Positive Technologies впервые расследовала кибератаку, полностью реализованную ИИ-агентами
Изображение: OpenAI
Специалисты департамента комплексного реагирования на киберугрозы Positive Technologies (PT ESC IR) впервые в своей практике расследовали успешную атаку на инфраструктуру российской компании, которая, предположительно, была полностью произведена ИИ-агентами. От первоначального проникновения через внешний сервис до утечки конфиденциальной информации из внутренних критически важных систем прошло около трех часов.
Атаку отличали высокая скорость и большое количество действий за короткое время. При этом некоторые шаги атакующих выглядели нелогичными с точки зрения человека. За считаные часы они получили доступ к более чем десяти узлам корпоративной инфраструктуры, используя разные способы доставки инструментов и адаптируя их под конкретные задачи.
В ходе атаки появлялись десятки скриптов, которые запускались на нескольких серверах с интервалом в секунды. Атакующие не только создавали и изменяли инструменты, но и настраивали рабочее окружение под свои задачи: устанавливали необходимые библиотеки и программные компоненты. При этом технически сложные действия сочетались с простыми ошибками — например, неверным синтаксисом команд или неправильными названиями компонентов. После неудачных попыток быстро следовали исправления или новые способы решения задачи.
«Мы уже наблюдали экспериментальные атаки с использованием ИИ, а злоумышленники давно применяют его на отдельных этапах. Но это первый случай в практике PT ESC IR, когда мы расследовали успешную атаку на инфраструктуру Linux и Windows, предположительно полностью проведенную ИИ-агентами. На это указывают скорость и характер действий. Агенты одновременно пробовали разные способы продвижения по инфраструктуре, допускали ошибки и практически сразу их исправляли. Атака была очень шумной и развивалась необычайно быстро. Примечательно и то, что первоначальный доступ был получен через ошибку в конфигурации внешнего сервиса, которую довольно трудно обнаружить вручную. Все это дает нам основания предполагать, что ИИ-агенты могли самостоятельно пройти всю цепочку атаки — от первоначального проникновения до утечки данных», — отметил Денис Гойденко, руководитель департамента комплексного реагирования на киберугрозы Positive Technologies.
Применение ИИ-агентов может существенно усложнить установление того, кто стоит за кибератакой. Инструменты создаются и изменяются непосредственно в ходе атаки, а последовательность действий не всегда соответствует привычным сценариям работы злоумышленников. В таких условиях специалистам сложнее опираться на характерные приемы и инструменты, которые традиционно помогают связывать атаки с конкретными группировками.
Развитие автономных атак меняет и требования к защите корпоративной инфраструктуры. Если раньше многие действия злоумышленников зависели от скорости работы человека, то ИИ-агенты способны выполнять множество задач за минуты. Это сокращает время, за которое защитникам необходимо обнаружить атаку и остановить ее развитие.
«В PT ESC IR мы всегда уделяли большое внимание автоматизации расследования и реагирования на киберинциденты. Но теперь меняется сам характер угроз. Если атаки начинают развиваться без постоянного участия человека, прежнего уровня автоматизации уже недостаточно. Защитникам нужны инструменты, способные с сопоставимой скоростью обнаруживать подозрительную активность, анализировать происходящее и помогать останавливать атаку. Именно над развитием таких возможностей мы сейчас активно работаем», — добавил Денис Гойденко.
