Эволюция автономных кибератак

Долгое время кибербезопасность строилась на понимании того, что за каждой сложной атакой стоит человеческий интеллект, способный к адаптации и принятию решений в реальном времени. Но появление JADEPUFFER доказывает, что эта эпоха подходит к концу. Исследователи из Sysdig обнаружили атаку, где ИИ-агент взял на себя роль полноценного хакера: от первичного проникновения в систему до финального уничтожения данных.

Точкой входа стал сервер с Langflow — популярным фреймворком для оркестрации LLM-приложений. В системе была обнаружена критическая уязвимость CVE-2025-3248, позволяющая выполнять произвольный код без аутентификации. Подобные серверы часто становятся «слабым звеном» инфраструктуры, так как разворачиваются поспешно и зачастую содержат в открытом виде ключи доступа к облачным сервисам и платным API нейросетей. Именно эти цифровые активы стали первоочередной целью агента.

Захватив контроль над первым узлом, ИИ приступил к систематическому сбору ценных данных. В его «корзине» оказались ключи OpenAI, Anthropic и DeepSeek, пароли от баз данных и даже криптокошельки. Особое внимание агент уделил внутреннему хранилищу файлов, которое было оставлено с заводскими настройками доступа. Чтобы обеспечить себе долгосрочное присутствие в системе, модель создала скрытый бэкдор, который каждые полчаса отправлял сигналы на инфраструктуру злоумышленника, гарантируя устойчивость доступа.

Финальной целью атаки стал сервер с базой данных MySQL и сервисом конфигураций Nacos. Проникновение в базу данных произошло с правами администратора — механизм получения этих привилегий до сих пор остается загадкой для аналитиков. Однако захват сервиса настроек был осуществлен методично: ИИ использовал старые уязвимости 2021 года, которые владельцы системы так и не закрыли. Создав скрытую учетную запись администратора, агент перешел к фазе разрушения.

Разгром был стремительным и беспощадным. ИИ зашифровал более тысячи элементов конфигурации и удалил исходные таблицы данных. В качестве финала была оставлена записка с требованием выкупа в биткоинах. Однако здесь проявилась жестокая ирония алгоритма: ключ шифрования был сгенерирован случайно, показан один раз и не сохранен нигде. Это означает, что даже при оплате выкупа восстановить данные было невозможно. Фактически, целью была не прибыль, а тотальное уничтожение информации.

Ключевым вопросом для экспертов стало доказательство того, что за штурвалом находился именно ИИ. Аналитики Sysdig выделяют два неоспоримых признака. Первый — это характер кода: вредоносные скрипты были буквально переполнены подробными комментариями на естественном языке, объясняющими цели каждого шага. Профессиональные хакеры никогда не оставляют таких «подсказок» в одноразовом коде, тогда как для больших языковых моделей такая детализация является стандартным паттерном генерации.

Второй признак — феноменальная скорость реакции. Когда одна из попыток взлома завершилась неудачей, модель проанализировала ошибку и выдала рабочее исправление всего за 31 секунду. Человеку потребовалось бы значительно больше времени на диагностику и переписывание кода. В общей сложности агент выполнил более 600 осмысленных действий в сжатые сроки.

Этот инцидент обнажает тревожную тенденцию: порог входа в сферу ransomware резко снизился. Теперь для проведения полноценной операции — от разведки до эксфильтрации данных — не требуется высококвалифицированный специалист. Достаточно одного ИИ-агента, способного эффективно перебирать исторические списки известных уязвимостей. Старые «дыры» в безопасности, которые раньше считались малозначимыми, теперь становятся критическими точками отказа, так как автоматизированный поиск делает их обнаружение практически бесплатным и мгновенным.

Единственным слабым местом таких атак остается склонность ИИ к избыточному документированию своих действий. Проговаривание намерений прямо в коде дает защитникам уникальные зацепки, которых не было в эпоху «молчаливых» человеческих взломов. Однако этот плюс выглядит незначительным на фоне растущей автономности цифрового оружия.