Заголовок про кибератаку, которую от взлома до вымогательства провёл искусственный интеллект без единого человека за клавиатурой, разлетелся моментально — звучит именно так, как боятся все специалисты по безопасности. Исследователи из компании Sysdig описали операцию под названием JadePuffer, в которой AI-агент самостоятельно взломал уязвимый сервер, украл учётные данные, продвинулся по сети жертвы, зашифровал файлы и даже написал собственную записку с требованием выкупа. Но при ближайшем рассмотрении картина оказалась чуть менее киберпанковской, чем в заголовках.
Старший директор по исследованию угроз в Sysdig Майкл Кларк уточнил в интервью изданию CyberScoop: человек в этой истории никуда не делся, просто отошёл от технической части на шаг назад. Именно человек выбирал жертву, настраивал инфраструктуру для атаки — командный сервер, сервер для хранения украденных данных — и именно человек изначально добыл учётные данные для входа в базу жертвы через отдельную, более раннюю компрометацию. AI-агент получил уже готовый ключ от двери, а не подобрал его сам.
Технически атака при этом выглядит впечатляюще без всяких преувеличений. Агент проник через известную уязвимость в Langflow — популярном открытом инструменте для сборки приложений на базе языковых моделей, затем добрался до продакшн-сервера MySQL и через другую известную дыру получил права администратора. Зашифровал больше 1300 конфигурационных записей, сам написал текст выкупа и сам указал адрес биткоин-кошелька для оплаты. Поразила исследователей не техника взлома — она была довольно стандартной — а скорость и прозрачность процесса: агент исправил неудачную попытку входа за 31 секунду, комментируя каждый свой шаг человеческим языком прямо в коде.
Отдельная путаница возникла вокруг того, сколько именно моделей стояло за атакой. Кларк изначально упомянул, что среди похищенного агентом были ключи от OpenAI, Anthropic, DeepSeek и Gemini, что могло намекать на использование сразу нескольких моделей. Но при уточнении для TechCrunch он объяснил: агент просто собрал всё ценное с взломанного хоста, включая чужие API-ключи, — это была часть добычи, а не список инструментов атакующего. Какая именно модель реально управляла агентом, в Sysdig установить не смогли — нет доступа ни к системному промпту, ни к конфигурации. Исследователь из Microsoft Джефф Макдональд предположил, что за атакой скорее стоит открытая модель с удалённой защитой от вредоносных запросов, а не топовая модель от крупной лаборатории — по его опыту red-teaming, защитные механизмы фронтир-моделей обычно держатся крепче.
Главный вывод из истории — не в том, что AI научился вести кибератаки полностью самостоятельно, а в том, что порог входа в это ремесло резко упал. Раньше техническая часть взлома требовала квалификации и времени, теперь её может выполнить агент за считанные минуты, оставляя человеку только стратегические решения — кого атаковать и как монетизировать. Дешевизна запуска таких операций — это и есть настоящая новость, а не мифический сценарий «AI без всякого контроля». В Sysdig пока не видели повторного использования именно этой схемы против других жертв, но, учитывая копеечную стоимость запуска подобного агента, там ждут, что это лишь вопрос времени.
Во что узнать больше:
- Уязвимости Langflow: почему открытые инструменты для сборки LLM-приложений становятся точкой входа для взлома
- Модели с удалённой защитой от вредоносных запросов: как злоумышленники убирают safety-слои из открытых нейросетей
- Red-teaming в AI-лабораториях: как компании тестируют модели на устойчивость к использованию в атаках