В течение последних нескольких недель исследователь в области кибербезопасности наблюдал, как хакер, говорящий на китайском языке, осуществил взлом веб-сайтов более чем у ста компаний. Среди пострадавших оказались производитель сельскохозяйственной техники Deere, компания по производству бытовой техники SharkNinja и производитель двигателей Cummins.
При этом сам хакер выполнил лишь незначительную часть работы, поскольку он почти полностью передал эту хакерскую кампанию искусственному интеллекту. Киберпреступник поручил агентам ИИ автономно проводить часы, сканируя и проникая на целевые сайты, согласно информации, предоставленной Снорре Фагерландом, ведущим исследователем угроз в компании NorForge.
В новом отчете Фагерланд сообщил, что данный хакер является одним из нескольких, которых он обнаружил во время поиска по сети случайно открытых экземпляров Cairn — платформы с открытым исходным кодом для решения задач с помощью ИИ, популярной среди хакеров. Примерно с 2 октября Фагерланд обнаружил около двух десятков случаев использования Cairn для злонамеренной деятельности, что позволило ему незаметно следить за действиями киберпреступников, когда они запускали свои инструменты ИИ в мире.
Отчет Фагерланда о хакере, говорящем на китайском, не называл жертв, однако Reuters смогла установить их личности, самостоятельно изучив активность этого хакера в Cairn.
На фоне растущей тревоги по поводу мощи автономных инструментов ИИ, Фагерланд отметил, что его находка представляет собой реальное доказательство того, что коммерчески доступные агенты ИИ способны проводить сложные вторжения от начала до конца без вмешательства человека, что значительно усиливает возможности одного злоумышленника. «Теперь это новый мир», — заявил Фагерланд. Reuters не смогла определить, в какой степени утечки привели к несанкционированному извлечению данных.
Инструкции были краткими
Компания Deere сообщила, что после инцидента предприняла «необходимые корректирующие действия» и «не имеет никаких признаков доступа к конфиденциальной информации». SharkNinja заявила, что взлом затронул автономный сайт, содержащий только информацию о поддержке продуктов, и что угроза была локализована. Cummins указала, что «расследует сообщение о потенциальной кибератаке на веб-сайт, эксплуатируемый одним из наших сторонних поставщиков».
Две небольшие компании также подтвердили факт компрометации. Другие жертвы, перечисленные в данных Cairn, не отвечали на сообщения. Один из хакеров, замеченных Фагерландом, похитил большой объем данных кредитных карт. Другой пытался заставить агентов ИИ ограбить криптовалютную биржу. Китайскоязычный хакер оказался самым активным. Начав 25 сентября, он запустил свою армию ИИ против сайтов электронной коммерции в США, Канаде, Австралии и Японии.
Их инструкции были очень лаконичными, описывая предпочтительные тактики вторжения менее чем на 100 китайских иероглифов. К концу прошлой недели их агенты попытались взломать более 1200 сайтов. Успешные проникновения обычно занимали около 23 часов сканирования на предмет уязвимостей.
Фагерланд подсчитал, что эта кампания, которая, по всей видимости, использовала комбинацию DeepSeek от Китая и Claude Code от Anthropic, потреблела примерно 5000 долларов США в виде токенов — единиц текста, которые обрабатываются моделями ИИ и за которые взимается плата — или около 50 долларов за один успешный взлом.
Фагерланд, имеющий почти тридцатилетний опыт работы в сфере кибербезопасности, был впечатлен некоторыми методами, использованными агентами. В одном случае, после того как агенты не смогли найти слабых мест в общедоступном приложении крупной компании, они проанализировали цифровые записи, чтобы найти связанную инфраструктуру, обнаружили общедоступную панель управления и выявили тонкую слабость в способе обработки данных. После многочасовых проб и ошибок они сообщили об использовании этой уязвимости для обмана сервера и принуждения его к выполнению вредоносных команд.
«Не так просто придумать такие решения», — отметил Фагерланд, добавив, что это «не уровень скрипт-кидди», то есть неопытных хакеров, полагающихся на готовые инструменты.
Автор Cairn, чей никнейм в социальных сетях — «le1xia0», не ответил немедленно на ряд вопросов. В недавнем посте в X он заявил, что платформа «является инновационным типом мультиагентной архитектуры и не предназначена для хакерских атак. Если она используется для осуществления вредоносных хакерских атак, это не мое намерение».
Способность агентных систем ИИ самостоятельно находить уязвимости, осуществлять вторжения и красть данные вызывает растущую обеспокоенность во всем мире. Злонамеренные агенты, непреднамеренно выпущенные крупными компаниями ИИ, взламывали компьютерные лаборатории, проникали на правительственные веб-сайты и совершали несанкционированные попытки социальной инженерии. В последние недели Южную Корею и Японию затронули серия широко освещаемых взломов, приписываемых киберпреступникам, использующим ИИ, включая взлом банков Южной Кореи, который компания по кибербезопасности CrowdStrike связала с китайским агентом ИИ и Claude Code.
Агенты ИИ все чаще становятся неотъемлемой частью подполья киберпреступников. В августе израильская фирма Gambit Security обнаружила, что русскоязычные вымогатели использовали Cursor, инструмент для написания кода на базе ИИ, принадлежащий SpaceX, для взлома семи организаций. В сентябре Gambit задокументировала волну атак, управляемую агентами ИИ, которая привела к нарушениям в 25 компаниях и краже не менее 600 000 записей кредитных карт. На прошлой неделе компания по киберразведке Bitsight сообщила о резком росте обсуждений способов использования автономных агентов на форумах киберпреступников.
Фагерланд ранее предполагал, что хакерские агенты потребуют хотя бы некоторого надзора. Теперь стало очевидно, что технология вышла за рамки этого. «Развитие в этой области поразительно», — заключил он.