ИИ-агенты взломали более 100 компаний, а хакер потратил на это около 5000 долларов

Китайскоязычный хакер поручил автономным ИИ-агентам атаковать сайты компаний из США, Канады, Австралии и Японии, и число попыток проникновения превысило 1200. По оценке исследователя NorForge Снорре Фагерланда, на работу ИИ-инструментов ушло около 5000 долларов, то есть примерно 50 долларов на каждый успешный взлом. Среди пострадавших оказались Deere, SharkNinja и Cummins.

Как сообщило агентство Reuters, Снорре Фагерланд, ведущий исследователь угроз в NorForge, обнаружил эту активность при изучении открытых экземпляров Cairn, платформы с открытым кодом для работы ИИ-агентов. Примерно со 2 октября он выявил около двух десятков доступных из интернета экземпляров, часть которых использовалась для атак на реальные компании.

Названий пострадавших организаций в отчёте, подготовленном для публикации, нет, их установили журналисты Reuters, сопоставив активность хакера в Cairn с данными о затронутых ресурсах.

Меньше 100 иероглифов

Активная фаза началась 25 сентября. Преступник направил цифровых помощников против интернет-магазинов в четырёх странах, а исходные инструкции заняли менее 100 китайских иероглифов. В них коротко обозначили предпочтительные способы проникновения, и дальше агенты действовали самостоятельно по цепочке:

• поиск уязвимостей на сайтах компаний;
• проверка найденных слабых мест;
• разбор результатов и выбор дальнейших действий;
• получение доступа к чужим системам.

К концу прошлой недели попыток взлома набралось больше 1200, а на один успешный уходило около 23 часов. По оценке Снорре Фагерланда, преступник использовал инструменты китайской DeepSeek и Claude Code от Anthropic и потратил на токены около 5000 долларов. В эту сумму не входят все расходы хакера, но она скромна по сравнению с затратами на команду специалистов.

Самым показательным Снорре Фагерланд назвал случай, когда агенты не нашли слабых мест в публичном приложении крупной компании. Они изучили цифровые записи инфраструктуры, обнаружили доступную из интернета панель управления, нашли малозаметную ошибку в обработке данных и добились выполнения вредоносных команд на сервере. Способность перестраивать план после неудачи превращает агентов из ускорителя работы в самостоятельного участника атаки.

Что ответили компании

Журналисты Reuters не смогли установить, сколько атак закончилось доступом к данным. Две небольшие компании сообщили о взломах, остальные на запросы не ответили. Крупные корпорации описали последствия по-разному:

• Deere сообщила о восстановительных мероприятиях и отсутствии признаков доступа к конфиденциальной информации;
• SharkNinja пояснила, что атака затронула отдельный сайт поддержки продукции, а угрозу удалось локализовать;
• Cummins начала проверку возможной атаки на веб-ресурс, которым управлял сторонний поставщик.

Создатель Cairn отрицает умысел

Автор Cairn под псевдонимом le1xia0 подтвердил получение сообщения от Reuters, но на вопросы журналистов не ответил. Ранее на платформе X он объяснял, что создал архитектуру для взаимодействия нескольких ИИ-агентов, а вредоносное применение не соответствовало его намерениям. Открытый исходный код не позволяет автору контролировать, как программой воспользуются после публикации.

Китайскоязычный хакер оказался не единственным в новой волне автоматизированной преступности. Один из выявленных Снорре Фагерландом злоумышленников похитил массив сведений о банковских картах, другой пытался заставить ИИ-агентов ограбить криптовалютную биржу. Масштаб подтверждают и другие случаи:

• в августе компания Gambit Security обнаружила, что русскоязычные вымогатели применяли ИИ-инструмент Cursor для проникновения в семь организаций;
• в сентябре она описала кампанию агентов против 25 компаний с кражей не менее 600 тысяч записей о банковских картах;
• на прошлой неделе Bitsight сообщила о резком росте обсуждений автономных агентов на преступных форумах;
• Южная Корея и Япония в последние недели столкнулись с серией громких атак, которые связывали с ИИ.

Один человек способен запустить несколько агентов, поручить им разные цели и не контролировать каждый запрос, поэтому подготовка масштабной кампании занимает меньше времени. Защитникам приходится противостоять системе, которая работает часами и меняет тактику, а обнаружение одного агента не останавливает операцию. Снорре Фагерланд работает в отрасли почти 30 лет и прежде полагал, что агентам потребуется минимальный надзор человека, но наблюдения за кампанией заставили его пересмотреть оценку.

Российским интернет-магазинам и другим компаниям с публичными сайтами стоит пересмотреть, до чего можно добраться снаружи, потому что автономный исследователь проверит не только витрину:

• публичные приложения и сайты;
• панели управления, открытые для доступа из интернета;
• вспомогательные сервисы;
• системы подрядчиков и сторонних поставщиков.

Эксперты CISOCLUB отметили, что цена в 50 долларов за успешный взлом меняет экономику киберпреступности, потому что порог входа для атаки на сотни сайтов теперь определяется бюджетом на токены, а не составом команды. Короткая инструкция и несколько часов работы агентов заменяют многодневную ручную разведку, поэтому число атакуемых сайтов будет расти быстрее, чем число защитников. Главный риск лежит в забытых панелях администрирования, тестовых стендах и сайтах подрядчиков, где одна малозаметная ошибка открывает путь к серверу.

Агент, который 23 часа подряд перебирает варианты, оставляет в журналах заметный след, и лимиты на число запросов, мониторинг аномального трафика и закрытие лишних сервисов способны сорвать атаку. Российским компаниям нет смысла ждать собственных громких инцидентов, потому что открытые платформы вроде Cairn и модели вроде DeepSeek доступны любому желающему, а русскоязычные группы уже применяли ИИ-инструменты в реальных атаках.

Ранее сообщалось, что китайскоязычную хакерскую группировку Red Heron подозревают во взломе 996 устройств и краже 18 566 записей из систем, связанных с государственными учреждениями и силовыми структурами западных стран. По данным исследователей, злоумышленники использовали уязвимости WordPress и ошибку в коммутаторах ZyXEL, после чего атаковали оборудование и ПО Ubiquiti, PAN-OS и ещё нескольких десятков продуктов. Кампанию обнаружили специалисты GreyNoise с помощью собственной сети сенсоров Global Observation Grid.