Cisco: Ни одна передовая ИИ-модель не устояла перед многоходовыми атаками

Исследователи Cisco AI Threat Research в мае 2026 года опубликовали отчет Proprietary Problems, дополнив его исследованием открытых моделей Death by a Thousand Prompts. В сумме было протестировано 15 проприетарных флагманских моделей и 8 моделей с открытыми весами. Результат оказался однозначным: ни одна передовая модель искусственного интеллекта не является безопасной при итеративных атаках, а стандартные одношаговые тесты — плохой индикатор реальной устойчивости .

---

Самые уязвимые модели

В ходе тестирования закрытых моделей показатель успешности многоходовых атак (Attack Success Rate, ASR) варьировался от 7,89% до 88,30%, в то время как при одношаговых атаках этот диапазон составлял 2,19–64,91% . Иными словами, длительный диалог с ИИ-помощником кратно повышает шансы злоумышленника обойти защиту.

• xAI – Grok 4.1 Fast (не-Reasoning) — абсолютный антилидер с показателем многоходового ASR 88,30%. При включении режима Reasoning уязвимость снижалась до 43,47%, но даже это значение остаётся критическим .
• Google – Gemini 3 Pro — рост уязвимости с 18,10% (один шаг) до 73,35% (много шагов), то есть в 4 раза .
• OpenAI – GPT-5.4 — скачок с 2,74% до 24,68%, почти девятикратное увеличение .
• Anthropic – семейство Claude (Opus 4.5/4.6, Sonnet 4.5/4.6, Haiku 4.5) показало лучшие результаты при одиночных запросах (2,19–3,64%), но всё равно уступило многоходовым атакам с показателем 11,16–16,20% .
• Amazon – Nova 2 Lite — наименьший многоходовой ASR (7,89%), который Cisco всё равно называет «значимым остаточным риском» .

В более раннем исследовании открытых моделей ситуация была ещё тревожнее: многоходовой ASR достиг 92,78% против Mistral Large-2, а общий уровень успеха итеративных атак в 2–10 раз превышал одношаговый для всех восьми протестированных моделей .

---

Пять семейств атакующих стратегий

Чтобы взломать защиту модели, злоумышленнику не нужен один «идеальный» запрос. Гораздо эффективнее — выстроить диалог, постепенно усыпляя бдительность ИИ. Cisco классифицировала все многоходовые атаки на пять ключевых семейств :

1. Ролевая игра / Принятие персонажа. Атакующий входит в роль (врача, учителя, редактора), чтобы шаг за шагом подвести модель к запретной теме в рамках «легитимного» диалога.
2. Контекстуальная неоднозначность / Ложный след. Вредоносное намерение маскируется под безобидный запрос, а его истинный смысл раскрывается через несколько реплик.
3. Переформулирование отказа / Перенаправление. Получив отказ на прямой запрос, атакующий перефразирует его, постепенно смещая границы дозволенного, пока модель не уступит.
4. Декомпозиция и сборка информации. Запретный запрос разбивается на безобидные части, распределённые по ходу беседы, а затем модель сама «собирает пазл» и выполняет исходную вредоносную инструкцию.
5. Крещендо / Постепенная эскалация. Диалог начинается с нейтральных тем, затем градус опасности медленно повышается — от сессии к сессии или внутри одного длинного промпта. «Защитные механизмы словно стираются» .

Любопытно, что разные модели оказались уязвимы к разным семействам атак. Это значит, что универсальной защиты не существует — каждая комбинация «модель-стратегия» требует отдельного анализа .

---

Рекомендации Cisco по безопасному внедрению LLM

На основе полученных данных эксперты сформулировали чёткие правила — что делать бизнесу уже сегодня, чтобы снизить риск взлома больших языковых моделей:

• Забудьте про одношаговые ASR-бенчмарки. Они создают ложное ощущение безопасности. Реальная угроза исходит от адаптивных, многошаговых сценариев .
• Введите многоходовое тестирование как стандарт. Перед покупкой или внедрением LLM задайте поставщику вопрос: «Как модель держит удар в многоходовом диалоге с атакующим?» .
• Используйте контекстно-зависимые предохранители. Внедрите мониторинг диалогов в реальном времени: система должна выявлять подозрительные паттерны общения и попытки прощупать границы на ранних этапах .
• Проводите регулярный ред-тиминг. Имитируйте именно многоходовые атаки — то, как действуют реальные злоумышленники, постепенно наращивая давление в беседе .
• Применяйте состязательное обучение. «Закаляйте» модель, тренируя её устойчивость к итеративным манипуляциям, а не только к одиночным вредоносным промптам .
• Выстраивайте эшелонированную защиту. Не надейтесь на один барьер. Нужен комплекс мер: базовая настройка модели, фильтрация ввода-вывода, мониторинг поведения и участие человека в принятии решений .