ИИ-агенты добрались до банков: на сайте Bereke Bank обнаружили проблему с безопасностью

⚠️ ИИ-агенты добрались до банков: на сайте Bereke Bank обнаружили проблему с безопасностью На сайте Bereke Bank нашли открытый служебный интерфейс инструмента Laravel Boost, который используют в том числе для работы ИИ-агентов с программным кодом. Посторонний пользователь смог отправить через него тестовый запрос на сервер. Коллеги из BES.media поделились новостью об инциденте. 💬 Как обнаружили проблему? Житель Алматы Алишер Ахметов заметил, что сайт банка работает слишком медленно, и открыл инструменты разработчика в браузере. Там он обнаружил Browser Logger и MCP server — компоненты, связанные с разработкой и взаимодействием с ИИ-инструментами. Ахметов отправил тестовое сообщение и получил ответ сервера с кодом 200. Затем он сообщил о находке банку, KZ-CERT, Нацбанку и другим ведомствам. 📎 При чем здесь ИИ-агенты? Laravel Boost помогает ИИ-агентам получать техническую информацию о приложении и работать с его кодом. Проблема возникает, когда служебные инструменты, предназначенные для разработки, оказываются доступны посторонним. По словам Ахметова, через обнаруженный механизм можно было отправлять записи в технические журналы. Теоретически злоумышленники могли бы использовать такие записи для попытки повлиять на ИИ-агента, который их читает. Но возможность такой атаки в Bereke Bank не была доказана. ❗️ Чем еще это опасно? Разработчик, участвовавший в проверке, обратил внимание на другую проблему: служебный инструмент мог автоматически отправлять на сервер технические журналы с сайта. В них потенциально могли оказаться персональные данные пользователей, особенно при включенном режиме подробной отладки. Кроме того, постоянная отправка логов могла создавать дополнительную нагрузку на сервер и замедлять работу сайта. При этом фактов утечки персональных данных не установлено. По словам разработчика, спустя чуть больше суток после обнаружения проблемы ее уже устранили. 📣 Что ответил банк? Bereke Bank подтвердил недостаток конфигурации сайта. При этом, по словам исследователя, специалисты банка не обнаружили его тестовую запись. KZ-CERT сообщил, что передал информацию банку. Данных об утечке персональной информации или финансовых потерях клиентов нет. 📷 BlueScreen | Digital Kazakhstan