AnswersPublished22 sources
ШІ прискорює кібератаки: що показують FunkSec, RevengeHotels і LameHug
ШІ робить традиційні кібератаки швидшими, дешевшими та адаптивнішими, але поки не замінює звичні методи злому. FunkSec і кампанія RevengeHotels демонструють розробку шкідливого ПЗ за допомогою LLM, тоді як LameHug показує використання мовної моделі безпосередньо під час атаки.
ОпублікувавВідредаговано за допомогою GPT-5.6 LunaЗображення створено за допомогою GPT Image 1.5
Research answer
Key takeaways
- ШІ робить традиційні кібератаки швидшими, дешевшими та адаптивнішими, але поки не замінює звичні методи злому.
- FunkSec і кампанія RevengeHotels демонструють розробку шкідливого ПЗ за допомогою LLM, тоді як LameHug показує використання мовної моделі безпосередньо під час атаки.
- За даними Kaspersky, у січні—квітні 2026 року було виявлено понад 33 300 атак на малий і середній бізнес, у яких шкідливі програми маскувалися під популярні AI сервіси.
- Захисникам варто відстежувати не лише сигнатури, а й підозрілі скрипти, незвичні звернення до API мовних моделей, викрадення облікових даних і підготовку файлів до виведення.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How is artificial intelligence becoming deeply embedded in cyberattacks, according to Kaspersky and other cybersecurity researchers, and wha. Article summary: AI is becoming an operational layer across the attack chain: it helps criminals write and revise code, tailor phishing, automate reconnaissance, and vary payloads at machine speed. The clearest current evidence supports . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Штучний інтелект поступово стає операційним шаром кібератак. Зловмисники та пов’язані з державами групи можуть використовувати великі мовні моделі (LLM), щоб створювати компоненти шкідливого ПЗ, писати переконливі фішингові листи, налагоджувати скрипти й швидко готувати нові варіанти атак.
Однак найточніший висновок із доступних доказів такий: ШІ передусім прискорює та адаптує вже відомі методи, а не перетворює кожну атаку на повністю автономну операцію.
Головна зміна: ШІ стискає цикл атаки
Більшість вторгнень і далі спирається на знайомі прийоми — фішинг, шкідливі скрипти, трояни віддаленого доступу (RAT) і викрадення даних. ШІ змінює їхню економіку: зменшує час і рівень експертизи, необхідні для підготовки атаки.
Зловмисник може попросити LLM створити початковий скрипт, перекласти або персоналізувати приманку, виправити код після тестування й підготувати окремі версії для різних цілей. Так експерименти стають дешевшими, а проміжок між задумом кампанії та її запуском скорочується.
Це може збільшити кількість правдоподібних атак і зменшити час на реакцію для захисників. Водночас не кожну фішингову кампанію, де згадується штучний інтелект, коректно називати «AI-атакою». Рівень залучення ШІ може бути різним — від допомоги з кодом до генерації команд безпосередньо під час вторгнення.
FunkSec: ШІ допомагає створювати шкідливе ПЗ
Дослідження Kaspersky щодо FunkSec — один із прикладів розробки шкідливого ПЗ за допомогою ШІ. Програма-вимагач на Rust поєднує шифрування, локальне викрадення даних і самовидалення в одному виконуваному файлі. Kaspersky також повідомила про ознаки синтезу коду великою мовною моделлю в пов’язаних інструментах, зокрема генераторі паролів і базовому інструменті для DDoS-атак. 28
39
Це не означає, що LLM самостійно спроєктувала, запустила й провела всю кампанію. Приклад показує інше: генеративний ШІ може створювати функціональні компоненти шкідливого ПЗ і допомагати зібрати більш цілісний набір інструментів із меншими витратами на ручну розробку.
RevengeHotels: ШІ посилює звичайний фішинг
Кампанія RevengeHotels 2025 року демонструє, як ШІ вдосконалює усталений ланцюжок атаки, а не замінює його. Kaspersky зафіксувала атаки на готелі в Бразилії та іспаномовних країнах. Фішингові листи маскувалися під запити на бронювання, рахунки або заявки на роботу. Жертв перенаправляли на сайти, що імітували сервіси зберігання документів, після чого скрипти зрештою доставляли трояни віддаленого доступу, зокрема VenomRAT. 30
31
36
За даними Kaspersky, значна частина коду початкового зараження та завантажувача, ймовірно, була створена агентами на основі великих мовних моделей. 28 Водночас кампанія й далі спиралася на знайому соціальну інженерію, виконання скриптів і доставку RAT. Внесок ШІ полягав у тому, що він допомагав швидше створювати та змінювати елементи ланцюжка зараження, потенційно полегшуючи його масштабування на різні регіони й цілі.
Тому без додаткових пояснень термін «атака на основі ШІ» може вводити в оману. У цьому випадку генерація коду за допомогою ШІ була вбудована у звичайну фішингову операцію.
LameHug: мовна модель бере участь у самій атаці
Найважливіший технічний крок у наявних доказах — LameHug, який у частині публікацій також називають PROMPTSTEAL. На відміну від шкідливого ПЗ, лише написаного за допомогою ШІ, LameHug використовував LLM уже під час виконання.
Згідно з аналізами, що спираються на повідомлення CERT-UA, шкідлива програма зверталася до API Hugging Face і використовувала модель Qwen2.5-Coder-32B-Instruct від Alibaba Cloud для динамічної генерації команд Windows. Ці команди могли збирати інформацію про систему та шукати документи Office для подальшого викрадення. 2
3
7
Такий підхід змінює поведінку шкідливої програми у трьох важливих аспектах:
- Послідовність команд не обов’язково повністю фіксується заздалегідь. Програма може запитувати команди відповідно до інструкцій і середовища, у якому опинилася.
- Для атаки можна використовувати стандартні системні утиліти. Тому виявляти загрозу доводиться за поведінкою та послідовністю команд, а не лише за унікальним виконуваним файлом.
4
- З’являється зовнішня залежність. Незвичні вихідні звернення зараженого комп’ютера до API мовної моделі можуть стати важливим сигналом для систем захисту.
LameHug не доводить, що шкідливе ПЗ стало автономним. Він показує, що LLM можна включити в операційний контур атаки й використовувати для генерації розвідки та дій зі збору даних у реальному часі.
Фальшиві AI-сервіси стають приманкою
ШІ використовують не лише як інструмент, а й як наживку. У січні—квітні 2026 року рішення Kaspersky виявили понад 33 300 атак на малі та середні підприємства, у яких шкідливі або небажані програми для ПК маскувалися під популярні AI-сервіси. За оцінкою компанії, це майже вп’ятеро більше, ніж за аналогічний період 2025 року. 50
51
Ці дані стосуються програм, які видавали себе за AI-сервіси. Вони не доводять, що кожне корисне навантаження було згенероване ШІ або що кожною атакою керувала AI-система. Обережніший висновок полягає в тому, що зловмисники експлуатують довіру до відомих AI-брендів і швидке поширення таких інструментів у бізнесі.
Для працівників ризик цілком практичний: фальшивий генератор зображень, чат-бот або помічник для підвищення продуктивності може стати способом доставити шкідливе ПЗ. Тому політики встановлення програм, перевірені джерела завантаження та надійний захист кінцевих пристроїв залишаються важливими навіть тоді, коли приманка виглядає як сучасний AI-продукт.
Що говорять масштаби загроз
Регіональна телеметрія Kaspersky свідчить, що вебзагрози залишаються широко поширеними. Проте ці показники не можна автоматично трактувати як кількість атак, керованих ШІ.
У першій половині 2026 року системи Kaspersky заблокували 5,7 млн атак з онлайн-ресурсів у Південній Африці, 4,5 млн — у Кенії та 1,6 млн — у Нігерії. У Туреччині частка користувачів, які зіткнулися з вебзагрозами, була найвищою у представлених даних регіону META — 22,8%. 14
Ці показники охоплюють загрози, що надходять через вебсайти, електронну пошту та вебсервіси. Вони демонструють масштаб загального онлайн-ризику, але не підтверджують його AI-походження. Таке розмежування важливе, щоб статистику звичайної кіберзлочинності не подавали як доказ автономних або повністю згенерованих ШІ кампаній.
Чому адаптація важливіша за автономність
Найближча загроза — не обов’язково раптова поява самостійних «кіберармій». Небезпека накопичується через невеликі переваги на кожному етапі атаки:
- код можна швидше створювати й переписувати;
- фішингові повідомлення — адаптувати до різних мов, галузей і приводів;
- скрипти — швидше налагоджувати та пакувати;
- поведінку шкідливого ПЗ — змінювати залежно від середовища;
- розвідку та збір даних — коригувати під час виконання.
Разом ці переваги знижують вартість вторгнення та дають змогу проводити більше експериментів. Вони також можуть допомогти менш досвідченим зловмисникам відтворювати техніки, які раніше вимагали спеціальних навичок.
Особливо вразливими є організації з невеликими командами кібербезпеки, великими масивами чутливих даних або складною інфраструктурою постачальників. Водночас твердження про атаки на критичну інфраструктуру потребують конкретних доказів компрометації, наслідків і ролі ШІ. Самої заяви зловмисників для підтвердження недостатньо.
Що варто робити організаціям
Наведені приклади вказують на необхідність багаторівневого захисту, орієнтованого на поведінку. Сигнатури та блокування відомих індикаторів залишаються потрібними, але їх варто доповнювати моніторингом активності, яка може свідчити про використання LLM або динамічну адаптацію атаки.
Корисними сигналами можуть бути:
- процеси Python або PyInstaller, які несподівано звертаються до сервісів мовних моделей;
- закодовані в base64 промпти або нетипові API-запити з пристроїв, що зазвичай не використовують інструменти розробки чи AI-сервіси;
- ланцюжки команд із такими утилітами, як
systeminfo,tasklist,dsqueryабо рекурсивний пошук файлів; - підозріле виконання JavaScript, PowerShell та інших скриптових інтерпретаторів;
- нетипове отримання облікових даних, підготовка документів до передачі або вихідні переміщення даних;
- встановлення працівниками несанкціонованих AI-програм чи браузерних інструментів.
У рекомендаціях Splunk щодо виявлення LameHug окремо зазначені активність Python або PyInstaller, що встановлює вихідне з’єднання з API Hugging Face і використовує модель Qwen для генерації команд. 4 Це приклад підходу, за якого захисники шукають поведінку навколо LLM-атаки, а не чекають на появу незмінної сигнатури шкідливої програми.
Висновок
ШІ дедалі глибше вбудовується в кібератаки, оскільки допомагає швидше створювати, персоналізувати й змінювати вже наявні інструменти. FunkSec і RevengeHotels демонструють розробку шкідливого ПЗ за допомогою ШІ; LameHug — звернення до LLM під час реального вторгнення; а дані Kaspersky про атаки на малий і середній бізнес показують, що популярність AI-сервісів сама стала приманкою. 28
31
51
Найточніше описувати ці процеси не як «заміну традиційного злому штучним інтелектом», а як появу шару ефективності й адаптації в межах фішингу, розробки шкідливого ПЗ, розвідки та викрадення даних. Організаціям варто готуватися до більшої різноманітності атак і швидших ітерацій, водночас чітко відрізняючи підтверджене використання ШІ від звичайної кіберзлочинності, що лише маскується під AI.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "ШІ прискорює кібератаки: що показують FunkSec, RevengeHotels і LameHug"?
ШІ робить традиційні кібератаки швидшими, дешевшими та адаптивнішими, але поки не замінює звичні методи злому.
What are the key points to validate first?
ШІ робить традиційні кібератаки швидшими, дешевшими та адаптивнішими, але поки не замінює звичні методи злому. FunkSec і кампанія RevengeHotels демонструють розробку шкідливого ПЗ за допомогою LLM, тоді як LameHug показує використання мовної моделі безпосередньо під час атаки.
What should I do next in practice?
За даними Kaspersky, у січні—квітні 2026 року було виявлено понад 33 300 атак на малий і середній бізнес, у яких шкідливі програми маскувалися під популярні AI сервіси.
Sources
me-en.kaspersky.comKaspersky uncovers the cyber threats defining the first half ...
securelist.comA new RevengeHotels campaign targets Latin America
kaspersky.comKaspersky discovers the return of RevengeHotels, leveraging AI in ...