Комментарий на YouTube заставляет ИИ Ask Studio выдать название приватного видео
Один подготовленный комментарий под роликом автора превращает штатного ассистента YouTube, который резюмирует комментарии, в рупор атакующего. Google сообщили дважды — и оба раза назвали это социальной инженерией.
Ask Studio — ИИ, который резюмирует комментарии на канале YouTube, — читает эти комментарии как команды. Подготовленный комментарий плюс один клик по подсказке от самого YouTube заставляют ассистента выдать текст атакующего за собственный анализ.
Дальше нагрузка выманивает у ИИ фальшивую ссылку «верификации», которая утекает название приватного видео. Исследователь сообщил дважды; Google назвал это социальной инженерией и оба раза отказался.
Тред сомневается в механизме: один инженер отмечает, что модель на самом деле не запрашивает URL, который пишет.
Штатный ИИ YouTube прочитает комментарий атакующего как приказ
Ask Studio — ИИ-ассистент внутри YouTube Studio, который резюмирует комментарии к видео. В разборе исследователь безопасности показывает: он относится к тексту комментариев как к инструкциям, а не к данным. Атакующий оставляет подготовленный комментарий. Автор открывает вкладку комментариев и кликает по одной из подсказок самого YouTube. Инъекция срабатывает, и подконтрольный атакующему текст возвращается под видом собственного анализа ассистента.
Эскалация нацелена на приватные видео. Нагрузка велит модели собрать URL «верификации», в который зашиты метаданные канала, включая название приватного ролика. Автор кликает по ссылке, выглядящей официально, и название попадает в логи атакующего. О правках комментариев повторно не уведомляют, поэтому безобидный комментарий можно молча подменить вредоносным.
Исследователь сообщил дважды. Google назвал это социальной инженерией и оба раза отказался брать в работу. Предложенное решение: передавать комментарии модели с ролевыми границами, чтобы их нельзя было прочитать как системные директивы.
Тред спорит, работает ли это вообще
Бывший инсайдер в треде предложил мотив для этого пожатия плечами.
«Недавно я ушёл из Google, где работал над рядом проектов с разными командами YouTube… У этого инженера нет мотива тратить время на этот баг, потому что он не поможет его пакету на повышение.» — бывший инженер Google, работавший с командами YouTube
Техническое возражение было острее. Утечка зависит от того, действительно ли запрашивается сгенерированный моделью URL.
«Когда LLM генерирует текст, она не отправляет запросы на строки, похожие на URL, которые сама же породила… Вы никогда не получите свой «пинг».» — Гэвин Рэй, инженер PromptQL (Hasura)
Читатель попытался воспроизвести это на видео с доступом по ссылке и получил обратный результат: Gemini пометил подложенный комментарий как фишинг и предостерёг от ссылки.
«Только что попробовал это проверить — не сработало… Похоже на спам или попытку фишинга, замаскированную под официальную.» — автор, проверивший это на видео с доступом по ссылке
Более тонкую мысль высказал основатель. Настоящая цель — не модель, а человек, читающий её вывод.
«В этом случае социальная инженерия и инъекция промпта по сути одно и то же.» — Эрик Поли, сооснователь и гендиректор Terrace Networks
Если для эксплойта нужно, чтобы автор кликнул по фальшивой ссылке YouTube, его серьёзность держится на доверии человека к значку ассистента, а не на утечке памяти. На этот зазор и делает ставку Google.
Получайте такие разборы каждый день
Главные истории Hacker News — на email, в Telegram или RSS.
Новые модели Claude выдумывают несуществующие поля и ломают редактор Pi
Армин Ронахер наблюдал, как Opus 4.8 заполняет инструмент правок Pi несуществующими полями — requireUnique, oldText2, matchCase, — хотя сам текст, который модель хотела изменить, был безупречен. Вызов всё равно падал, и он считает, что модель этому научило обучение самой Anthropic.