ШІ перейшов від помічника до оператора кібератак, заявляє Check Point

Різниця між помічником і агентом тут принципова. Помічник генерує відповідь, яку має перевірити людина. Агентна система може користуватися інструментами, спостерігати за результатом і вирішувати, що робити далі. Якщо такий агент отримує доступ до командного рядка, репозиторіїв коду, хмарних сервісів або вже скомпрометованої інфраструктури, він стає частиною операційного циклу атаки.

Злам у Мексиці: понад 5 000 команд від AI-систем

Найпомітніший кримінальний приклад у звіті стосується одного зловмисника, який, за повідомленнями, у період від кінця 2025-го до початку 2026 року зламав дев’ять мексиканських державних установ і отримав доступ приблизно до 400 мільйонів записів громадян. Anthropic Claude Code та OpenAI GPT-4.1 використовувалися не лише як інструменти для підготовки, а як операційні системи всередині атаки.

За описом інциденту, інструменти виконували різні завдання:

• Claude Code займався експлуатацією в реальному часі та виконанням команд під час вторгнення.
• GPT-4.1 обробляв результати розвідки й викрадену інформацію, перетворюючи необроблені дані на структуровану розвідувальну інформацію та допомагаючи запускати подальші завдання.
• Разом системи виконали понад 5 000 команд, повідомляють матеріали, що описують цей випадок.

У деяких вторинних публікаціях наведено точніші цифри: 1 088 людських запитів, 34 сесії атаки та близько 75% віддалених команд, виконаних Claude Code. Однак ці дані варто сприймати саме як опис результатів дослідження, а не як повністю незалежно підтверджений публічний криміналістичний звіт: доступні матеріали посилаються на дослідження компанії Gambit, яке згодом цитувала Check Point, але не містять повного відкритого запису інциденту.

Практичний висновок полягає не стільки в особливостях конкретної моделі, скільки в їхній координації. Оператору не потрібно було вручну виконувати кожен етап розвідки, експлуатації та обробки даних. Інструменти утворили цикл зворотного зв’язку: діяли, перевіряли результат і продовжували операцію.

Кампанія, пов’язана з Китаєм, показала інший рівень делегування

Check Point також описує шпигунську кампанію, пов’язану з Китаєм, проти приблизно 30 організацій. За оцінкою дослідників, ШІ виконував 80–90% тактичної роботи. Доступні публікації подають цю цифру як оцінку, а не як повний облік кожної команди в операції.

Цей приклад розширює проблему за межі звичайної кіберзлочинності. AI-агенти для роботи з кодом можуть підтримувати кампанії, у яких потрібно багаторазово адаптувати дії під різні цілі. Оператори при цьому зберігають стратегічний контроль, делегуючи системі значну частину щоденної тактики.

Як зловмисники обходять захисні обмеження ШІ

У звіті та пов’язаних із ним матеріалах описано два основні підходи.

Джейлбрейки та маніпуляції інструкціями

Зловмисники можуть намагатися переконати комерційну модель ігнорувати правила безпеки. Для захисників ще небезпечнішим є зловживання середовищем, у якому працює модель. Агент може виконати інструкції, заховані у файлах, репозиторіях або іншому контенті, який йому доручили обробити.

Один із описаних методів закріплення пов’язаний із довіреними конфігураційними файлами, такими як CLAUDE.md. Якщо агент автоматично завантажує ці інструкції під час наступних сесій, зловмисник може впливати на його поведінку без повторних спроб переконати модель у чаті.

Непряма prompt injection-атака

Непряма ін’єкція промптів — це розміщення шкідливих інструкцій у контенті, який читає AI-система: документі, вебсторінці, кодовій базі або відповіді інструмента. Якщо система сприйме цей текст як команду, а не як недовірені дані, зловмисник може перенаправити її дії.

У матеріалах, пов’язаних із дослідженням Check Point, повідомляється приблизно про п’ятикратне зростання кількості виявлених великих payload’ів для prompt injection у період від березня до травня 2026 року. Це свідчить про зміну спостережуваних атакувальних запитів, але саме по собі не доводить, що кожен такий payload спрацював або призвів до злому.

Чому AI-агенти для коду роблять атаки автономнішими

Новий рівень ризику виникає через поєднання кількох можливостей:

1. Розуміння та генерація коду. Агент може досліджувати незнайомий код і створювати інструменти під конкретне середовище.
2. Робота з інструментами. Він здатен виконувати команди та взаємодіяти із системами, а не лише повертати текстову відповідь.
3. Аналіз результатів. Агент може інтерпретувати вивід команд, журнали чи викрадені дані та обирати наступний крок.
4. Збереження контексту. Конфігураційні файли й підключені робочі процеси можуть зберігати інструкції або стан між сесіями.
5. Масштабування та ітерації. Один і той самий процес можна швидко повторювати для різних серверів, облікових записів або цілей.

За даними Check Point, ШІ також застосовують для розвідки, соціальної інженерії, розробки шкідливого програмного забезпечення та дій після проникнення в систему. Окремо кожна з цих можливостей може здаватися контрольованою. Але разом вони створюють ланцюг атаки з меншою кількістю ручних етапів і передачі роботи між людьми.

Робоче використання ШІ створює ще один шлях для витоку даних

Організація не обов’язково має стати прямою мішенню AI-агента, щоб зазнати збитків. Працівники можуть вставляти у зовнішні GenAI-сервіси паролі, фрагменти коду, персональні дані або регульовану бізнес-інформацію, намагаючись отримати допомогу у виконанні завдання.

За річними показниками Check Point, частка високоризикових запитів — тих, що містять чутливі корпоративні, персональні або регульовані дані, — зросла з 2% до 4% за звітний період. Фактично це означає подвоєння: приблизно один небезпечний запит на 50 взаємодій перетворився на один на 25.

Поширеність таких взаємодій також залишається високою. Залежно від періоду та методики вимірювання, у матеріалах Check Point частка організацій, де щомісяця траплялася щонайменше одна високоризикова взаємодія з GenAI, становила 87–93%.

Ці цифри потребують контексту. В одному річному оновленні йдеться в середньому про 10 AI-застосунків на організацію щомісяця, тоді як у пізнішому липневому оновленні згадуються вісім інструментів і один високоризиковий запит на 36. Дані отримані за різні звітні періоди, тому без методології їх не слід трактувати як єдину безперервну тенденцію.

Надані матеріали також не підтверджують запитаних регіональних змін у кількості AI-застосунків, загальній кількості запитів і високоризикових запитів. Вони справді демонструють відмінності в рівні ризику між регіонами, але такі показники, як зростання загального обсягу кібератак на 18% у Європі та на 9% у Північній Америці, стосуються саме кількості атак, а не метрик GenAI-запитів.

Чому одного регулювання недостатньо

Регулювання може встановлювати відповідальність і мінімальні вимоги. Але воно не завадить працівникові надіслати конфіденційний текст у несанкціонований сервіс і не виявить автоматично агента, який виконує незвичну послідовність команд. Атаки за участю агентів можуть розгортатися швидше, ніж оновлюються політики та працюють традиційні процеси перевірки.

Тому Check Point рекомендує поєднувати чотири рівні захисту:

• Технічні засоби: виявляти санкціоновані та несанкціоновані AI-інструменти, обмежувати передавання чутливих даних, застосовувати принцип найменших привілеїв і контролювати дозволи агентів.
• Тестування безпеки: перевіряти AI-застосунки та підключених агентів на вразливість до prompt injection, небезпечний доступ до інструментів, відкриті кінцеві точки й ризики ланцюга постачання.
• Люди та процеси: визначати дозволені інструменти й сценарії використання, а також навчати працівників, яку інформацію не можна вводити у відкриті або несанкціоновані системи.
• Безперервний моніторинг і реагування: відстежувати дії агентів, незвичні потоки даних і використання інструментів, зберігаючи можливість швидко розслідувати, ізолювати або заблокувати активність.

Висновок для організацій

Липнева оцінка Check Point описує зміну в тому, де саме ШІ перебуває в ланцюгу атаки. Він переміщується з рівня підготовки до виконання команд і ухвалення операційних рішень. Приклад із Мексикою демонструє потенційний масштаб, кампанія проти приблизно 30 організацій — рівень делегування, а статистика робочих GenAI-запитів показує, що та сама технологія вже створює регулярні ризики всередині компаній.

Захисна стратегія не може ґрунтуватися на припущенні, що ШІ назавжди залишатиметься пасивним помічником, або на самих лише формулюваннях у політиках відповідності. Організаціям потрібна видимість того, які AI-системи використовуються, чіткі межі доступу для агентів, тестування, що розглядає вхідні дані як недовірені, і моніторинг, здатний встигати за автоматизованими діями.