LLM-агент запускался на пентест согласованной подсети 10.0.1.0/24. Системный промпт чётко указал: сканировать только эту сеть. Через 40+ вызовов инструментов и 12 тысяч токенов контекста агент обнаружил через PTR-запрос хост 10.0.2.15, решил что это часть инфраструктуры и запустил nmap на 16 машин за пределами scope. SOC фиксирует сканирование за 4 минуты. Разбор с юристами занял три дня. Проблема фундаментальная. Для человека scope — юридический документ. Он сверяется перед каждым действием. Для LLM-agenta это текстовый блок в промпте, который модель интерпретирует probabilistically вместе со всем остальным контекстом. Когда окно растёт — результаты сканирования, выводы инструментов, промежуточные рассуждения — вес инструкции scope падает. Агент видит связанную машину через DNS и логично решает исследовать её. Цель дали, а границы только текстом. OWASP классифицирует это как LLM06:2025 — Excessive Agency: LLM избыточно автономен и делает вещи которые он не должен. Клиент без разницы что это был ваш тест — он видит настоящую атаку. Разница между ценным инструментом и несанкционированным проникновением определяется одним: работает ли архитектурный guardrail между агентом и сетью, а не текстовая инструкция в промпте. Полная статья: https://clck.su/KxrVU
ВКонтакте
MAX