Российская компания по кибербезопасности Positive Technologies сообщила 2 ноября о расследовании успешного взлома неназванной российской организации, который, предположительно, полностью провели ИИ-агенты. От проникновения через внешний сервис до утечки конфиденциальной информации из критически важных внутренних систем прошло около трёх часов.
За это время атакующие получили доступ более чем к десяти узлам инфраструктуры на Linux и Windows. Они создавали и меняли инструменты под конкретные задачи, настраивали рабочее окружение и устанавливали необходимые программные компоненты.
По словам руководителя департамента комплексного реагирования на киберугрозы Positive Technologies Дениса Гойденко, на возможное применение ИИ указывают скорость и характер действий. Сложные технические операции сочетались с ошибками в синтаксисе команд и названиях компонентов. После неудачи атакующие быстро исправлялись или выбирали другой способ решения задачи.
Читайте также
Первоначальный доступ, как утверждают расследователи, был получен через ошибку в конфигурации внешнего сервиса, которую трудно обнаружить вручную. Затем атакующие параллельно пробовали разные способы продвижения по корпоративной сети. Такой темп сокращает время на обнаружение и остановку взлома: до кражи данных в этом случае прошло лишь около трёх часов.
Это первый случай в практике Positive Technologies, когда специалисты связали с ИИ-агентами всю успешную цепочку атаки — от поиска точки входа и продвижения по сети до утечки данных. Ранее компания наблюдала экспериментальные атаки с ИИ и применение таких инструментов на отдельных этапах.
Версия о полностью самостоятельной работе ИИ-агентов остаётся гипотезой Positive Technologies и не имеет независимого подтверждения.
Применение ИИ также может усложнить расследование: инструменты создаются и изменяются непосредственно во время атаки, а последовательность действий не всегда соответствует привычным сценариям работы хакеров.