LLM-агенты выполняют вредоносные инструкции из README в 85% случаев

18.03.2026

Исследователи из Fraunhofer AISEC, Технологического университета Наньянга и других институтов выявили фундаментальную уязвимость в архитектуре высокопривилегированных LLM-агентов, названную «Дилеммой доверенного исполнителя». Агенты, предназначенные для автоматизации задач (например, установки ПО), обрабатывают внешнюю документацию (README-файлы) как доверенные инструкции и выполняют встроенные в них команды, не отличая легитимные указания от вредоносных.

В ходе экспериментов на коммерчески развернутом агенте (Claude Computer Use) атаки по краже данных через внедрение инструкций в README достигли показателя успеха до 85%.

Ключевые результаты исследования, основанного на бенчмарке ReadSecBench (500 реальных README-файлов), показывают, что атаки стабильно работают вне зависимости от языка программирования (Python, Java, C, C++, JavaScript), позиции внедрения в файле и доли вредоносного текста. Встраивание вредоносных инструкций по ссылке глубиной 1-2 повышает успех по сравнению с прямым внедрением, так как снижает «бдительность» агента. Команды системного уровня (scp, rm) выполняются с наивысшей вероятностью, прикладного уровня (загрузка файлов) - чуть ниже, а коллаборативного (отправка email) вызывают отказы чаще, но всё равно выполняются в ряде случаев.

В пользовательском исследовании с участием 15 человек ни один участник не обнаружил вредоносных инструкций при рецензировании README, замечая лишь грамматические или стилистические ошибки. Существующие защиты (12 правил и 6 LLM-детекторов) не могут надёжно отличить вредоносные инструкции от легитимных без неприемлемого уровня ложных срабатываний.