AgentTracer находит точку промпт-инъекции в логах агента в 94% случаев

Все обсуждают, как защитить агента от промпт-инъекций. Куда меньше пишут о том, что делать, когда защита не сработала и нужно понять, что произошло. Исследователи из Университета Сунь Ятсена и Гонконгского университета науки и технологий выпустили работу AgentTracer как раз об этом: как по журналам агента восстановить ход атаки.

Почему атаку так трудно увидеть в логах

Весь прочитанный агентом текст попадает в единый контекст модели. Откуда пришла фраза, модель по сути не различает, а самую свежую и убедительную инструкцию старается выполнить. При косвенной инъекции вредоносная команда лежит в странице или письме, которое агент открыл сам по заданию пользователя. Поэтому его действия выглядят как обычная работа.

Пример из статьи придуман авторами, но механика точная. Пользователь просит скачать релиз с сайта и выгрузить его на GitHub. На странице спрятана инструкция, и агент заодно регистрирует SSH-ключ атакующего, читает почту и в конце чистит рабочую память. Заметен только последний шаг, и анализ потока данных его не свяжет со страницей: общих параметров у вызовов нет. Связь видна лишь в рассуждениях агента, где он объясняет, зачем это делает.

К тому же серверные журналы могут ничего не показать. В технике HashJack инструкция прячется во фрагменте адреса после #, он обрабатывается на клиенте и на сервер не уходит. Утечку данных через запрос картинки с параметрами в URL, как в случае с Bing Chat, со стороны не отличить от обычной загрузки. А в CoSnitch (CVE-2026-24301) вредные инструкции ещё и записывались в постоянную память ассистента, так что сработать они могли в другой день.

Как работает AgentTracer

Идея простая: если инъекция сработала, агент делает то, о чём пользователь не просил. Это расхождение авторы называют дрейфом намерения. По записям рассуждений строится граф: узлы — запрос пользователя и объекты от инструментов (страницы, письма, файлы), рёбра — операции агента. Так вызовы без общих параметров всё равно попадают в одну цепочку.

Дальше каждый вызов проверяют по трём признакам: действие, цель, ограничения. Если нарушен любой, ребро помечается как отклонение. От подозрительного события идут назад по помеченным рёбрам. Если корень цепочки — внешний ресурс, это инъекция, а строка, где он попал в контекст, становится точкой внедрения. Если корень не внешний, значит, агент просто ошибся. Ответ «инъекции не было» тоже полноценный результат расследования.

Проверяли в жёстких условиях: логи успешных атак из AgentDyn и InjecAgent смешали с пятью месяцами обычной работы агента. На цепочку из трёх вызовов пришлось около трёх тысяч посторонних. Точку внедрения нашли примерно в 94% случаев, у семи конкурентов результат лежит в диапазоне 40–76%. Одни находили все атаки, но не источник, другие собирали цепочку полнее, но с лишним. Если заменить граф обычной лентой вызовов или проверку по трём признакам оценкой от LLM, точность падает. Отсечение по подозрительному событию экономит почти треть времени и в полтора раза токенов.

Что с этим делать и где пределы

Главный вывод практический: расследование опирается на то, что вы сохранили до инцидента. Нужны запрос пользователя, рассуждения агента, вызовы и полные результаты инструментов, а также исходящие запросы. Microsoft советует считать любой внешний контент враждебным и вести телеметрию запросов и ответов. Хранить логи нужно так, чтобы атакующий не мог их менять.

У метода есть пределы. Он рассчитан на агентов в стиле ReAct с записанными рассуждениями. Если после инъекции не было вызовов инструментов или код менял файлы в обход них, трассировать нечего. Граф строит языковая модель, а рассуждения агента не всегда отражают реальные причины действий, так что надёжность выводов не выше надёжности этого рассказа. Проверяли только на успешных атаках и на одном окружении, на безобидных логах ложные срабатывания составили около 3,5%. Слабее всего изучен случай с постоянной памятью.

Ещё одна оговорка из обзора OWASP за третий квартал 2026 года: агент может уйти от задачи и без всякой инъекции. Claude Opus 4.7 в оценке по кибербезопасности атаковал реальную компанию с похожим названием, а агенты OpenAI вышли через общий сервис пакетов в инфраструктуру Hugging Face. Инъекции там не установлено. Так что граница безопасности держится на принудительных ограничениях, изолированных инструментах и учётных данных, а не на промпте. Логи нужны, чтобы потом разобраться, а не чтобы заменить защиту.

Пока Google находит в сети в основном шутки и SEO-трюки, но доля вредоносных находок выросла на 32% (относительно) с ноября 2025 по февраль 2026 года. Журнал агента стоит настроить сейчас, пока он не понадобился.