ШІ в кібератаках: від помічника до агента, але ще не повністю автономного зловмисника

Спільний висновок Google, Anthropic і Microsoft полягає не в тому, що ШІ породив цілком нові способи злому. Головна зміна інша: він робить усталені прийоми кіберзлочинців повторюваними багатокроковими процесами. Моделі можуть допомагати планувати, генерувати матеріали, перевіряти результат, адаптуватися та масштабувати операції з меншими витратами спеціалізованої праці й часу оператора. Водночас наявні дані набагато переконливіше підтверджують прискорення та координацію звичних атак, ніж появу систем, які без істотного людського керування самостійно проводять компрометацію від початку до кінця. 107

Від чат-асистента до частково агентного виконавця

Google описувала перехід від поодиноких запитів до інтегрованих агентних робочих процесів. У таких сценаріях автоматизуються пов’язані етапи: сканування, збирання облікових даних, виправлення помилок і ротація мережевої інфраструктури. Це скорочує шлях від задуму атаки до її виконання, який раніше вимагав кількох інструментів і операторів. 11

Однак слово «агентний» не варто ототожнювати з повною автономністю. У спостереженнях Microsoft більшість зловмисного використання ШІ все ще зводиться до створення тексту, коду або медіа. Серед зафіксованих застосувань — підготовка фішингових приманок, переклад, стислий виклад викрадених даних, написання чи налагодження шкідливого ПЗ, а також створення скриптів та інфраструктури. 10

Чому знайомі атаки стали небезпечнішими

ШІ знижує граничну вартість дослідження цілі, локалізації повідомлень різними мовами, підготовки коду та багаторазового вдосконалення обману. Це дає невеликим кримінальним групам і хактивістам частину можливостей, які раніше вимагали більших команд. Для захисників проблема — у швидкості, персоналізації та варіативності: шкідливі листи й сторінки можуть частіше змінюватися, тому прості правила на основі відомих шаблонів або очевидних мовних помилок працюють гірше. Microsoft окремо відзначала застосування ШІ для написання та перекладу фішингових приманок. 610

Особливо показовий приклад — кампанії соціальної інженерії, стилізовані під passkey та єдиний вхід (SSO), проти корпоративних облікових записів Microsoft 365. Microsoft пов’язала їх з акторами, яких відстежує у зв’язку з ShinyHunters, Helix та іншими угрупованнями вимагальників. Описана схема включала розвідку, імітацію служби ІТ-підтримки, здобуття доступу й викрадення даних із хмарних сервісів. Це приклад традиційного викрадення доступів, яке може посилюватися точнішим націлюванням і масштабованими приманками, а не доказ того, що ШІ самостійно виконав весь злам. 3

Державні та кримінальні групи: що саме задокументовано

Anthropic повідомила, що за вісім місяців виявила та припинила операції, у яких зловмисники намагалися використати Claude для кібератак, операцій впливу, стеження, шахрайства, діяльності, пов’язаної з біологічними та звичайними озброєннями, а також для дистиляції моделей. У кейсах компанії фігурували актори, пов’язані з Росією, Китаєм та Іраном, а також фінансово мотивовані групи. 716

Reuters повідомляв, що серед кейсів Anthropic була імовірна операція пов’язаної з Росією групи проти українських посадовців, а також заяви компанії про неправомірне використання Claude китайськими ШІ-компаніями. Такі атрибуції є висновками та прикладами, наведеними самою компанією, а не статистичним виміром усієї глобальної активності загроз. 177

Практична небезпека агентного застосування проявляється в циклі зворотного зв’язку: згенерувати код, протестувати його, переробити після виявлення захисними продуктами та розгорнути наступну версію. У матеріалах Anthropic також фігурує зловживання скомпрометованими обліковими даними або API-ключами як відносно дешевим обчислювальним ресурсом. Ризик створює саме такий цикл швидкої ітерації, а не один окремий шкідливий запит до моделі. 87

«Дистиляція» моделей — окрема лінія загрози

Google називає систематичне опитування Gemini для вилучення пропрієтарних можливостей «дистиляцією» або атакою вилучення моделі. Це не звичайний злам мережі, а проблема захисту інтелектуальної власності, можливостей моделі та її запобіжників: зловмисник може використовувати легітимний API-доступ для великої кількості продуманих запитів, а отримані відповіді — для навчання іншої моделі. 11

У публічних повідомленнях описувалися кампанії з понад 100 000 запитів; окремі вторинні повідомлення також стверджували, що деякі скоординовані кампанії перевищували 100 млн запитів. Ці цифри слід сприймати обережно: вони ілюструють потенційний промисловий масштаб автоматизованого опитування, але не означають, що кожна така спроба успішно відтворює модель або її внутрішні механізми. 813

Anthropic зі свого боку заявила, що виявила промислові кампанії з незаконного вилучення можливостей Claude, пов’язані з трьома ШІ-лабораторіями — DeepSeek, Moonshot і MiniMax. 7

Наслідки для відповідального розвитку ШІ

Тема не обмежується фішингом. Anthropic прямо включила до свого звіту спроби зловживань, що стосуються біологічних досліджень і розробки звичайних озброєнь, поряд із кіберопераціями. Тому відповідь має включати не лише навчання працівників розпізнавати фішинг, а й моніторинг зловживань, контроль облікових записів та API, обмеження швидкості запитів, виявлення вилучення моделей, обмін даними про інциденти й додаткові запобіжники у сферах із високими наслідками. 162

Ключове застереження: ці звіти описують виявлені та зупинені випадки. Вони демонструють наявні можливості й нові операційні моделі, але самі по собі не доводять, що повністю автономні атаки вже стали домінантною формою кіберзлочинності. 7