Google и Mandiant нашли автономные ИИ-фреймворки в реальных атаках

Google Threat Intelligence Group и Mandiant зафиксировали применение автономных ИИ-фреймворков ARTEX, Hexstrike, CAIRN и PentAGI в реальных атаках на корпоративные сети. Агенты самостоятельно перемещаются по взломанной инфраструктуре, работают с базами данных и закрепляют доступ, а привилегированный доступ к облакам в отдельных случаях удавалось получить менее чем за 3 часа. Подобная активность наблюдается как минимум с конца августа 2026 года.

Об этом Google сообщила 30 октября в исследовании «ARTEX and Friends». Фреймворки сами разбивают задачу на последовательность действий, подбирают программы, оценивают результат и продолжают работу. Оператору достаточно назвать цель, например найти уязвимые серверы организации, а дальше агенты обмениваются результатами и корректируют план.

Команда агентов вместо набора утилит

ARTEX написан на Go и подключает больше десятка облачных и локальных языковых моделей. Шесть субагентов исследуют ресурсы, анализируют сервисы и проверяют уязвимости, а команды выполняются в изолированных средах на базе Kali Linux с Nmap, Metasploit и SQLmap. PentAGI от VXControl распространяется в открытой и коммерческой редакциях, Hexstrike связывает агентов с большим числом инструментов и сам выбирает следующую программу.

В расследованиях Mandiant агенты брали на себя сразу несколько этапов вторжения:

• изучали Active Directory и искали пути повышения привилегий;
• анализировали облачные ресурсы AWS и Azure;
• создавали веб-оболочки для удалённого управления серверами;
• проверяли права учётных записей.

Облака за 15 минут

Группировку UNC7228, которую Google сопоставляет с Storm-0940 из отчётов Microsoft, Wiz связала с кампанией против организаций в США и Европе. Между первым доступом и проникновением вглубь инфраструктуры проходило около 4 часов, а в одном эпизоде всего 15 минут.

Microsoft в отчёте от 21 октября назвала Storm-0940 связанной с Китаем группировкой, которая атаковала с помощью ARTEX сотни организаций. Через компрометацию цепочки поставок ConnectWise Cloud Backup злоумышленники получили контроль над облачными приложениями и пытались добраться до более чем 2 250 арендаторов Microsoft 365. С 10 по 14 октября их инфраструктура сгенерировала более 151 тыс. неудачных входов, до 2,9 тыс. в минуту, при распылении паролей против 327 учётных записей. Почти 98% попыток остановили механизмы блокировки.

Microsoft рекомендовала клиентам проверить:

• все подключённые приложения ConnectWise, в том числе неиспользуемые;
• журналы авторизаций сервисных учётных записей;
• изменения разрешений OAuth и добавленные секреты;
• неожиданные назначения административных прав.

Двести целей за две недели

CrowdStrike описала кампанию VAPOR PANDA, которая с 17 октября затронула более 200 организаций в 14 странах менее чем за две недели. Действия после проникновения подтверждены в девяти организациях, где атакующие установили бэкдор BLOODALCHEMY. Цифра в 200 обозначает цели, а не подтверждённые взломы. В перечне целей оказались:

• министерства иностранных дел в Латинской Америке, Европе, Азии и на Ближнем Востоке;
• американские предприятия полупроводниковой, оборонной и фармацевтической отраслей;
• телекоммуникационные провайдеры в США, Бельгии и на Филиппинах;
• МВД одной из стран Ближнего Востока.

Основной моделью стала китайская DeepSeek, а в одном эпизоде агенты планирования обработали около 1,4 млрд входных токенов. Оператор управлял процессом на китайском языке и поручал искать пароли администраторов домена и компьютеры без сенсора CrowdStrike Falcon. У греческой госорганизации агенты воспользовались экспортом каталога почтового сервера за 2022 год с оставшимися ключами аутентификации и получили доступ к почтовым ящикам.

Для российских компаний значение имеет сам инструмент. ARTEX разошёлся по форкам ScopeWeaver и коммерческой редакции ARTEX PRO даже после удаления исходного репозитория, а Active Directory, VPN и почтовые серверы, на которые нацеливались агенты, работают во множестве российских организаций.

Шумные, но быстрые

Google не считает фреймворки заменой опытным хакерам. В одном расследовании обращение к серверу оставило 240 записей в журналах, а система оставляла файлы с характерным префиксом artex-probe. Блокировка известных названий файлов и IP-адресов проблему не решит, поскольку злоумышленники могут сменить конфигурацию, прокси и модель. По оценке GTIG, преступники находятся на пятом этапе из семи, а самостоятельные многоагентные операции исследователи ожидают в срок от 1 до 3 месяцев. Полностью автономных атак без участия человека Google пока не нашла.

Google и Mandiant рекомендовали пересмотреть защиту с учётом скорости агентов:

• изолировать интерфейсы управления облаком от общедоступных сетей;
• заменить долгоживущие пароли и токены краткосрочными секретами;
• сегментировать сеть, чтобы взлом одного сервера не открывал доступ к остальным системам;
• отслеживать поведение, в том числе массовую проверку прав доступа.

Российским ИБ-командам стоит проверить, не остались ли в старых резервных копиях каталогов и почтовых серверов действующие ключи аутентификации, как у греческой госорганизации.

Эксперты CISOCLUB отметили, что главный эффект ARTEX и его аналогов заключается в снижении порога входа, ведь один оператор теперь ведёт несколько операций, на которые раньше требовалась команда. Закрытие репозитория ничего не изменило, поскольку форки и коммерческие редакции уже в обращении. Защите придётся ориентироваться на поведенческие признаки, потому что имена файлов и адреса меняются за минуты. Приоритетом остаются базовые меры вроде управления привилегиями, краткосрочных секретов и сегментации. Полностью автономных ИИ-хакеров пока нет, но темп, с которым агенты сокращают время реакции защитников, уже требует пересмотра регламентов.

Ранее сообщалось, что четыре ранее неизвестные хакерские группировки с мая по август 2026 года использовали автономных ИИ-агентов для атак на компании. Согласно отчёту CrowdStrike, опубликованному 21 октября, злоумышленники поручали языковым моделям проводить разведку, искать уязвимости и извлекать данные. Чтобы обойти встроенные механизмы защиты ИИ, они представляли вредоносные действия как разрешённое тестирование на проникновение. Об исследовании рассказало издание WIRED.

Meta Platforms признана в России экстремистской и её деятельность запрещена.