ИИ превращает привычные кибератаки в быстрые агентные конвейеры

Главный общий вывод Google, Anthropic и Microsoft: ИИ не создал принципиально новый вид взлома, но сделал привычные приёмы злоумышленников воспроизводимыми многошаговыми процессами. Модели помогают планировать, генерировать, тестировать, исправлять и масштабировать атаки, сокращая потребность в редких специалистах и ручной работе. При этом наиболее убедительные данные говорят об ускорении и координации уже известных операций, а не о полностью независимых системах, действующих без существенного контроля человека. 107

От ИИ-помощника — к агентному исполнителю

Трекер Google описывает переход от единичных запросов к интегрированным агентным рабочим процессам. В них ИИ может участвовать в автоматизированном сканировании, сборе учётных данных, устранении технических сбоев и ротации инфраструктуры. То, для чего раньше требовались несколько инструментов и операторов, превращается в быстро повторяющийся конвейер. 11

Однако слово «автономный» здесь важно не переоценивать. Microsoft отмечала, что основная масса злонамеренного использования ИИ по-прежнему сводится к созданию текста, кода и медиаматериалов, а не к самостоятельному взлому от начала до конца. 10

Для чего злоумышленники применяют ИИ

В отчётах упоминаются или описываются следующие задачи:

• исследование целей и их профилирование;
• подготовка многоязычных сообщений для целевого фишинга;
• разработка, доработка и отладка вредоносного ПО и скриптов;
• создание заготовок для инфраструктуры атаки;
• суммирование похищенных данных;
• подготовка материалов для социальной инженерии.

Microsoft прямо наблюдала применение генеративного ИИ для написания фишинговых приманок, перевода контента, обработки украденной информации, создания или отладки вредоносного кода, а также подготовки скриптов и инфраструктуры. 10

Связанные с государствами и криминальные кампании

Anthropic сообщила, что пресекла операции с участием акторов, которых компания связывает с Россией, Китаем и Ираном, а также финансово мотивированных групп. Описанные эпизоды охватывали кибероперации, операции влияния, слежку, мошенничество, злоупотребления в биологической сфере, разработку обычных вооружений и дистилляцию моделей. Reuters также сообщало о случае, который Anthropic связывала с российской операцией против украинских чиновников, и о заявлениях компании относительно неправомерного использования Claude китайскими ИИ-компаниями. Это атрибуции и кейсы самих компаний, а не оценка всего объёма угроз в мире. 724

Практическая опасность агентного подхода в том, что атакующий может использовать модель для переработки кода после срабатывания защитных средств, задействовать скомпрометированные учётные данные или API-ключи как недорогой вычислительный ресурс и повторять цикл на высокой скорости. Риск создаёт не один вредоносный запрос, а петля «сгенерировать — проверить — исправить — развернуть». 87

Пример ShinyHunters: социальная инженерия остаётся ключевым входом

Microsoft связывала фишинговые кампании под видом настройки passkey и единого входа (SSO) против корпоративных учётных записей Microsoft 365 с акторами, связанными с ShinyHunters, Helix и другими группами вымогателей. По описанию, схема начиналась с разведки, затем следовало представление от имени службы ИТ-поддержки, чтобы получить доступ и похитить облачные данные. 3

Это показательный пример: речь не о доказательстве того, что ИИ самостоятельно провёл всё проникновение, а о традиционной краже учётных данных, усиленной более точным выбором жертв и масштабируемыми приманками.

Почему фишинг и подмена стали дешевле

Подмена бренда с помощью ИИ укладывается в ту же экономику: убедительные страницы «поддержки», фишинговые письма, диалоги в чатах, клонированные голоса или изображения, а также их версии на разных языках можно создавать и обновлять значительно дешевле. Защитникам приходится разбирать больший поток персонализированных и постоянно меняющихся сообщений; правила, рассчитанные на знакомые шаблоны или явные грамматические ошибки, работают хуже. Microsoft отдельно отмечала генерацию фишинговых приманок и перевод с помощью ИИ. 10

Дистилляция моделей — отдельная цель атак

Google характеризует систематические запросы к Gemini, направленные на извлечение проприетарных возможностей модели, как атаки дистилляции или извлечения модели. Это проблема защиты интеллектуальной собственности и возможностей ИИ, а не только обычная киберпреступность. Публичные сообщения описывали кампании с очень большими объёмами запросов; обоснованная интерпретация такова: атакующие могут пытаться воспроизвести полезное поведение передовой модели через API-зондирование, тогда как поставщики стараются выявлять злоупотребления запросами и защищать рассуждения модели и её предохранители. 118

Что изменилось для защитников

ИИ снижает предельную стоимость подготовки текстов, локализации, исследования целей, помощи с кодом и многократного совершенствования обмана. Благодаря этому преступники и хактивисты с ограниченными ресурсами получают часть возможностей, прежде доступных более крупным командам. Для защиты это означает асимметрию скорости и масштаба: вредоносный контент становится более индивидуальным и чаще меняется, из-за чего его сложнее отличить от легитимных коммуникаций. Но это не означает, что любая атака с ИИ неизбежно окажется успешной. 610

Вопрос выходит за пределы фишинга

Те же вопросы — контроля доступа, ограничений возможностей и мониторинга злоупотреблений — касаются не только киберпреступности. В отчёте Anthropic рассматривались попытки злоупотребления ИИ в биологической сфере и при разработке обычных вооружений наряду с кибероперациями. Поэтому обсуждение ответственного развития ИИ включает мониторинг злоупотреблений, защиту аккаунтов и API, лимиты запросов, выявление извлечения моделей, обмен данными об инцидентах и специальные меры предосторожности в областях с высокими последствиями — а не только защиту от фишинга. 162

Ключевая оговорка остаётся прежней: эти публикации описывают выявленные и пресечённые случаи. Они демонстрируют возможности и формирующиеся операционные модели, но сами по себе не доказывают, что автономные атаки уже стали доминирующей формой киберпреступности. 7