Взлом Lilli в McKinsey: ИИ-агент открыл 46,5 млн сообщений
Взлом Lilli в McKinsey, о котором 9 марта 2026 года сообщил стартап по тестированию на проникновение CodeWall, показал, как ИИ-агент за два часа получил полный доступ на чтение и запись к внутренней ИИ-платформе консалтинговой компании. По словам CodeWall, агент дошел до 46,5 млн сообщений чата и 95 доступных для записи системных промптов через SQL-инъекцию. McKinsey говорит, что исправила проблемы за несколько часов и не нашла признаков доступа к данным клиентов. Для любой компании с внутренним ИИ-ассистентом случай показывает, что старая веб-уязвимость теперь может дотянуться до инструкций модели.
Почему Lilli была ценной целью для McKinsey
Lilli хранит многое из того, что знает McKinsey. Консалтинговая компания запустила платформу генеративного ИИ в июле 2023 года, и, по данным компании, ею пользуются 72 процента сотрудников, более 40 000 человек. Чат-бот обрабатывает свыше 500 000 запросов в месяц.
Консультанты используют Lilli, чтобы задавать вопросы к базе знаний фирмы на естественном языке. В интервью The Stack в начале 2025 года тогдашний директор по технологиям и платформам McKinsey Джеки Райт сказала, что фирма обработала знания в векторные хранилища с помощью моделей эмбеддингов OpenAI, с семантическим и ключевым поиском и ранжировщиком Cohere для уточнения результатов. Фирма говорит, что консультации по ИИ приносят около 40% ее выручки, а ее гендиректор сказал, что фирма создала 25 000 ИИ-агентов для поддержки персонала.
Как ИИ-агент CodeWall выбрал McKinsey и проник внутрь
CodeWall использует ИИ-агентов для атаки на инфраструктуру своих клиентов, чтобы те сначала исправили слабые места. Ее собственный агент безопасности предложил McKinsey как цель, сославшись на публичную политику ответственного раскрытия фирмы, опубликованную на HackerOne, и недавние обновления Lilli. У агента не было учетных данных.
Он нашел публично открытую документацию API, где перечислено более 200 конечных точек, и 22 из них не требовали аутентификации. Одна открытая точка записывала поисковые запросы пользователей, а ключи JSON, названия полей, склеивались в SQL. Когда агент увидел, что эти названия полей дословно отражаются в сообщениях об ошибках базы данных, он распознал SQL-инъекцию, которую стандартные инструменты не отметили бы. По словам CodeWall, затем он выполнил пятнадцать слепых итераций, пока живые рабочие данные не начали возвращаться.
Основатель CodeWall Пол Прайс сказал The Stack, что взлом занял два часа и 20 долларов за токены. The Register он сказал, что процесс был «полностью автономным: от изучения цели, анализа, атаки и до отчета».
До чего агент добрался внутри Lilli
CodeWall говорит, что за два часа агент получил полный доступ на чтение и запись к рабочей базе данных. По ее подсчетам, это включало 46,5 млн сообщений чата о стратегии, слияниях и поглощениях и проектах клиентов, хранившихся в открытом виде, а также 728 000 файлов, 57 000 учетных записей пользователей, 384 000 ИИ-ассистентов и 94 000 рабочих пространств.
Это цифры CodeWall. Аналитик по безопасности Эдвард Киледжян назвал цепочку атаки «правдоподобной и технически грамотной», но сказал, что заявленный масштаб воздействия «не полностью подтвержден». Источник в McKinsey сказал Financial Times, что сами файлы хранились отдельно и «никогда не были под угрозой».
Почему записываемые системные промпты повышают ставки
95 системных промптов Lilli, инструкций, определяющих, как чат-бот отвечает, лежали в той же базе данных, а уязвимость позволяла запись. Злоумышленник мог тихо переписать их, изменив то, как Lilli отвечает консультантам, каким ограничениям следует и как ссылается на источники, без нового кода и обычных оповещений безопасности.
«Не нужно развертывание. Не нужно менять код. Только один оператор UPDATE в одном HTTP-вызове». CodeWall, о том, как можно было переписать промпты Lilli
Как McKinsey ответила на раскрытие
Агент CodeWall нашел уязвимость в конце февраля, а исследователи раскрыли всю цепочку атаки 1 марта. К 2 марта McKinsey закрыла все конечные точки без аутентификации, отключила среду разработки и заблокировала публичную документацию API.
Представитель McKinsey сказал, что фирма исправила проблемы за несколько часов. Компания говорит, что ее расследование при поддержке ведущей сторонней криминалистической фирмы не нашло доказательств того, что исследователь или другая неавторизованная третья сторона получили доступ к данным клиентов или конфиденциальной информации клиентов. Прайс говорит, что команда McKinsey вычитала и поправила пост в блоге CodeWall до публикации.
Что взлом значит для компаний с внутренними ИИ-инструментами
Уязвимость не была новой. CodeWall говорит, что Lilli работала в промышленной эксплуатации более двух лет, а внутренние сканеры McKinsey проблему не нашли; Прайс говорит, что и сканирование OWASP ZAP ее пропустило. Слой ИИ не создал дыру, но повысил цену одной.
Для бизнеса вывод прост: внутренний ассистент наследует каждую слабость веб-приложения вокруг. Открытая документация API, конечные точки без аутентификации и промпты, хранящиеся рядом с данными пользователей, превращают обычную ошибку в способ менять то, что говорят тысячам сотрудников. Прайс предупредил, что злоумышленники будут использовать те же методы агентов с целями вроде финансового шантажа или программ-вымогателей.
Вопросы и ответы
Как ИИ-агент взломал Lilli в McKinsey?
Агент CodeWall нашел публичную документацию API, использовал одну из 22 конечных точек без аутентификации и заметил SQL-инъекцию в том, как ключи JSON встраивались в запросы к базе данных. Затем сообщения об ошибках выдали живые рабочие данные.
Были ли раскрыты данные клиентов McKinsey при взломе Lilli?
CodeWall говорит, что ее агент мог дотянуться до конфиденциальных данных клиентов. McKinsey говорит, что ее расследование при поддержке сторонней криминалистической фирмы не нашло доказательств доступа исследователя или кого-либо еще без разрешения к данным клиентов.
Что такое платформа Lilli от McKinsey?
Lilli это внутренняя платформа генеративного ИИ McKinsey, запущенная в июле 2023 года. Она отвечает на вопросы консультантов по базе знаний фирмы, и компания говорит, что ею пользуются 72 процента сотрудников.
Взгляд MOZGII
Как бы мы это построили
Внутренний ассистент вроде Lilli состоит из трех вещей: хранилища документов, набора инструкций, которые говорят модели, как отвечать, и веб-сервиса, через который люди задают вопросы. Здесь слабым местом оказался веб-сервис, а инструкции лежали в той же базе, что и все остальное. Если бы мы строили такого ассистента, мы бы хранили системные промпты в отдельном хранилище, которое работающее приложение может читать, но никогда не писать. Изменение промпта проходило бы ту же проверку, что и изменение кода, с именным подтверждением человека.
Мы бы закрыли каждую конечную точку входом по умолчанию и убрали документацию API из публичного интернета. Мы бы также по расписанию направляли на сервис собственного атакующего агента, потому что случай показывает: обычные сканеры могут пропустить то, что агент находит, пробуя снова и снова. Каждая находка уходила бы человеку, отвечающему за исправление, со сроком.
Схема сломается там, где команды быстро добавляют новые конечные точки под новую функцию и пропускают проверку. Одну метрику мы бы отслеживали: долю действующих конечных точек, требующих аутентификации, и она должна оставаться равной всем. Следующим шагом мы бы построили оповещение, которое срабатывает, когда инструкции ассистента меняются вне утвержденного пути релиза, чтобы тихая правка стала громкой.
Источники
Откуда взяты факты этой новости.