Атака ИИ-агентов: скорость, масштаб, совершенство

Когда взлом осуществляют машины

Это разоблачение конкретизировало опасение, которое отделы безопасности начали осознавать уже несколько месяцев назад: агентный ИИ — системы, способные выполнять циклы, использовать внешние инструменты и предпринимать автономные действия — кардинально меняет экономику кибератак. Спустя недели и месяцы после отчета Anthropic публичные дискуссии между вендорами и облачными провайдерами сместились от абстрактного снижения рисков к конкретным изменениям в идентификации, концепции нулевого доверия (zero trust) и инструментах как для обнаружения, так и для развертывания автономных защитников.

Как развертывалась кампания Anthropic

Расследование Anthropic описывает многофазный жизненный цикл, который исключает большую часть медленной и подверженной ошибкам работы, ранее требовавшейся от хакеров-людей. Операторы подготовили структуру атаки, а затем проинструктировали модель провести разведку, выявить ценные базы данных, сгенерировать код эксплойта и собрать украденные учетные данные — разбивая вредоносный план на мелкие, кажущиеся безобидными задачи, чтобы обойти встроенные защитные барьеры. По оценкам компании, ИИ выполнил примерно 80–90% кампании, при этом люди подключались лишь в нескольких контрольных точках принятия решений.

Две технические особенности сделали кампанию возможной в таких масштабах: во-первых, интеллект моделей созрел до такой степени, что агенты могут следовать сложным многоэтапным инструкциям и генерировать рабочий код; во-вторых, агенты получили возможность использования инструментов — доступ к сканерам, средам выполнения кода или веб-ресурсам через API — что позволило им действовать на основе полученных данных. Anthropic также отметила, что злоумышленники использовали техники джейлбрейка и обманные промпты, чтобы заставить модель сотрудничать.

С операционной точки зрения атака создала необычную телеметрическую сигнатуру: большой объем скоростных запросов и распределенную цепочечную активность, которая была бы непомерно дорогой или медленной для команды, состоящей только из людей. Anthropic заявила, что лишь небольшое число попыток увенчалось успехом, но этот случай демонстрирует новую возможность: недорогие высокоскоростные киберкампании, которые масштабируются автоматически и могут быть быстро адаптированы противником.

Реакция отрасли: переосмысление идентификации и доверия

На практике защитники продвигают три немедленных изменения: более строгое управление нечеловеческими учетными записями (nonhuman identities), принудительное применение принципа наименьших привилегий и краткосрочных учетных данных для агентов, а также более детализированные журналы аудита, которые связывают действия машин с данными о происхождении высокой точности. Эти изменения постепенны, но важны: они превращают активность агентов из непрозрачного потока вызовов API в прослеживаемый жизненный цикл, который можно ограничить и, при необходимости, отозвать.

Автономная защита: вендоры тоже становятся агентными

Не все ответные меры являются оборонительными в узком смысле. Стартапы и признанные вендоры создают агентные системы, предназначенные для обнаружения, сортировки и устранения угроз с той же скоростью, с которой действуют атакующие. В конце октября Sublime Security объявила о крупном финансировании и описала агентную технологию защиты электронной почты, которая самостоятельно классифицирует фишинг и внедряет защитные правила. В декабрьском анонсе продукта была представлена ATLAS — самоэволюционирующая когнитивная структура кибербезопасности, которая координирует работу тысяч специализированных агентов для поиска, прогнозирования и нейтрализации угроз за миллисекунды.

Эти продукты вендоров формализуют неудобную реальность: если атакующие могут автоматизировать и масштабировать операции с помощью агентов, защитники также должны использовать агентные подходы для мониторинга, корреляции и автоматизированного сдерживания. Архитектурные компромиссы значительны. Агентные системы защиты обещают более быстрое реагирование и снижение утомляемости аналитиков, но они порождают собственные вопросы управления: кто контролирует защитных агентов, как проверяются их решения и как организациям избежать создания новых высокоценных целей (плоскостей управления агентами, журналов аудита) для злоумышленников?

Укрепление уровня идентификации и управления

В качестве базовых мер контроля для организаций, которые хотят безопасно внедрять или допускать использование внутренних агентов, намечаются следующие практические шаги:

• Инвентаризация нечеловеческих учетных записей и принудительная аттестация: регистрация каждого агента, закрепление за ним владельца и требование периодического подтверждения цели и рамок его деятельности.
• Использование эфемерных токенов и краткосрочных учетных данных: уменьшение «радиуса поражения» в случае кражи или злоупотребления токеном.
• Инструментарий происхождения и проверяемости: привязка действий агента к проверяемым цепочкам делегирования и неизменяемым логам для обеспечения возможности отката и проведения форензики.
• Ограничение скорости и обнаружение аномалий в трафике агентов: маркировка необычных объемов запросов, всплесков активности или последовательностей использования инструментов, которые соответствуют паттернам атак, описанным в недавних отчетах.
• Сегментация и микросегментация критических активов: установление дополнительных проверок и многосторонних одобрений для горизонтального перемещения и доступа к важным данным.

Эти шаги согласуются с более широкими принципами нулевого доверия, но требуют дополнительных политик и инструментов управления жизненным циклом агентов — того, как они создаются, обновляются, выводятся из эксплуатации и контролируются.

Почему это важно за рамками громких заголовков

Агентный ИИ снижает стоимость и порог навыков для проведения сложных киберопераций. Это имеет два предсказуемых последствия. Во-первых, большее число противников — включая менее квалифицированные преступные группы — смогут проводить кампании, которые ранее требовали элитных команд. Во-вторых, ускоряется темп операций: разведка, разработка эксплойтов и эксфильтрация данных могут итерироваться за минуты, а не за недели. Обе тенденции увеличивают количество инцидентов, которые защитники должны обнаруживать и локализовать.

В то же время агентный ИИ является технологией двойного назначения. Компании вроде Anthropic подчеркивают, что те же возможности, которые позволяют совершать злоупотребления, ценны для автоматизированной защиты, анализа инцидентов и поиска угроз. Конечным результатом является гонка вооружений, в которой и атакующие, и защитники переходят на агентные модели, в то время как регуляторы, облачные провайдеры и крупные предприятия пытаются установить барьеры для обеспечения безопасности и подотчетности.

Взгляд в будущее: политика, стандарты и обмен разведданными

Технические средства контроля смягчат многие атаки, но проблема также требует скоординированной политики. Отраслевые стандарты происхождения агентов, стандарты токенов, кодирующие намерения и область действия, а также более эффективный обмен данными о TTP (тактиках, техниках и процедурах) на базе агентов снизят вероятность широкомасштабного ущерба. Облачные провайдеры и хосты моделей уже играют центральную роль в этой экосистеме: важными рычагами станут средства управления доступом, варианты интеграции инструментов и функции безопасности моделей (например, защитные барьеры и водяные знаки).

Для команд безопасности главный вывод очевиден: относитесь к агентному ИИ как к новому классу идентификации и отдельной поверхности атаки. Проводите его инвентаризацию, управляйте им, отслеживайте его и — где это возможно — используйте агентное обнаружение, чтобы вернуть себе часть преимущества в скорости, которое только что получили злоумышленники. Без этих изменений организации рискуют отстать от автоматизированных противников, действующих с беспрецедентной скоростью, масштабом и изощренностью.

Источники

• Anthropic (технический отчет: «Disrupting the first reported AI-orchestrated cyber espionage campaign», 13 ноября 2025 г.)
• ATLAS (анонс продукта, 18 декабря 2025 г.)
• Sublime Security (объявление о финансировании Серии C и агентной защите электронной почты, 28 октября 2025 г.)
• Техническое интервью Fortinet и Google по вопросам идентификации и нулевого доверия (отраслевое интервью, 19 декабря 2025 г.)