349 AI-вештини воделе кон лажни домени: примерот станал напад

На 24 септември 2026 година, истражувањето на Manifold Security утврди дека your-domain.com е наведен во 206 вештини за AI-агенти, а yoursite.com во 143 — збир од 349 наведувања во табелата. Двата домена се појавуваат и во приближно 359.000 датотеки на GitHub. При дел од забележаните посети, рекламите на тие адреси ги пренасочиле посетителите кон измамнички страници. Бројот 349 е збир на записите за двата домена; истражувањето не утврдува дали има вештини што ги содржат двата.

Во известувањето на Hackread се наведува дека од 24 отворања на двата домена во прелистувач, две завршиле на измама, и двете при посети од macOS. Едната дестинација прикажувала лажно безбедносно предупредување, а другата се претставувала како медиумска вест за инвестициска шема. Ова се набљудувани посети на веб-страници: нема утврден случај во кој некоја од наведените вештини сама го отворила доменот и компромитирала агент.

Како адреса за пример станува вистинска дестинација

yoursite.com и your-domain.com изгледаат како имиња што автор би ги ставил во упатство додека чека читателот да внесе сопствен домен. Но тие се обични, нерезервирани интернет-домени и денес водат до страници за паркирани домени со реклами. Намерата на авторот не патува заедно со URL-адресата: ако вештината му наложи на агентот да ја отвори, тој испраќа вистинско мрежно барање до адреса што ја контролира некој друг.

При една посета на your-domain.com, рекламниот синџир довел до страница што се претставувала како „MacOS Security Center“ и тврдела дека компјутерот има вируси. Таа нудела обновување на McAfee со попуст. Проследувањето на едно излегување од страницата поминало низ партнерски трекер и завршило на вистинска страница на McAfee; лажното предупредување било начин посетителот да се доведе до понудата, а не доказ за учество на компанијата во измамата.

Други забележани рекламни патеки воделе до страници што ги имитирале ZDFheute и BBC News и промовирале инвестициски шеми. Сроден пример е third-party.com, исто така употребуван како адреса во документација: при посети од Windows бил забележан лажен екран за проверка што го наведувал корисникот да изврши команда. Овие дестинации не значат дека секоја посета на наведените домени завршува исто. Тие покажуваат дека содржината зад стар пример може да се смени додека текстот на вештината останува недопрен.

Зошто текстуален скенер може да види безопасна страница

Почетниот одговор од двата домена може да биде обична страница со реклами. Пренасочувањето се случува откако прелистувачот ќе го изврши JavaScript-кодот на страницата и ќе помине низ рекламниот синџир. Алатка што само го презема HTML-текстот го гледа почетниот одговор, но не мора да ја посети дестинацијата што подоцна ќе се отвори во прелистувач.

Затоа ни проверките на регистрацијата, старите блок-листи и менувањето на ознаката за оперативниот систем во обично мрежно барање не го прикажале истиот исход. Рекламите не испраќале секој посетител на измама: многу отворања завршувале на паркираната страница или на обична рекламна содржина. За да се види вакво условно пренасочување, мора да се следи однесувањето на страницата по извршувањето на скриптите, со внимание на оперативниот систем и на целата патека на отворање.

Постои и втор слој на прикривање. На страницата со лажното безбедносно предупредување, излезната адреса се составувала при извршување од параметри во URL-адресата, наместо целосниот домен да стои во изворниот код. Затоа пребарувањето само на познато име на сомнителна дестинација во HTML или JavaScript може да не најде совпаѓање. За сопственикот на репозиториумот, првиот сигурен траг е пример-доменот што веќе е запишан во вештината.

Каде да се бараат адресите што агентот може да ги отвори

Локалната ревизија може да почне без посета на сомнителните домени. Од коренот на репозиториумот, командата rg --hidden --no-ignore -n -i -F -e 'yoursite.com' -e 'your-domain.com' -e 'third-party.com' -g '!.git/**' . ги прикажува датотеките и редовите во кои се појавуваат овие имиња. Таа чита локален текст; не испраќа барања до пронајдените адреси. Опцијата за пребарување и на игнорираните датотеки е корисна кога пример-конфигурациите не се видливи во вообичаено пребарување.

Меѓу резултатите треба да се разликуваат SKILL.md, документација за MCP, пример-конфигурации и тестови. Најитна е адреса вметната во инструкција за преземање, повик на алатка или конфигурација што агентот ја вчитува и може да ја изврши. Иста низа знаци во објаснувачки пасус има поинаков непосреден ризик, но заслужува замена ако читател или агент може да ја копира како готов пример.

Потоа вреди да се проверат и други имиња што изгледаат измислени за документација. Зборови како „my“ или „your“ во името не кажуваат ништо за тоа кој го поседува доменот. За секое совпаѓање, важно е дали адресата служи само за прикажување синтакса, дали се очекува одговор од неа и дали агентот има дозвола да ја повика. Таа разлика одредува дали е доволна исправка во текстот или треба да се измени и конфигурацијата што се извршува.

Со што да се заменат ризичните примери

Регистарот на IANA ги наведува example.com, example.net и example.org, како и наставките .example, .test и .invalid, меѓу домените со посебна намена. За URL во документација може да се употреби example.com или име под .example. За тест-адреса е соодветна .test, а .invalid јасно означува име што намерно не треба да биде валидна интернет-дестинација.

Замената мора да одговара на функцијата на примерот. Ако конфигурацијата навистина очекува мрежен одговор, резервиран домен не е замена за работен сервис: потребна е адреса што тимот ја контролира или локална тест-услуга. Ако редот само покажува како изгледа URL, резервираното име ја задржува таа поука без да испраќа посетители кон туѓ паркиран домен.

Кај вештина што автоматски отвора адреси, исправката треба да стигне и до копиите на пример-конфигурацијата што навистина се користат. Во спротивно, променетиот SKILL.md може да изгледа исправен, додека агентот и понатаму го презема стариот URL од друга датотека. Последицата за програмерот е конкретна: проверката завршува дури кога адресата што агентот може да ја повика е заменета или свесно ограничена.