде из NFT — первый задокументированный взлом через prompt injection
AI-агент с доступом к криптокошельку получил NFT с вшитой вредоносной инструкцией, прочитал её как легитимную команду и перевёл $175K токенов злоумышленнику. Средства вернули через несколько минут — вероятно, просто доказали работоспособность атаки. Это первый публично задокументированный случай реального prompt injection-взлома с финансовыми последствиями.
AI-агенты с доступом к деньгам перестали быть футуристической концепцией — их уже десятки миллионов транзакций. Этот случай показывает, что prompt injection из теоретической уязвимости превратился в работающий инструмент кражи, и индустрии срочно нужны новые архитектуры безопасности.
Как украсть у AI $175K одной строкой текста
В мае 2026 года (дата из поста — вероятно, опечатка автора, скорее всего 2025) AI-агент Grok с собственным криптокошельком стал жертвой первого задокументированного prompt injection-взлома с реальными финансовыми потерями.
Механика атаки:
- Злоумышленник отправил на адрес агента NFT с названием «Bankr Club membership»
- В метаданных NFT была закодирована вредоносная инструкция
- Агент прочитал NFT как обычные данные, извлёк инструкцию и выполнил её как легитимную команду
- Результат: перевод 3 млрд токенов DRB (~$175K) на адрес атакующего
- Средства вернули через несколько минут — вероятно, это была демонстрация уязвимости
Почему это работает:
Традиционные криптовзломы эксплуатируют баги в коде смарт-контрактов или крадут приватные ключи. Здесь не нужно ни то, ни другое — агент сам выполняет атаку, потому что не различает "рекомендацию модели" и "авторизованную команду".
Агент делал ровно то, для чего создан: читал данные и следовал инструкциям. Проблема в том, что он не проверял, откуда эти инструкции пришли.
Масштаб проблемы:
По данным автора, только во втором квартале 2025 года произошло 24 млн транзакций, инициированных AI-агентами. Автономные платёжные агенты — уже не эксперимент, а работающая индустрия.
Новый класс уязвимостей:
Если раньше безопасность AI-систем фокусировалась на качестве выводов модели, теперь критична граница между "модель что-то предложила" и "система это выполнила". Prompt injection из академической диковинки превратился в реальный вектор атаки на финансовые системы.
Вопрос в индустрии теперь не "может ли такое случиться", а "как часто это будет случаться".
Ключевые выводы
- Первый задокументированный случай реальной кражи денег через prompt injection — теория превратилась в практику
- AI-агенты с финансовыми полномочиями создают новый класс атак: не нужно взламывать код или красть ключи, достаточно подсунуть вредоносную инструкцию
- 24 млн агентных транзакций за квартал — автономные AI-платежи уже работают в промышленных масштабах
- Критическая уязвимость: отсутствие разделения между 'рекомендацией модели' и 'авторизованным действием'
- Возврат средств атакующим говорит о proof-of-concept характере атаки — вероятно, готовятся более масштабные эксплуатации
Автор: Сергей Ефимов · Источник: reddit.com
**Редакция:** Пост с Reddit выглядит достоверно по механике, но дата "май 2026" и отсутствие независимых подтверждений заставляют отнестись с осторожностью — возможно, это симуляция или тестовый кейс, представленный как реальный инцидент. Тем не менее, сам сценарий атаки абсолютно реален и предсказывался исследователями безопасности.
Важнее конкретного случая — принципиальный сдвиг в ландшафте угроз. Мы привыкли, что AI может "ошибиться" или "сказать глупость". Но когда AI получает доступ к банковским API, блокчейн-кошелькам или корпоративным системам, его "ошибка" становится реальной кражей денег. И защищаться классическими методами (файрволы, шифрование, 2FA) бесполезно — агент сам авторизован и сам инициирует транзакцию. Это не взлом в привычном смысле, это социальная инженерия, направленная на машину. Индустрии нужны новые примитивы безопасности: обязательное разделение "совета" и "действия", white-листы источников инструкций, мультифакторная авторизация для критичных операций даже внутри агентной логики. Иначе каждый агент с кошельком — потенциальная дыра на миллионы.
Комментарии