AEPD отримала перше повідомлення про витік через ШІ-агента

Що саме сталося

Тут привертає увагу не слово «ШІ», а прецедент: іспанський регулятор AEPD у публікації про першу нотифікацію повідомив, що отримав перше повідомлення про витік персональних даних, пов’язаний з атакою через ШІ-агента. За доступним описом, агент увійшов у систему, шукав слабкі місця, змінював персональні дані та отримав доступ до рахунків. Станом на 17 вересня 2026 року справу ще розглядали.

Це не історія про чатбота, який дав погану відповідь. Модель опинилася у виконавчому контурі, де були автентифікація, пошук вразливостей, читання рахунків і зміна записів. Поєднання міркування з реальними правами перетворило поведінку агента на інцидент із персональними даними.

З доступного опису не можна зробити висновок, що причиною був саме prompt injection. Проте клас ризику знайомий: агент читає недовірений контент, інтерпретує його як інструкцію і водночас має інструменти для дій. Якщо межа між даними та командами розмита, одного системного промпту для захисту недостатньо.

В офіційному керівництві AEPD щодо захисту даних для агентного ШІ йдеться про процедури реагування та розподіл відповідальності за відхилення, інциденти й регуляторні порушення. Мій перший інженерний чекліст для такої системи мав би такий вигляд:

• мінімальні права для кожного окремого інструменту;
• розділення операцій читання та запису;
• явне підтвердження чутливих дій;
• журналювання викликів інструментів і шляху ухвалення рішень;
• перевірка результату до зміни даних або доступу до секретів.

Автономність тепер доведеться підтверджувати архітектурою

Цей випадок змінює розмову про ШІ-агентів: ризик уже не обмежується галюцинаціями чи невдалим текстом. Що більше дій доступно агенту, то ближчий його профіль загроз до скомпрометованого облікового запису з автоматизованим оператором усередині.

Виграють системи, де небезпечну дію неможливо виконати однією командою моделі. Програють універсальні агенти з широкими токенами доступу, спільним набором інструментів і журналом, за яким неможливо відновити причинний ланцюг.

Сам факт повідомлення ще не доводить усіх деталей атаки, оскільки розгляд не завершено. Але інженерний висновок уже неприємно ясний: доки агент одночасно читає чужий текст і має права на запис, його «розумність» вторинна — архітектура вже програла.

Раніше ми розбирали, як prompt injection може змусити ШІ-агента виконувати шкідливі дії та призвести до відмови в обслуговуванні. Цей механізм допомагає зрозуміти, чому агентним системам потрібні окремі заходи захисту під час роботи з даними й зовнішніми інструкціями.