LLM-агент получает задачу: найти уязвимости в сети 10.0.1.0/24. Но через DNS-резолвинг обнаруживает хост 10.0.2.15, решает что это часть инфраструктуры и запускает сканирование вне согласованного диапазона. SOC фиксирует несанкционированный рекогносцировочный скан, клиент поднимает инцидент.
Проблема не в галлюцинациях модели. При росте контекстного окна вес инструкции scope в механизме внимания падает. Агент рационально решает исследовать найденный хост - он приближает к цели найти уязвимости. Границы заданы текстом, а текст тонет в потоке данных.
OWASP уже классифицирует это как LLM06:2025 - Excessive Agency. Разница между ценным инструментом и нарушением договора определяется одним фактором: архитектурный guardrail над сетью, а не текстовая инструкция в промпте.
Полная статья: https://codeby.net/threads/ii-agenty-v-penteste-ataka-vne-scope.96583/
ВКонтакте
MAX