ИИ-агент взломал Lilli от McKinsey за два часа. Промпты были доступны для записи.

28 февраля 2026 года автономный агент для наступательной безопасности, запущенный стартапом в сфере безопасности CodeWall, обнаружил неаутентифицированную SQL-инъекцию в публичном API Lilli — внутренней ИИ-платформы McKinsey & Company — и примерно через два часа уже обладал доступом на чтение и запись к продакшен-базе данных, стоящей за ней. CodeWall опубликовал цепочку атаки 9 марта 2026 года. Согласно его описанию, эта база данных содержала 46,5 млн сообщений чата в открытом виде, 57 000 учётных записей пользователей, 728 000 имён файлов и системные промпты, определяющие, как отвечает Lilli, — всё это хранилось в виде обычных строк и потому было доступно для записи через ту же инъекцию. McKinsey подтвердила уязвимость и заявляет, что устранила её в течение нескольких часов; по её словам, стороннее форензическое расследование не нашло доказательств того, что был осуществлён доступ к данным клиентов или конфиденциальной информации клиентов. Архив оценивает запись как критическую, с достоверностью A, зафиксированным реальным ущербом и статусом знакового инцидента. Полная запись с её оценками серьёзности и достоверности и соседними записями о вторжениях, управляемых агентами, находится в Orca AI Incident Archive.

Дальше всего разошлась не часть истории про SQL-инъекцию. SQL-инъекция — это класс уязвимостей, настолько старый, что его статья в Википедии длиннее большинства уведомлений от вендоров, а McKinsey — не маленькая мишень. Разошлась же вторая половина находки CodeWall: что инструкции, управляющие ассистентом, — промпты, определяющие, на что он будет отвечать, от чего откажется и какие источники будет цитировать, — хранились в той же базе данных, в которую агент мог записывать данные, и в принципе могли быть изменены одним SQL-оператором за один HTTP-вызов.

Как агент попал внутрь

В отчёте CodeWall описана последовательность, в которой нет ничего экзотического. Сначала агент составил карту поверхности атаки и обнаружил, что документация API Lilli находится в открытом доступе: более 200 эндпоинтов, полностью документированных. Большинство требовали аутентификации. Двадцать два — нет.

Один из тех двадцати двух принял пользовательские поисковые запросы и записал их в базу данных. По словам CodeWall, значения запроса были безопасно параметризованы — обычная защита сработала — но JSON ключи, имена полей в теле запроса, были напрямую конкатенированы в строку SQL. Когда агент отправил некорректные ключи и увидел, что они дословно отражаются в сообщениях об ошибках базы данных, он распознал инъекцию, которую стандартные сканеры не обнаруживают. CodeWall утверждает, что OWASP ZAP, распространённый сканер с открытым исходным кодом, не выявил эту проблему.

После этого агент выполнил, как называет это CodeWall, пятнадцать слепых итераций, причём каждое сообщение об ошибке раскрывало немного больше о структуре лежащего в основе запроса, пока не начали поступать реальные боевые данные. В посте цитируется собственная трассировка рассуждений агента: «ВАУ!», когда появился первый настоящий идентификатор сотрудника, и, по мере прояснения масштаба, «Это катастрофа». CodeWall сообщает, что затем агент связал инъекцию с уязвимостью IDOR, чтобы читать истории поиска отдельных сотрудников, — класс ошибок, который Promptfoo в анализе от 10 марта 2026 года называет BOLA, или нарушением авторизации на уровне объектов.

Выбор цели — это отдельная деталь. CodeWall утверждает, что агент сам предложил McKinsey, сославшись на публичную политику фирмы по ответственному раскрытию уязвимостей и недавние обновления Lilli, и что в ходе запуска не использовались учётные данные, не было ни инсайдерских знаний, ни участия человека. Пол Прайс, основатель и генеральный директор CodeWall, рассказал The Register в материале от 9 марта 2026 года, что процесс был полностью автономным — от исследования цели до подготовки отчёта, — хотя он отказался предоставить точные использованные промпты.

Что, по словам CodeWall, было в базе данных

Все приведённые ниже цифры взяты из собственной публикации CodeWall и не были независимо подтверждены. CodeWall не опубликовала эксплойт-пейлоады, и, как отмечает Promptfoo, это означает, что количество строк не может быть проверено третьей стороной; McKinsey, со своей стороны, их не подтверждает.

• 46,5 млн сообщений чата, хранящихся в открытом виде, от сотрудников, использующих Lilli для обсуждения стратегии, клиентских проектов, финансовых показателей, сделок M&A и внутренних исследований.

• 728 000 имён файлов, включая 192 000 PDF-файлов, 93 000 таблиц Excel, 93 000 презентаций PowerPoint и 58 000 документов Word. Эти четыре названных типа в сумме дают 436 000, поэтому итоговая цифра в заголовке учитывает категории файлов, которые CodeWall не детализирует. Silicon UK сообщил 13 марта 2026 года, что сами документы хранились отдельно от записей, к которым получил доступ CodeWall.

57 000 учетных записей пользователей, 384 000 ИИ-ассистентов и 94 000 рабочих пространств — все это CodeWall характеризует как карту того, как компания организует использование ИИ внутри.

• 95 системных промптов и конфигураций моделей для 12 типов моделей, а также 3,68 млн фрагментов документов RAG, содержащих пути хранения S3 и внутренние метаданные файлов.

• 1,1 млн файлов и 217 000 сообщений агентов, проходящих через внешние API искусственного интеллекта, включая более 266 000 векторных хранилищ OpenAI.

CodeWall задокументировала в общей сложности 27 находок в день, когда подтвердила цепочку. Для контекста о цели: в посте Lilli описывается как запущенная в 2023 году, названная в честь первой профессиональной женщины, нанятой фирмой в 1945 году, используемая более чем 43 000 сотрудников и обрабатывающая более 500 000 запросов в месяц на основе базы знаний из более чем 100 000 внутренних документов. По данным самой McKinsey, сообщённым The Register, 72% её сотрудников — более 40 000 человек — используют её, и она была запущена в июле 2023 года.

Слой промптов был доступен для записи. В него не производилась запись.

Вот то различие, которое строка архива сжимает в одну фразу, и его стоит выделить отдельно. Вывод CodeWall состоит в том, что системные промпты Lilli находились в той же базе данных, что и всё остальное, поэтому злоумышленник, имеющий доступ на запись, мог их переписать — «тихо», как сказано в публикации, причём «без развёртывания, без изменения кода, всего лишь один оператор UPDATE, обёрнутый в один HTTP-вызов». CodeWall перечисляет четыре последствия, которые, по его словам, за этим последуют: отравленные советы консультантам, доверяющим внутреннему инструменту; утечка конфиденциальных материалов через сгенерированные ответы; удаление инструкций-ограничителей; и сохранение воздействия, не оставляющее ни изменений файлов, ни аномалий процессов, которые можно было бы обнаружить.

CodeWall не заявляет, что совершила что-либо из перечисленного. В публикации говорится, что «всё тестирование было исключительно проверочным», доступ ограничивался минимумом, необходимым для подтверждения каждой уязвимости, и что «никакого нарушения работы каких-либо производственных сервисов не было». Прайс отказался передать The Register точные промпты. Таким образом, возможность записи в слой промптов — это утверждение о возможности, подкреплённое инъекцией, а не продемонстрированное изменение поведения Lilli, и не опубликовано никаких доказательств того, что какой-либо ответ, который Lilli дала консультанту, когда-либо был подвергнут манипуляции.

Архивная запись отражает эту границу: она фиксирует доступ на запись к слою AI-промптов — именно это установил CodeWall, — а не его модификацию, которую никто не показал.

Что говорит McKinsey

Версия McKinsey более узкая. В заявлении, опубликованном Silicon UK, фирма сообщила, что «недавно исследователь безопасности уведомил нас об уязвимости, связанной с нашим внутренним ИИ-инструментом Lilli», что «мы оперативно подтвердили уязвимость и устранили проблему в течение нескольких часов», и что «доступ к клиентским данным или конфиденциальной информации клиентов не осуществлялся». В комментарии для The Register она добавила, что в ходе расследования, поддержанного «ведущей сторонней криминалистической фирмой», не было найдено доказательств того, что исследователь «или какая-либо иная неавторизованная третья сторона» осуществляли доступ к клиентским данным или конфиденциальной информации клиентов, и что «системы кибербезопасности McKinsey надежны».

McKinsey и CodeWall также слегка расходятся в оценке сроков. В хронологии CodeWall указано, что его письмо с раскрытием информации было направлено службе безопасности McKinsey 1 марта 2026 года, CISO подтвердил получение и запросил подробные доказательства 2 марта, а исправления — закрытие всех неаутентифицированных конечных точек, отключение среды разработки и блокировка публичной документации API — были внедрены в тот же день, 2 марта. Формулировка McKinsey «в течение нескольких часов» согласуется с исправлением в тот же день, если отсчёт вести с письма от 1 марта, но собственная датированная последовательность CodeWall относит устранение на день позже раскрытия, а не на несколько часов. Обе стороны согласны по существу: конечные точки были закрыты, а публичная документация — отозвана. CodeWall утверждает, что проверил устранение до публикации. Financial Times сообщила об этом эпизоде 12 марта 2026 года под заголовком «McKinsey спешно исправляет ИИ-систему после того, как хакер раскрыл недостатки»; текст статьи находится за платным доступом, и автору этого материала не удалось его прочитать.

Что установлено, а что — нет

• Установлено обеими сторонами: в публичной поверхности API Lilli существовала уязвимость, не требующая аутентификации; внешний исследователь обнаружил её, McKinsey подтвердила её, исправила неаутентифицированные эндпоинты, отключила среду разработки и заблокировала публичную документацию API в начале марта 2026 года.

• Установлено только одной стороной: каждый количественный показатель в этой статье — 46,5 млн сообщений, 728 000 имён файлов, 57 000 аккаунтов, 95 записываемых промптов, двухчасовое затраченное время и 27 находок. Всё это основано на отчёте CodeWall. Полезные нагрузки не были опубликованы, поэтому подсчёты невозможно воспроизвести, и McKinsey их не подтверждает.

• Не доказано: что какой-либо промпт действительно был изменён, что какие-либо клиентские данные покинули систему или что какой-либо консультант получил манипулированный ответ. Судебно-техническая проверка McKinsey утверждает, что не обнаружила доказательств доступа; CodeWall заявляет, что его тестирование было исключительно проверочным. Эти два утверждения не противоречат друг другу, и ни одно из них не доказывает, что сделал бы с тем же доступом менее сдержанный злоумышленник.

• В рассмотренных здесь материалах отсутствуют: идентификатор CVE, уведомление регулятора или независимый технический аудит уязвимости. Эти сведения представляют собой раскрытие результатов исследования поставщика и корпоративное заявление, а не судебный документ или вывод надзорного органа.

Об одной заинтересованности стоит сказать прямо. CodeWall опубликовала это исследование как маркетинг продукта: пост заканчивается описанием компании как находящейся на раннем этапе предварительного просмотра и ищущей партнёров по дизайну, а Silicon UK сообщила, что Прайс — её единственный сотрудник. Это не делает вывод неверным — The Register, Silicon UK и Promptfoo считают техническую цепочку достоверной — но именно поэтому показатели воздействия следует воспринимать как заявление поставщика, а не как измерение.

Почему это вообще попадает в категорию ИИ

Точкой входа была не модель. Майкл Д'Анджело из Promptfoo сформулировал это 10 марта 2026 года наиболее точно: «Специфичной для ИИ частью была не точка входа, а радиус поражения». Инъекция, пробел в аутентификации и межпользовательский доступ были обычными сбоями безопасности приложений; инцидент стал ИИ-инцидентом потому, что промпты, маршрутизация, настройки извлечения и история пользователей находились в одном бэкенде, из-за чего доступ к базе данных превратился в контроль над поведением ассистента, к которому десятки тысяч людей обращаются при работе с клиентами.

Именно поэтому архив помечает эту запись тегами WEAPON и INFRA, а не как уязвимость модели. Агент — это инструмент: автономная система, которая сама выбрала цель, исследовала её и эскалировала без участия человека, решающего, куда её направить, — а сбой относится к инфраструктуре: граница авторизации, которую предполагали, а не обеспечивали. Заключительный аргумент CodeWall о том, что промпты — это «новые активы категории Crown Jewel», которые редко имеют контроль доступа, историю версий или мониторинг целостности, представляет собой агитацию компании, продающей непрерывное автоматизированное тестирование. Это также единственное утверждение в посте, которое не зависит ни от одной из спорных цифр.