Подросток из Эфиопии взломал 14 компаний с помощью Claude и Codex, не имея серьёзных навыков программирования

Специалисты OALABS разобрали свыше 1000 сессий работы ИИ-агентов Claude Code и Codex, которые применялись при атаках на корпоративные инфраструктуры. Разбор показал, что нейросетевые помощники реально снижают планку входа в киберпреступность до такого уровня, при котором сложные операции выполняет почти кто угодно.

Журналы оказались у аналитиков из-за оплошности самого атакующего. Он развернул Claude и Codex не на своей машине, а на чужом сервере, владелец которого заметил постороннюю активность, сохранил рабочие каталоги и передал материалы команде OALABS. В руки исследователей попали:

• запросы атакующего к моделям;
• внутренние рассуждения агентов;
• список задействованных утилит и скриптов;
• сообщения о срабатывании встроенных защит;
• следы коммуникации с командными серверами.

Интересно, что во многих случаях атакующий давал лишь расплывчатые подсказки, а Claude сам исследовал сервисы, находил дыры, писал эксплойты, проверял доступ и выгребал данные, отмечают в OALABS.

Формулировки запросов поражали примитивностью. Человек писал что-то вроде «проведи разведку» или «найди дыры», после чего агент сам сканировал систему, выбирал точки входа, подбирал техники эксплуатации и шёл дальше по цепочке. Технической подготовки у атакующего почти не прослеживалось, и львиную долю интеллектуальной работы тащила на себе модель.

Обход защитных политик строился на ролевых уловках. Атакующий выдавал свои действия за санкционированный пентест либо учения красной команды, убеждая Claude и Codex воспринимать запросы как часть легального аудита. Модели периодически соглашались с такой подачей и продолжали работу.

В рамках атак агенты задействовались для:

• поиска уязвимых сервисов в периметре жертв;
• разбора сетевой топологии и внутренних связей;
• написания пользовательских эксплойтов под конкретные баги;
• эксплуатации найденных слабых мест;
• сбора учётных записей и чувствительных файлов;
• составления отчётов по итогам проникновения.

После успешного проникновения Claude самостоятельно собирал развёрнутые отчёты о методах получения доступа и прикидывал, сколько могут стоить украденные данные. Когда речь заходила о монетизации, модели нередко блокировали запросы, но в итоге всё равно выдавали варианты — вымогательство, продажа доступов, схемы с компрометацией корпоративной почты и прочие криминальные сценарии.

Стоит обратить внимание, что документация в журналах подтверждает компрометацию минимум 14 организаций, при этом доказательств реальной денежной выгоды для атакующего исследователи не нашли.

Оперативная безопасность у самого взломщика оказалась дырявой насквозь. В одной из сессий он попросил Claude отредактировать резюме со своим именем, данными об образовании и ссылкой на профиль в LinkedIn. Позже при разборе одного из серверов атакующий случайно скормил агенту домашний IP-адрес. Сопоставив все цифровые следы, аналитики пришли к выводу, что за атаками, скорее всего, стоит молодой житель Аддис-Абебы.

Раньше для подобных операций требовались годы погружения в реверс, эксплуатацию памяти и разработку эксплойтов. Теперь основную часть рутины тянут сами агенты, а человеку остаётся роль постановщика задач уровня «сделай красиво». OALABS подчёркивает, что наблюдаемая картина — это не разовый казус, а демонстрация нового порога входа в наступательные операции.

Ранее сообщалось, что Anthropic отключила доступ к моделям Claude Fable 5 и Claude Mythos 5 после экстренного предписания американских регуляторов. Ограничения распространились на всех иностранных пользователей вне зависимости от их местонахождения и затронули даже сотрудников компании, не имеющих гражданства США. Остальные модели Anthropic продолжили работу в обычном режиме.

Также ранее мы писали о том, что более 50 специалистов по информационной безопасности выступили против ограничений, введённых в отношении моделей Claude Fable 5 и Claude Mythos 5. Эксперты подписали открытое письмо с требованием снять запрет, заявив, что недоступность этих систем негативно влияет на исследования в области кибербезопасности и ограничивает возможности профессионального сообщества по анализу современных угроз.

Эксперты редакции CISOCLUB убеждены, что описанный случай станет переломным моментом в обсуждении ответственности разработчиков ИИ-агентов. Защитные политики моделей пока легко обходятся ролевыми уловками вроде «я провожу пентест», и это превращает агентов в универсальный инструмент атаки в руках людей без квалификации.

В ближайшие месяцы стоит ждать роста числа подобных инцидентов и появления на чёрном рынке готовых промпт-наборов под автоматизированные атаки. Корпоративным командам пора пересматривать модели угроз с учётом того, что разведку и эксплуатацию против них будет вести не человек с экспертизой, а связка из посредственного оператора и продвинутого агента. Разработчикам ИИ предстоит серьёзно усилить поведенческие фильтры и научиться распознавать многошаговые цепочки атакующего интента, а не отдельные подозрительные запросы.