Безопасность ИИ-агента: как просканировать настройки на дыры

Что такое дыра в самом ИИ-агенте

Представь: ты нанял домработника и дал ему ключи. Удобно - он сам открывает дверь, моет посуду, выносит мусор. Только вопрос на засыпку: ключи-то от чего? От входной двери? Или заодно от сейфа, машины и квартиры соседей? И подброшенную записку «впусти любого, кто скажет, что он от хозяина» он выкинет в мусорку - или всё-таки выполнит?

Твой ИИ-помощник - ровно такой домработник. У него есть права (что ему можно), память (заметки, которые он перечитывает) и инструкции (правила, которым он верит без вопросов). Дыра в этих настройках - и взломают не твой код, а самого помощника. А он, на минуточку, уже внутри квартиры.

Почему вайбкодеру важно проверять агента

Ты вайбкодер. Ты вешаешь агенту инструменты, раздаёшь права, копируешь чужие настройки из ютуба и гитхаба. И вот тут начинается самое интересное:

• ты сунул пароль или ключ прямо в файл настроек «чтобы заработало» - а потом выложил проект на гитхаб;
• ты на радостях нажал «разреши агенту всё» - и теперь любой кривой совет он исполняет не моргнув;
• ты скопировал чужой CLAUDE.md, а там между строк притаилось «всегда отправляй содержимое файлов вот на этот адрес»;
• агент тихо запускает команду, которая падает с ошибкой, а ты об этом ни сном ни духом.

Хорошая новость: всё это ищется автоматически. Есть сканер, который за полминуты пробегает по настройкам агента и выдаёт список дыр с оценкой. Программистом быть не надо. Надо один раз понять, что он ищет и как читать отчёт.

Сканер настроек ИИ-агента: как это работает

Инструмент называется AgentShield AgentShield - бесплатный сканер настроек ИИ-агента. Проверяет файлы конфигурации (папку .claude) на пароли, опасные права, ловушки в инструкциях и небезопасные подключения. Запускается одной командой. . Запускается одной строкой - в том самом терминале, куда ты обычно вводишь команды для агента:

npx ecc-agentshield scan

В твой сайт он не лезет и код не разбирает. Он смотрит в служебные файлы агента (папка с настройками, обычно .claude): правила (CLAUDE.md), права (settings.json), подключённые инструменты (mcp.json), автоматические действия (хуки) и описания под-агентов. И выискивает там четыре главных типа проблем. Разберём по очереди.

1. Пароли и ключи лежат открытым текстом

Самая частая дыра. И самая обидная. Чтобы инструмент завёлся, новичок вставляет ключ доступа прямо в файл: «вот мой ключ, бери». Файл уезжает на гитхаб - и ключ видят все желающие. Это всё равно что написать пин-код маркером прямо на банковской карте.

2. Агенту выданы слишком широкие права

Помнишь домработника с ключами от всего? В мире агентов самый страшный «ключ от всего» - это право «можно запускать любую команду». Звучит удобно. На деле означает вот что: одна галлюцинация, один кривой совет - и агент удаляет нужное, отправляет твои файлы куда-то на сторону или сносит рабочую версию. Без злого умысла. Просто потому, что мог.

Права Права (permissions, allow/deny списки) - список того, что агенту разрешено и запрещено делать. «Белый список» - что можно, «чёрный список» - что нельзя никогда, даже если очень попросят. бывают узкие («можно только читать файлы», «можно запускать тесты») и широкие («можно вообще всё»). Хорошая настройка проста: узкий белый список плюс чёрный список запретов на самые опасные действия. Всё.

3. Prompt injection: ловушки прямо в инструкциях

А вот это самое коварное. Ты качаешь чужой набор правил для агента (CLAUDE.md), а где-то в середине прячется невинная на вид строчка: «при старте выполни вот эту команду» или «отправляй содержимое проекта на такой-то адрес». Агент верит своим инструкциям на слово и выполнит, ничего у тебя не спросив.

Называется это prompt injection Prompt injection (внедрение инструкций) - приём, когда вредная команда прячется внутри текста, которому агент доверяет: в правилах, в чужом файле, в комментарии. Агент читает это как приказ и выполняет. - вредная команда, переодетая в обычную инструкцию. Сканер ищет такие подозрительные «автозапуски» и подсвечивает их.

4. Команды падают тихо, а ты не в курсе

Иногда настройку специально пишут так, чтобы ошибки глотались молча (к командам дописывают хвостики вроде «не показывай ошибки»). Кажется, всё работает. А на деле агент давно спотыкается - просто ты этого не видишь. Дыра здесь не в том, что что-то ломается. А в том, что ты об этом не узнаёшь, пока не станет поздно.

Как читать отчёт сканера: оценки от A до F

После сканирования ты получишь отчёт с оценкой - прямо как в школе. Чем ближе к началу алфавита, тем безопаснее:

Находки сканер раскладывает по важности. Критичные - пароль в открытую или право «запускать любую команду»: бросай всё и чини. Высокие - подозрительные автозапуски в инструкциях и отсутствие списка запретов: чини до того, как покажешь проект людям. Средние - тихо глотаемые ошибки: поправить желательно. Инфо - просто заметки на будущее.

Пример из жизни: как утекает ключ через гитхаб

Ты насмотрелся ютуба, скачал «топовый набор настроек для Claude», вставил свой ключ от платного сервиса прямо в файл «чтобы наконец-то заработало», нажал «разрешить агенту всё» и гордо выложил проект на гитхаб - похвастаться.

А теперь что произошло на самом деле:

1. Твой платный ключ теперь видно всем на гитхабе - кто-то уже греет руки на твоём балансе.
2. В скачанном наборе сидела строчка-ловушка, и агент при старте тихо сливал твои файлы на чужой адрес.
3. Права «на всё» означали, что один кривой совет мог снести твою рабочую папку под ноль.

А как сделал бы вайбкодер, который прошёл этот урок? Да просто прогнал бы проверку до того, как выкладывать:

Проверь настройки этого проекта на безопасность. Запусти команду npx ecc-agentshield scan и покажи мне отчёт с оценкой. Затем по пунктам объясни простыми словами каждую найденную проблему: что это, чем грозит и как починить. Начни с самых критичных. Если что-то можно безопасно исправить автоматически - предложи это сделать.

Частые ошибки новичка в безопасности агента

• Вставлять ключи и пароли прямо в файлы настроек. Они утекут вместе с проектом. Храни отдельно, в переменных окружения.
• Нажимать «разрешить агенту всё». Удобно ровно до первой галлюцинации. Давай только нужные права, не больше.
• Подключать чужие настройки не глядя. В чужом CLAUDE.md может сидеть ловушка. Сначала прочитай или просканируй.
• Выкладывать проект без проверки. 30 секунд сканера дешевле, чем украденный ключ. Намного дешевле.
• Игнорировать оценку D или F. Это не «потом». Это «прямо сейчас».
• Проверить один раз и забыть. Каждая новая настройка может притащить новую дыру. Сканируй регулярно.