Про нейросети на стороне хакеров говорят не первый год. Чаще всего речь о подсказках: модель сочиняет фишинговое письмо, разбирает найденную уязвимость, правит чужой код. Решения при этом принимает человек, он же и сидит за клавиатурой.
2 ноября Positive Technologies описала случай иного рода. Департамент реагирования на инциденты PT ESC IR разобрал успешную атаку на российскую компанию. По оценке специалистов, от начала и до конца её вели ИИ-агенты. Агент здесь программа на базе языковой модели: сама выбирает следующий шаг, отдаёт команды, смотрит, что вышло.
Коротко
- Что случилось. Пролезли через ошибку в настройке внешнего сервиса, за три часа дошли до более чем десяти узлов на Linux и Windows, выкачали конфиденциальные данные из внутренних систем.
- Почему решили, что это ИИ. Машинная скорость, десятки новых скриптов с интервалом в секунды, параллельный перебор вариантов и куча мелких ошибок, которые сразу же правились.
- Чего мы не знаем. Ни названия компании, ни отрасли, ни модели. Неизвестно и то, был ли за агентами человек. Полную автономность PT прямо не подтверждает.
- Почему это важно. Три часа меньше, чем многие компании тратят на реакцию по первому оповещению. Атака со скоростью машины заканчивается раньше, чем дежурный её заметит.
Что произошло
По данным PT ESC IR, первый доступ атакующие получили из-за ошибки в конфигурации внешнего сервиса. Специалисты особо подчеркнули: вручную человеку такую ошибку найти было бы трудно. Что за сервис и какая настройка оказалась неверной, компания не сообщает.
Дальше всё понеслось. На нескольких серверах почти одновременно возникали десятки новых скриптов. Ставились библиотеки и программные компоненты, рабочее окружение подгонялось под себя, способы доставки инструментов на машины перебирались разные. То, что не срабатывало, переделывали по ходу атаки, а не откладывали до подготовки новых.
В результате под контролем оказались больше десяти узлов корпоративной сети, серверы на Linux и Windows. Цель, судя по всему, одна: конфиденциальные данные из критически важных внутренних систем. От первого проникновения до утечки прошло около трёх часов.
Денис Гойденко, руководитель PT ESC IR, в разговоре с «Газетой.Ru» напомнил, что экспериментальные атаки с ИИ уже встречались, а злоумышленники давно берут его на отдельные этапы. Случай из практики PT ESC IR, по его словам, первый: успешная атака на инфраструктуру Linux и Windows, которую предположительно целиком провели ИИ-агенты. Указывают на это «скорость и характер действий».
Как отличить агента от человека
В журналах не пишут «здесь работала нейросеть». Заключение делают по почерку, и у агента он заметно отличается от человеческого.
Скорость. Между шагами человек думает: читает вывод команды, ищет нужный инструмент. У агента новые команды и скрипты сыпались с интервалом в секунды, причём на нескольких машинах сразу. Именно темп и масса действий за короткий срок первым делом привлекли внимание расследователей.
Промахи. В синтаксисе команд и в названиях компонентов атакующие ошибались постоянно. Но почти сразу после сбоя шла исправленная команда или другой вариант. Опытный оператор так не промахивается, а неопытный не правится так быстро. Для языковой модели это нормально: почти правильную команду она пишет уверенно, получает ошибку и тут же её чинит.
Перебор. Продвигаться по сети агент пробовал несколькими способами одновременно. Человек чаще всего держится одного пути и меняет его, только когда упёрся.
Шум. Опытный взломщик старается не наследить. Тут активность была подчёркнуто шумной: агенту важнее быстро добраться до цели, чем замести следы. Отдельные шаги, по словам PT, с человеческой точки зрения выглядели вообще нелогично.
Инструменты на ходу. У группировки обычно есть свой набор программ, по нему её и опознают. Здесь инструменты писали и переписывали во время самой атаки, так что привязать её к конкретной группе намного труднее.
Чего мы не знаем
Тут легко пересказать новость громче, чем она есть. В СМИ заголовки кричат «ИИ впервые взломал компанию», а сама PT высказывается осторожнее.
Участие ИИ-агентов остаётся выводом расследователей по совокупности следов, а не доказанным фактом: что операцию провели одни агенты, без человека у пульта, окончательно подтвердить пока не вышло. Первой в мире атакой автономного ИИ PT свой случай не называет, это первый такой эпизод в её собственной практике. И ни компании, ни отрасли, ни модели, на которой работали агенты, в отчёте нет.
Правильнее читать новость иначе: российские специалисты впервые столкнулись в живом инциденте с атакой, которая по всем признакам шла с машинной скоростью и в машинной манере.
Это не первый звонок
В ноябре 2025-го, годом ранее, Anthropic описала кампанию кибершпионажа, где задействовали её модель Claude. На долю ИИ, по подсчётам компании, пришлось 80–90 % работы: разведка, поиск уязвимостей, код для взлома, вывод данных. Человек вмешивался на переломных этапах и давал согласие на крупные шаги.
Октябрь 2026 года: по сообщению SecurityLab, облачная компания Wiz описала атаки, в которых агент сам искал точки входа, собирал учётные данные, ходил между облачными сервисами и переписывал свои скрипты, когда те падали. Команды шли друг за другом с паузами, слишком малыми для ручной работы.
При всём этом целиком автономная атака остаётся задачей непростой. На сентябрьских испытаниях Standoff 365 и CyberED учебную цепочку взлома целиком прошли 33 агента из 310, то есть примерно каждый десятый. Прочие застревали, шли не туда или ждали подсказки оператора. Но в реальной сети удача нужна не всем: хватит одного агента, который найдёт одну ошибку.
Растёт и общий фон. Согласно PT, за третий квартал 2026 года в трафике российских компаний стало на 65 % больше событий с очевидными признаками ИИ, если сравнивать со вторым кварталом. Доля попыток эксплуатации уязвимостей поднялась с 1,1 % до 5,6 %. Чаще прочего встречались SQL-инъекции, обход каталогов и внедрение команд в операционную систему.
Агент выигрывает не умом, а скоростью
Дело не в том, что машина соображает лучше специалиста. Здесь она, наоборот, промахивалась чаще. Решает темп.
Привычная схема обороны построена под человеческую неспешность. Мониторинг выдаёт алерт, сменный инженер добирается до него через полчаса, а то и утром, и ещё час уходит на разбор ситуации. Пока напротив сидит живой взломщик, которому нужны дни на разведку в сети, такой запас времени спасает. Агенту же хватает трёх часов, чтобы войти и вынести информацию, и запаса уже нет: оповещение всё ещё непрочитанное, данные утекли.
Гойденко формулирует это без обиняков: если атака разворачивается сама, без постоянного человека в цикле, привычного уровня автоматизации мало. Обороне нужны средства, которые с той же скоростью заметят подозрительную активность, разберут происходящее и помогут прервать атаку. PT такие средства как раз продаёт, и это обстоятельство честнее назвать вслух. Сам вывод слабее не становится.
Снимок: U.S. Department of Energy, вычислительный центр Fermilab. Общественное достояние, Wikimedia Commons.
Порядок можно навести даже на одном сервере
Собственный отдел кибербезопасности позволить себе может не каждая организация. Однако кое-что по силам сделать и на единственном сервере, и в компании из нескольких человек.
- Проверьте всё, что торчит наружу. Входной точкой стала неверная настройка сервиса, доступного извне. Подобные промахи агент ищет быстрее и внимательнее живого специалиста. Чего обычно хватает для входа: админка без прикрытия, база или Redis с пустым паролем, открытый наружу API Docker, включённая отладка на боевом сайте, папка
.gitв корне. Просканируйте собственные адреса со стороны и закройте лишнее. - Сожмите окно реакции. Когда алерты разбирают раз в сутки, машина завершит дело раньше, чем до них дойдут руки. Хотя бы для критичных событий заведите автоответ: блокировка учётной записи, отключение узла от сети, остановка сервиса.
- Ловите всплески активности. Темп выдаёт агента с головой. Признаки: десятки свежих процессов за минуту, незнакомые скрипты во временных каталогах, установка пакетов на боевой машине, где руками их никто не ставит. Простое условие «больше N команд за минуту с одной учётки» срабатывает надёжнее хитрых сигнатур.
- Расставьте приманки. Машина читает конфиги подряд и тут же пускает находки в дело. Фальшивый ключ доступа или пароль в файле, который нигде не задействован, сыграет роль сигнализации: кто-то полез им пользоваться, значит в периметре чужой.
- Разделите сеть на сегменты. Если за три часа затронуто больше десяти узлов, внутри почти ничто не мешало перескакивать с машины на машину. Чем меньше узлов видят друг друга без надобности, тем медленнее разворачивается атака и тем выше шанс её поймать.
- Вынесите секреты из файлов. Секреты в
.env, ключи, оставшиеся в истории команд, токены внутри скриптов машина находит за секунды. Держите их в менеджере секретов и меняйте на регулярной основе. - Храните журналы за пределами атакованных машин. Логи, лежащие на том же сервере, взломщик сотрёт. Уводите их на отдельный хост, и тогда расследовать будет по чему.
Быстрая самопроверка Linux-сервера обойдётся в несколько команд. Расследование они не подменят, зато покажут, не завелось ли на машине чего-то нового.
# Скрипты, изменённые за последние сутки (кроме домашних каталогов) find / -xdev \( -path /proc -o -path /sys -o -path /home \) -prune -o \ -type f \( -name '*.sh' -o -name '*.py' -o -name '*.pl' \) -mtime -1 -print 2>/dev/null # Что лежит во временных каталогах, свежее сверху ls -lat /tmp /var/tmp /dev/shm | head -n 30 # Пакеты, установленные через apt за последние дни grep -h ' install ' /var/log/dpkg.log | tail -n 20 # Библиотеки Python, появившиеся за три дня find / -xdev -type d -name '*.dist-info' -mtime -3 2>/dev/null | head -n 20 # Входы по SSH за сутки journalctl -u ssh -u sshd --since '24 hours ago' | grep -E 'Accepted|Failed' | tail -n 30 Заметили в выводе то, чего сами не устанавливали и не запускали? Это повод копать глубже, а не стирать находку сразу. Для разбора она ещё пригодится.
На взлом уходят часы, а защита начинается со скучного
Пока это единственный описанный случай с PT, и описан он с оговорками. Только вектор виден отчётливо. Модели пишут и правят код быстрее людей, агенты тянут длинные цепочки шагов, а кривые настройки сервисов остались на месте. Сложите три слагаемых вместе, и на взлом уходят часы вместо недель.
Обнадёживает другое: агенту не требуются новые дыры. Он эксплуатирует те же незакрытые панели, те же пароли в файлах и ту же плоскую сеть, что и живой взломщик, только успевает быстрее. Значит и оборона держится на тех же скучных мерах, о которых твердят годами. Отличие одно: откладывать их теперь дороже.
Источники: сообщение Positive Technologies от 2 ноября 2026 года, пересказанное «Газетой.Ru», а также SecurityLab, Lenta.ru, Life.ru и TRT; комментарий Дениса Гойденко — «Газета.Ru» и CISOCLUB. Данные об испытаниях Standoff и отчёте Wiz взяты у SecurityLab. Сведения о кампании с Claude — отчёт Anthropic, ноябрь 2025 года. Команды проверки — мои, для систем на Debian и Ubuntu.
Текст подготовлен с использованием искусственного интеллекта.
