Нейросети на службе у взломщиков — сюжет не первый год. Обычно речь о подсказках: модель сочиняет фишинговое письмо, разбирает найденную уязвимость, латает чужой код. Решение всё равно принимает человек за клавиатурой. 2 ноября Positive Technologies описала инцидент, который в эту картину не укладывается.
Разбор провёл PT ESC IR, департамент реагирования на инциденты. Речь об успешной атаке на одну российскую компанию, которую, по оценке специалистов, полностью провели ИИ-агенты. Агент в таком разборе — программа поверх языковой модели: шаг за шагом она решает сама, отдаёт команды и разбирает, что вернулось.
Самое важное в четырёх пунктах
- Что случилось. Точка входа — неверная настройка внешнего сервиса. За три часа атакующие прошли больше чем десять узлов на Linux и Windows, а из внутренних систем ушли конфиденциальные данные.
- Почему решили, что это ИИ. Скорость машины, десятки свежих скриптов с паузой в секунды, параллельный перебор вариантов и россыпь мелких промахов, которые тут же правились.
- Чего мы не знаем. Компанию, её отрасль, модель под агентами и то, был ли рядом человек. Полную автономность PT прямо не подтверждает.
- Почему это важно. Три часа — меньше, чем у многих компаний уходит на реакцию по первому оповещению. Атака в машинном темпе финиширует раньше, чем дежурный успеет её разглядеть.
В сеть попали через неверную настройку внешнего сервиса
Как сообщает PT ESC IR, первый доступ атакующие получили из-за неверной настройки внешнего сервиса. Такую оплошность, отдельно подчёркивают специалисты, вручную заметить непросто. Что это был за сервис и какой параметр оказался не тем, в компании не раскрывают.
Дальше события понеслись. Несколько серверов почти в один и тот же момент получили десятки свежих скриптов. Библиотеки и программные компоненты ставились, окружение подгонялось под себя, инструменты пробовали затащить на машины разными путями. То, что не срабатывало, переделывали по ходу, а не откладывали до следующего захода.
Итог: доступ больше чем к десяти узлам корпоративной сети, среди них серверы на Linux и Windows. Задача, судя по всему, одна: забрать конфиденциальные данные из внутренних систем. Между первым проникновением и утечкой — около трёх часов.
Денис Гойденко, руководитель PT ESC IR, в беседе с «Газете.Ru» напомнил: экспериментальные атаки с ИИ уже фиксировались, а злоумышленники давно берут его на отдельные этапы. Но в практике PT ESC IR подобное встретилось впервые: успешная атака затронула машины под Linux и Windows, и всё указывает на то, что её целиком провели ИИ-агенты, об этом говорят скорость и характер действий.
Машину выдают темп, ошибки и шум
Ярлыка «здесь работала нейросеть» в журналах не бывает. Вывод строят по почерку, а у агента он не такой, как у человека.
Темп. Прежде чем сделать шаг, человек размышляет, разбирает вывод прошлой команды и подбирает инструмент. У агента свежие скрипты и команды сыпались с промежутком в секунды, причём сразу на нескольких машинах. Расследователи и зацепились в первую очередь за небывалую скорость и плотность действий за короткое время.
Ошибки. Синтаксис команд и имена компонентов у атакующих сбоили регулярно, однако вслед за промахом почти мгновенно шла правленая команда либо иной подход. Опытный оператор до такого не доходит, а новичок не чинится с подобной прытью. Для языковой модели это норма: почти верную команду она выдаёт уверенно, получает отказ и сразу правит.
Перебор. Продвигаться по сети агент пытался сразу несколькими путями. Человек обычно выбирает одну дорогу и сворачивает с неё, лишь наткнувшись на стену.
Шум. Кто взламывает давно, тот держится тихо. Тут картина обратная: активности было непривычно много, ведь агенту важнее успеть к цели, чем замести следы. Отдельные шаги, если верить PT, с точки зрения человека вообще не имели смысла.
Инструменты на ходу. Группировку обычно опознают по собственному набору программ. В этом инциденте утилиты рождались и переделывались по ходу атаки, так что связать её с конкретной группой намного сложнее.
PT не подтверждает, что атака шла без человека
Разгонять новость сильнее, чем она того стоит, не надо. В заголовках СМИ пишут «ИИ впервые взломал компанию», а сама PT формулирует аккуратнее.
Участие ИИ-агентов остаётся выводом по совокупности следов, а не доказанным фактом. Что операцию провели одни агенты, без человека за пультом, окончательно подтвердить пока не удалось. Первой в мире автономной атакой ИИ этот случай PT тоже не называет, это первый такой пример в её собственной практике. Компания, отрасль и модель, на которой работали агенты, не названы.
Читать новость правильнее так: российские специалисты впервые столкнулись в реальном инциденте с атакой, которая по всем признакам шла в манере и темпе машины.
Похожие случаи уже были, но полной автономии пока мало
Годом раньше, в ноябре 2025-го, Anthropic описала кампанию кибершпионажа с участием своей модели Claude. По оценке компании, ИИ тогда закрыл 80–90 % работы: разведка, поиск уязвимостей, код для взлома, вывод данных. Люди подключались в отдельных точках и одобряли серьёзные решения.
В октябре 2026 года, как пишет SecurityLab, облачная компания Wiz рассказала про атаки, где агент сам находил входные точки, копил учётные данные, ходил между облачными сервисами и переписывал скрипты, спотыкаясь об ошибки. Команды появлялись через интервалы, слишком короткие для ручной работы.
Полностью автономная атака при этом остаётся задачей непростой. На сентябрьских испытаниях Standoff 365 и CyberED из 310 ИИ-агентов полную учебную цепочку прошли 33 — примерно каждый десятый. Прочие застревали, выбирали неудачные маршруты или ждали подсказки от оператора. Но в реальной сети успех не требует, чтобы получалось у всех: хватит одного агента, нашедшего одну ошибку.
Общий фон тоже растёт. По данным PT, в третьем квартале 2026 года у российских компаний стало на 65 % больше событий, где в трафике явно видны следы ИИ. Попытки эксплуатации уязвимостей заняли 5,6 % против 1,1 % кварталом ранее. Чаще прочего там встречаются SQL-инъекции, обход каталогов, внедрение команд операционной системы.
Быстрота агента, а не его ум
Дело вовсе не в превосходстве агента над человеком: здесь он, наоборот, промахивался чаще. Решающий фактор — темп.
Привычная схема обороны построена под человеческую неспешность. Мониторинг выдаёт тревогу, дежурный добирается до неё через полчаса, а то и утром, и ещё около часа тратит на осознание картины. Взломщику из плоти и крови, которому сеть нужно изучать днями, такого запаса хватает. Агенту, который за три часа успевает пройти путь к утечке, — нет: пока тревогу открыли, данные давно ушли.
Гойденко формулирует это так: когда атака развивается без постоянного участия человека, привычного уровня автоматизации уже мало. Защитникам требуются средства, которые с похожей скоростью заметят подозрительную активность, разберут происходящее и помогут атаку прервать. PT такие инструменты продаёт. Но сам вывод от этого вернее не становится.
Фото: U.S. Department of Energy / вычислительный центр Fermilab. Общественное достояние, Wikimedia Commons.
Свои сервисы можно закрыть и без большой команды
Своя крупная служба безопасности есть не у каждой компании. Но часть мер реально внедрить и на единственном сервере, и силами небольшой команды.
- Проверьте всё, что доступно из интернета. Началом атаки стала оплошность в конфигурации сервиса, выставленного наружу. Подобные промахи агент находит и быстрее, и внимательнее человека. Что попадается чаще всего: панель администратора без защиты, база или Redis без пароля, API Docker, видный снаружи, включённая отладка на боевом сайте, каталог
.gitв корне. Пройдитесь по своим адресам сканером снаружи и прикройте лишнее. - Сократите окно реакции. Когда тревоги разбирают раз в сутки, агент завершит дело раньше, чем кто-то их откроет. Для самых тяжёлых событий заведите автоматику: блокировка учётной записи, отключение узла от сети, остановка сервиса.
- Ловите всплески активности. Темп выдаёт агента с головой: десятки свежих процессов за минуту, новые скрипты во временных каталогах, установка пакетов на боевой машине, где руками их не ставят. Нехитрое условие «от одной учётки пришло больше N команд за минуту» срабатывает тут надёжнее замысловатых сигнатур.
- Расставьте приманки. Агент читает подряд всё, что попадётся, и тут же пускает находки в дело. Фальшивый ключ доступа или пароль в неиспользуемом конфиге сработает сигнализацией: как только им кто-то воспользуется, значит, в сети чужой.
- Разделите сеть на сегменты. Если за три часа задеты больше десяти узлов, внутри почти ничто не мешало прыгать с машины на машину. Чем меньше узлов видят друг друга без надобности, тем медленнее развивается атака и тем выше шанс её поймать.
- Уберите секреты из файлов. Пароли в
.env, ключи в истории shell, токены в скриптах: всё это агент выудит за секунды. Держите такое в менеджере секретов и меняйте по расписанию. - Держите журналы отдельно от атакуемых машин. Логи, оставленные на том же сервере, атакующий просто сотрёт. Уводите их на отдельный хост, иначе расследовать будет нечего.
Быстро осмотреть сервер на Linux помогут несколько команд. Расследование они не заменят, зато покажут, не завелось ли на машине чего-то нового.
# Скрипты, изменённые за последние сутки (кроме домашних каталогов)
find / -xdev \( -path /proc -o -path /sys -o -path /home \) -prune -o \ -type f \( -name '*.sh' -o -name '*.py' -o -name '*.pl' \) -mtime -1 -print 2>/dev/null
# Что лежит во временных каталогах, свежее сверху
ls -lat /tmp /var/tmp /dev/shm | head -n 30
# Пакеты, установленные через apt за последние дни
grep -h ' install ' /var/log/dpkg.log | tail -n 20
# Библиотеки Python, появившиеся за три дня
find / -xdev -type d -name '*.dist-info' -mtime -3 2>/dev/null | head -n 20
# Входы по SSH за сутки
journalctl -u ssh -u sshd --since '24 hours ago' | grep -E 'Accepted|Failed' | tail -n 30
Заметили в выводе то, чего сами не ставили и не запускали? Это повод копать глубже, а не сносить находку на месте: для разбора она ещё пригодится.
Дальше будет быстрее, и это уже видно
Пока случай PT единственный, и описан он с оговорками. Однако вектор ясен. Модели пишут и правят код быстрее человека, агенты тянут длинные цепочки действий, а просчёты в конфигурациях сервисов остались на месте. Сойдутся эти три обстоятельства вместе, и на взлом уйдут часы вместо недель.
Радует другое: агенту не требуется ничего изобретать. Ему попадаются те же незакрытые панели, пароли в файлах и плоская сеть, что и человеку, только проделывает он это шустрее. Значит, и оборона держится на прежних скучных вещах, о которых твердят который год. Отличие одно: цена отсрочки выросла.
Источники: сообщение Positive Technologies от 2 ноября 2026 года в пересказе «Газеты.Ru», SecurityLab, Lenta.ru, Life.ru и TRT; комментарий Дениса Гойденко из «Газеты.Ru» и CISOCLUB. Про испытания Standoff и отчёт Wiz писал SecurityLab. Про кампанию с Claude есть отчёт Anthropic, ноябрь 2025 года. Команды проверки я собрал сам, они для Debian и Ubuntu.
