⚠️ ИИ-агенты добрались до банков: на сайте Bereke Bank обнаружили проблему с безопасностью

На сайте Bereke Bank нашли открытый служебный интерфейс инструмента Laravel Boost, который используют в том числе для работы ИИ-агентов с программным кодом. Посторонний пользователь смог отправить через него тестовый запрос на сервер. Коллеги из BES.media поделились новостью об инциденте.

💬 Как обнаружили проблему?

Житель Алматы Алишер Ахметов заметил, что сайт банка работает слишком медленно, и открыл инструменты разработчика в браузере. Там он обнаружил Browser Logger и MCP server — компоненты, связанные с разработкой и взаимодействием с ИИ-инструментами.

Ахметов отправил тестовое сообщение и получил ответ сервера с кодом 200. Затем он сообщил о находке банку, KZ-CERT, Нацбанку и другим ведомствам.

📎 При чем здесь ИИ-агенты?

Laravel Boost помогает ИИ-агентам получать техническую информацию о приложении и работать с его кодом. Проблема возникает, когда служебные инструменты, предназначенные для разработки, оказываются доступны посторонним.

По словам Ахметова, через обнаруженный механизм можно было отправлять записи в технические журналы. Теоретически злоумышленники могли бы использовать такие записи для попытки повлиять на ИИ-агента, который их читает. Но возможность такой атаки в Bereke Bank не была доказана.

❗️ Чем еще это опасно?

Разработчик, участвовавший в проверке, обратил внимание на другую проблему: служебный инструмент мог автоматически отправлять на сервер технические журналы с сайта. В них потенциально могли оказаться персональные данные пользователей, особенно при включенном режиме подробной отладки. Кроме того, постоянная отправка логов могла создавать дополнительную нагрузку на сервер и замедлять работу сайта.

При этом фактов утечки персональных данных не установлено. По словам разработчика, спустя чуть больше суток после обнаружения проблемы ее уже устранили.

📣 Что ответил банк?

Bereke Bank подтвердил недостаток конфигурации сайта. При этом, по словам исследователя, специалисты банка не обнаружили его тестовую запись. KZ-CERT сообщил, что передал информацию банку.

Данных об утечке персональной информации или финансовых потерях клиентов нет.

#новости

#Казахстан #BerekeBank #кибербезопасность #ИИ #AIагенты #вайбкодинг #MCP #банки

📷 BlueScreen | Digital Kazakhstan