В марте 2026 года на PyPI случилась показательная диверсия. Пакет LiteLLM — популярный прокси-шлюз к языковым моделям, на котором завязаны CrewAI, DSPy и Microsoft GraphRAG, — подменили на вредоносную версию. Время жизни бэкдора — три часа. Скачиваний — 47 тысяч. Этого хватило, чтобы в сотни конвейеров незаметно пролез автономный бот-атакующий hackerbot-claw.
Самое занятное: человек в этой цепочке выступил лишь стартовым курком. Дальше бот сам нашёл уязвимые endpoints, сам подобрал параметры prompt injection и сам разослал полезную нагрузку. Ни ручного управления, ни сложной инфраструктуры — чистая автоматизация, нацеленная на других ботов, которые крутятся вокруг LLM.
Почему это важно. Prompt injection — это не баг, который лечится одним коммитом. Это архитектурная проблема: модель не отличает инструкцию от данных. Ты можешь экранировать запросы, чистить контекст, ставить guardrails, но атакующий всё равно найдёт способ переопределить поведение системы через косвенные подсказки. Патча на эту уязвимость не существует — и, судя по всему, в обозримом будущем не появится.
Для пользователей это означает, что доверять LLM-агентам без изоляции и мониторинга — примерно как пускать незнакомца с флешкой в серверную. Если твой агентный фреймворк в публичной сети и тянет зависимости из реестров, ты уже в зоне риска. Следующий шаг — когда такие боты начнут не просто оставлять закладки, а переписывать prompt-шаблоны на лету. И тогда CVE будет не на пакет, а на архитектуру.
#PromptInjection #PyPI #LLMSecurity #SupplyChain
