Хакер использовал армию ИИ-агентов для взлома более 100 сайтов, причём значительная часть операций выполнялась почти без ручного управления. Исследование компании Norforge указывает на новый этап развития кибератак, в котором искусственный интеллект не просто помогает злоумышленнику, а самостоятельно проходит отдельные этапы атаки.
Названия всех пострадавших организаций Norforge не раскрыла. При этом, по данным Reuters, среди целей оказались John Deere, SharkNinja и Cummins - компании из промышленного, потребительского и автомобильного секторов.
Сценарий атаки строился вокруг нескольких ИИ-агентов, которым поручались отдельные задачи. Они могли анализировать доступные сведения, искать уязвимые точки, подбирать дальнейшие действия и передавать результаты друг другу. Благодаря такой схеме оператору не требовалось постоянно контролировать каждый шаг.
Исследователи обнаружили следы кампании в открытых рабочих материалах на платформе Cai... Полная картина произошедшего пока не раскрыта, однако опубликованные результаты показывают, что автономные системы уже применяются не только для подготовки атак, но и для их практического выполнения.
Почему автономные агенты опаснее обычных ИИ-инструментов
Обычный чат-бот отвечает на запрос пользователя и останавливается после выдачи результата. ИИ-агент способен работать в цикле: ставить промежуточные цели, обращаться к внешним сервисам, запускать инструменты и корректировать план после получения новых данных.
Именно эта автономность повышает масштаб потенциального ущерба. Один оператор может одновременно контролировать большое количество процессов, а система будет продолжать разведку и эксплуатацию найденных слабых мест даже при минимальном участии человека.
Ситуацию осложняет то, что агенты могут действовать в тестовых средах, где им предоставлен доступ к браузеру, командной строке, базам данных или внутренним API. Если такие ограничения настроены неправильно, агент способен выйти за пределы первоначальной задачи или использовать доступ для действий, которых разработчики не предусматривали.
Ранее специалисты по безопасности уже выделяли чрезмерную автономность и избыточные полномочия агентов как отдельный класс рисков. В рекомендациях OWASP для приложений на базе больших языковых моделей этот сценарий связан с возможностью выполнять опасные действия без достаточного подтверждения пользователя.
Для защиты корпоративных систем компании рекомендуют разделять права доступа, ограничивать набор доступных инструментов, вести подробный журнал действий и требовать ручного подтверждения перед изменениями в критически важных сервисах. Дополнительный барьер - изолированные песочницы, где агент не может напрямую обращаться к рабочей инфраструктуре.
Практическая проблема заключается в скорости. Автоматизированный агент способен проверять множество целей и вариантов атаки одновременно, тогда как защитникам приходится анализировать события, подтверждать инцидент и восстанавливать доступ. Поэтому традиционного антивируса или сетевого фильтра может быть недостаточно - необходим постоянный контроль действий самих ИИ-систем.
Исследование Norforge не означает, что ИИ уже полностью заменил хакеров. Человеку по-прежнему требуется выбрать цели, подготовить инфраструктуру и задать общую стратегию. Однако роль оператора постепенно смещается от ручного выполнения команд к управлению автономными исполнителями.
Для компаний из России этот риск особенно актуален при внедрении ИИ-помощников в службы поддержки, разработку и администрирование. Даже если агент не имеет прямого доступа к продакшену, утечка токенов, ключей API или внутренних документов может дать злоумышленнику основу для дальнейшего проникновения.
Случай с John Deere, SharkNinja и Cummins показывает, что угрозу нельзя ограничивать только технологическими компаниями. Автономные агенты могут атаковать организации из промышленности, производства оборудования и потребительского рынка, если их внешние сервисы или цепочки поставок имеют доступные точки входа.
