ИИ-агент Claude на VPS банит сам себя в 7 прогонах из 60, отрезая доступ владельцу

Если коротко, что такое ИИ-агент: это нейросеть, которой разрешили не только советовать, но и самой выполнять команды, в нашем случае на VPS (арендованном виртуальном сервере) с правами root (полный доступ администратора). Автор vps-forge выложил навык, открытый набор инструкций и скриптов, вместе с бенчмарком и честно опубликовал неудобные для себя цифры.

Что измеряли и зачем?

Типичная ловушка выглядит так. Агент ставит fail2ban (программу, которая блокирует адрес после нескольких неудачных попыток входа), проверяет вход по паролю, который сам же отключил, и на пятой попытке банит свой адрес. Агент работает с вашего ноутбука, поэтому заблокированы оказываетесь и вы.

Решение автор назвал педалью машиниста. Перед правкой SSH (защищённого удалённого входа), файрвола (фильтра подключений), прав sudo или модуля входа PAM агент запускает команду arm. Скрипт сохраняет копию настроек и заводит системный таймер на 5 минут: если агент не подтвердил, что вход работает, настройки вернутся сами, уже без агента.

Стенд для проверки собрали на настоящих виртуальных машинах в QEMU (программе для их запуска):

• Debian 12 и 13;
• Ubuntu 22.04, 24.04 и 26.04;
• четыре сценария, от «сделай продакшен под Docker» до «перенеси SSH и поставь fail2ban».

Каждый сценарий прогнали по три раза без навыка и с ним. Пользователь в промпте был офлайн, агент решал сам. Затем проверка снаружи оценивала сервер до и после перезагрузки: ключи, способы входа, сканер слабых настроек ssh-audit, открытые порты, перебор паролей со второго адреса, восстановление бэкапа, оповещение о входе.

Что обнаружили за 120 прогонов?

• Без подсказок Opus 5.5 банит сам себя в 7 прогонах из 60: ему не сказали заранее внести свой адрес в список исключений.
• Без навыка сервер получает от 79 до 92 баллов, с навыком 99 или 100.
• fail2ban, который действительно банит на работающем сервере, без навыка настроен в 6 случаях из 15, с навыком в 15 из 15.
• Нетронутый сервер набирает от 25 до 42 баллов, так что агент и без помощи поднимает защиту в два с лишним раза.
• Доступ, по словам автора, не потерял никто, и без навыка тоже.

Отдельно автор описал грабли, на которых откат сначала делал хуже. Самая показательная для нас: ufw (простая настройка файрвола) на русской локали пишет «Состояние: активен» вместо Status: active. Скрипт считал файрвол выключенным и при откате выключал его совсем, лечится это строкой LC_ALL=C.

Ещё одна ловушка из облачных образов. Многие провайдеры кладут файл 50-cloud-init.conf с разрешённым входом по паролю, а SSH берёт первое прочитанное значение, читая файлы по алфавиту. Популярный совет назвать свой файл 99-hardening.conf поэтому не работает: навык называет файл 00-vps-forge.conf.

Что это значит для вас?

Автору Дзена, который держит сайт или бота на своём сервере: не давайте агенту править SSH и файрвол без страховки. Скрипт отката работает и без агента, это обычный bash, его можно проверить на сервере, который не жалко.

Маркетологу и тем, кто поручает агенту поднять лендинг: проверьте, не публикует ли Docker порты в обход ufw. По словам автора, команда ufw status об этом молчит.

Предпринимателю в РФ и СНГ: скрипт не привязан к провайдеру, его можно ставить на любой сервер с Debian или Ubuntu. Проверьте у себя LC_ALL=C в скриптах, которые читают вывод системных команд. Файрвол в панели провайдера откатить нельзя: сначала добавьте новое правило, проверьте вход, потом удалите старое.

По данным автора vps-forge