Barracuda Research описала «двойные» фишинговые письма, которые атакуют одновременно человека и AI-ассистента, читающего его почту: владелец ящика видит вложение с паролем, а скрытый слой адресован языковой модели и подталкивает её представить письмо легитимным и срочным, вплоть до ложных приоритетных действий вроде смены реквизитов поставщика. Malwarebytes разобрал эту угрозу в материале от 12 октября 2026 года и советует проверять оригинал письма перед любыми действиями, ограничивать права ассистента и всегда подтверждать платежи человеком.
Что произошло
Исследователи Barracuda Research опубликовали 7 октября 2026 года описание кампании, в которой одно фишинговое письмо несёт два разных сообщения. Первое адресовано человеку: письмо выглядит как обычное рабочее, внутри находится вложение, защищённое паролем, причём пароль продублирован прямо в тексте письма, чтобы получателю было проще его открыть. Второе адресовано AI-ассистенту, который читает эту почту и готовит сводки: в письме спрятаны инструкции prompt injection, размещённые в HTML-комментариях, в невидимом CSS-тексте, закодированные в Base64 и дополнительно скрытые zero-width символами юникода. Задача скрытого слоя состоит в том, чтобы ассистент описал письмо как легитимное или срочное и добавил в список приоритетных действий то, что выгодно атакующему, например смену реквизитов поставщика. Разбор этой угрозы Malwarebytes выпустил 12 октября 2026 года вместе с рекомендациями по защите, а тема активно обсуждается на Hacker News.
Контекст
Приём относится к классу indirect prompt injection, когда инструкции для модели прячут внутри данных, которые она обрабатывает: до недавнего времени такие атаки оставались преимущественно лабораторными демонстрациями, и новизна ситуации в том, что механика наблюдалась на реальных почтовых кампаниях. Уязвимость здесь не в новой способности моделей, а в разрыве между тем, что человек видит на экране, и тем, что ассистент получает как сырой текст: пайплайны ingestion во многих продуктах подают модели письмо как есть, вместе со всеми невидимыми слоями разметки, вместо того чтобы сначала привести его к видимому отображению. В такой конфигурации ассистент работает как усилитель доверия: письмо, которое человек спокойно проигнорировал бы, после AI-сводки превращается в «рекомендацию» с приоритетным действием, а почтовый ящик становится входной поверхностью для атак на агентов, работающих с почтой.
Почему это важно для индустрии
Организациям, уже запустившим ассистентов над корпоративной почтой, корректно исходить из того, что продукт без санитизации входа и с правами на действия уязвим по умолчанию. Практический минимум, реализуемый силами команды без привлечения нового вендора: не подавать в модель сырой HTML, вырезать HTML-комментарии и невидимый CSS-текст, нормализовать Base64 и zero-width символы до подачи в модель, отменить автоматические действия по письмам и сделать подтверждение человеком обязательным для любых платежей по схеме human-in-the-loop. Вендорам ассистентов и AI-суммаризаторов, включая Copilot, это сигнал, что санитизация входных данных, детекция prompt injection, песочницы и валидация вывода должны встраиваться в ingestion как часть самого продукта, а не оставаться настройкой. В более широкой перспективе защита агентов, работающих с почтой, от middleware по схеме «почта, затем очищенный дайджест для агента» до систем детекции писем с двойной аудиторией, выглядит формирующейся отдельной продуктовой категорией.
Почему это важно для пользователей
Если вы пользуетесь AI-ассистентом для сводок почты, главный риск в том, что фишинг, который вы бы сами проигнорировали, ассистент может превратить в приоритетную «рекомендацию» с призывом к действию, и самая опасная зона здесь касается писем про платежи и реквизиты. Перед любыми действиями с деньгами или данными открывайте исходное письмо, а не только его AI-сводку, и считайте вывод ассистента подсказкой, а не проверкой: модель читает скрытую разметку, которую человек не видит, и именно поэтому становится новой целью. Изменения реквизитов поставщиков и контрагентов подтверждайте через отдельный доверенный канал, например по известному вам телефону организации. Ограничьте права ассистента: отключите автоматические действия по письмам, если продукт это позволяет, и не давайте ему возможность проводить платежи без вашего подтверждения.
Что пока неизвестно / ограничения
Публикации Barracuda Research и Malwarebytes описывают продемонстрированный случай, но не содержат методологии, датасетов и метрик: неизвестно, как часто модели фактически выполняют такие инъекции, какие продукты затронуты и какова точность возможной детекции. В доступных данных нет признаков массовой эксплуатации против продуктов, поэтому пока это threat research, а не сообщение о масштабном инциденте. Утверждение, что детекция конкретных техник вроде zero-width символов или Base64 технически проста, остаётся продуктовой гипотезой, а не результатом оценки, и борьба со скрытыми слоями по своей природе adversarial, поскольку атакующие способны усложнять обфускацию. Прогнозы о том, что вендоры быстро встроят санитизацию и детекцию скрытых слоёв в ingestion и появятся публичные бенчмарки robustness почтовых ассистентов, следует читать как ожидания авторов анализа, а не как подтверждённые факты.
Источники
- Email attacks target both humans and AI in the same message — Barracuda Research
- Phishing emails are baiting your AI assistant — Malwarebytes
- Phishing emails are baiting your AI assistant — обсуждение на Hacker News
Автор
Look at AI, редакция