Хакерские группы доверили ИИ-агентам взлом компаний и обошли защиту моделей

Четыре ранее неизвестные хакерские группы с мая по август 2026 года проводили атаки с помощью автономных ИИ-агентов, следует из отчёта CrowdStrike, опубликованного 21 октября. Злоумышленники поручали языковым моделям разведку, поиск лазеек и вывод данных, а встроенные ограничения обходили, выдавая вторжения за разрешённое тестирование на проникновение. Об этом рассказало издание WIRED.

Все четыре группы оставили инструменты и рабочую инфраструктуру в открытых веб-каталогах, поэтому исследователи смогли изучить модели, настройки агентов и методы автоматизации. Преступники брали преимущественно Claude и DeepSeek, нередко более ранние версии, которые дешевле новейших, и подбирали модель под каждый этап операции с учётом различий в защите. По оценке CrowdStrike, ИИ уже автоматизирует значительную часть цепочки атаки, а в отдельных случаях цель достигалась менее чем за час.

Одна команда запускала весь процесс

Русскоязычная группа похитила клиентские корпоративные данные у американского поставщика CRM-систем, проникла в несколько SaaS-компаний и в организации, которые управляют дата-центрами в России, Кыргызстане и США. Среди целей оказался и государственный домен неназванной страны. Для российского рынка существенно, что под прицелом оказались площадки внутри страны, а значит, риски касаются и их клиентов.

Группа использовала Claude Code. Достаточно было запустить команду /pentest-setup, после чего агент шёл по семиэтапному процессу, в котором значились:

• изучение целевой среды;
• выбор способов эксплуатации найденных слабых мест;
• действия после получения возможности удалённого выполнения кода;
• инструкции по выводу данных.

Агент получает общую задачу и сам выбирает шаги, а человек задаёт направление и контролирует операцию. CrowdStrike не раскрыла названия пострадавших организаций. Деятельность группы связали с финансово мотивированной киберпреступностью.

Медицинские данные в Аргентине

Самой технически подготовленной оказалась группа, говорившая на испанском и английском. Она атаковала медицинские учреждения Аргентины и скомпрометировала не менее 15 организаций, а у одной из жертв похитила учётные данные и медицинские записи. Преступники собрали систему автоматизированного пентеста на базе открытого проекта PentestGPT, где работали два ИИ-агента. Supervisor определял следующую задачу, а Executor выполнял порученное. Серверы MCP, скрипты на Python и наборы инструкций помогали агентам пользоваться инструментами и выполнять отдельные операции.

Китайскоязычная группа держала список более чем из 20 потенциальных целей по всему миру. Она скомпрометировала государственные структуры двух стран и атаковала частные компании в Бразилии и США. Среди затронутых отраслей значились:

• биотехнологии и здравоохранение;
• розничная торговля;
• производство продуктов питания;
• технологии и туризм.

Индонезийскоязычная группа обошлась без сложной координации агентов и использовала 819 готовых навыков, преимущественно из открытых репозиториев GitHub. Исследователи связали её с компрометацией нескольких государственных доменов Индонезии и ряда частных организаций.

Как преступники обходили запреты

Все четыре группы пытались вытянуть из моделей действия, которые защитные механизмы должны блокировать. Приёмы сводились к следующему:

• подача вредоносной активности как легального пентеста или аудита собственной инфраструктуры;
• заранее подготовленные ответы на возможные возражения модели;
• файлы в рабочих каталогах агентов, создающие видимость официального разрешения на тестирование;
• смена модели или формулировки запроса после отказа.

Китайскоязычная группа выбрала более технический путь. По данным CrowdStrike, она применяла инструмент ClawGod, который пытался удалить из системного промпта Claude Code инструкцию CYBER_RISK_INSTRUCTION, запрещавшую помогать в разрушительных или несанкционированных атаках. Новые, ранее неизвестные уязвимости для описанных атак не понадобились, группы опирались на скорость автоматизации и слабые настройки сервисов, доступных извне.

Порог входа снижается

В CrowdStrike заявили, что автономные агенты снижают порог входа в киберпреступность. По прогнозу компании, в течение 12 месяцев подобные инструменты, вероятно, позволят менее подготовленным злоумышленникам проводить атаки масштаба организованных групп или структур, связанных с государствами. Человек при этом остаётся в цепочке, выбирает цели и направляет ИИ.

Организациям придётся следить не только за новыми уязвимостями, но и за тем, как быстро злоумышленники проверяют уже известные. Закрыть типовые точки входа помогают:

• своевременное обновление программ;
• ограничение внешнего доступа к сервисам;
• многофакторная аутентификация;
• контроль привилегий и мониторинг сервисных учётных записей.

Эксперты CISOCLUB отметили, что отчёт CrowdStrike лишает ИИ-атаки ореола экзотики. Для взлома хватило готовых наборов инструкций и привычных дыр в конфигурациях, поэтому базовая гигиена снова решает исход инцидента. Российским компаниям, которые держат облачные и хостинговые площадки, стоит пересмотреть порядок управления доступом и перечень внешних сервисов, раз дата-центры внутри страны попали в список целей. Отдельную проблему создают сами ИИ-агенты в корпоративном контуре, поскольку инструмент с правом запускать команды становится и целью, и возможным каналом утечки. Мониторинг аномальной активности даёт реальный шанс заметить вторжение на раннем этапе, пока человек остаётся в цепочке атаки.

Ранее сообщалось, что связанная с Китаем хакерская группировка Storm-0940 взломала сервис ConnectWise Cloud Backup и применила автономный инструмент на базе ИИ для атак на сотни организаций по всему миру. По данным Microsoft, автоматизация позволяла злоумышленникам получать привилегированный доступ к облачной инфраструктуре менее чем за три часа после начала атаки. В ответ ConnectWise отключила три сервиса, из-за чего клиенты временно лишились возможностей резервного копирования, мониторинга и управления лицензиями.