«Перша» атака з використанням штучного інтелекту-вимагача все ж потребувала людського втручання

Наталя Зарудня

Наталя ЗарудняГоловний редакторГоловний редактор та засновник CyberCalm. Маю понад 10 років досвіду роботи у сфері кібербезпеки та технологічної журналістики. Спеціалізуюся на темах захисту даних, мобільної безпеки, штучного інтелекту та соціальних мереж.Слідкувати: 08.07.2026Поділитися5 хвилин на читання

Експерти з компанії Sysdig, що спеціалізується на хмарній безпеці, повідомили про документування першого зафіксованого випадку використання «програмного забезпечення-вимагача на основі агентів». Йдеться про інцидент під назвою JadePuffer, де штучний інтелект-агент автономно здійснив повний цикл кібератаки, замість людини. Агент зміг проникнути на вразливий сервер, викрасти облікові дані, пересуватися по мережі жертви, зашифрувати файли та навіть створити записку з вимогою викупу, самостійно долаючи перешкоди, подібно до дій досвідченого кіберзлочинця. У багатьох джерелах цей інцидент описувався як проведений «без жодного втручання людини» та «без оператора за комп’ютером».

Зміст

Яка роль залишалася за людиною
Технічні аспекти нападу
Невідома модель, що керувала агентом
Очікувана кількість подібних кампаній

Яка роль залишалася за людиною

Однак, це не повна картина. У інтерв’ю виданню CyberScoop, Майкл Кларк, старший директор з дослідження загроз у Sysdig, пояснив, що людина все ж відігравала значну роль, але не в технічній реалізації. За його словами, саме людина відповідала за налаштування та ініціацію операції, забезпечення необхідної інфраструктури, включаючи командно-контрольний сервер та проміжний сервер для викрадених даних, а також за вибір цілі. Облікові дані, які були використані для отримання доступу до даних жертви, не були здобуті самим ШІ-агентом; вони були отримані в результаті попередньої компрометації та надані для цієї операції.

Технічні аспекти нападу

Жодне з цих доповнень не суперечить первинній заяві Sysdig, і технічні деталі атаки залишаються вражаючими. Агент використав відому вразливість у Langflow, популярному інструменті з відкритим кодом для розробки застосунків на базі великих мовних моделей (LLM). Після цього він перейшов до промислового сервера MySQL і, скориставшись іншою відомою вразливістю, отримав права адміністратора. В результаті було зашифровано понад 1300 конфігураційних записів. Атакуючий залишив не тільки записку з вимогою викупу, написану ним самим, але й вказав адресу для оплати в біткоїнах. Sysdig не розкриває, яка саме організація стала жертвою атаки.

Застосовані методи, здається, були досить стандартними; відмінність полягала лише у швидкості та прозорості дій. Агент виправив помилку при вході в систему за 31 секунду, постійно коментуючи свої міркування природною мовою в коді.

Невідома модель, що керувала агентом

Одна деталь, яка спочатку викликала плутанину, згодом отримала пояснення. Кларк розповів CyberScoop, що Sysdig зафіксувала «використання кількох моделей у ході атаки», згадавши отримані ключі для OpenAI, Anthropic, DeepSeek та Gemini. Це формулювання залишало невизначеним, чи справді різні моделі активно керували окремими етапами вторгнення. У відповідь на прохання про уточнення, Кларк повідомив TechCrunch, що ці ключі були лише частиною викрадених даних, а не доказом того, що саме вони керували діями агента.

За словами Кларка, агент досліджував Langflow хост на предмет будь-якої цінної інформації: API-ключів постачальників, облікових даних хмарних сервісів, криптогаманців та конфігурацій баз даних. Ключі постачальників стали частиною здобичі. Це вказує на те, що зловмисник вважав за потрібне викрасти, але не дає змоги визначити, яка саме модель приймала рішення.

Стосовно моделі, яка фактично керувала JadePuffer, Кларк зазначив, що Sysdig «не змогла ідентифікувати конкретну модель, яка керувала агентом», і не має доступу до її системних команд або конфігурації.

Теорія, висловлена дослідником Microsoft Джеффом Макдональдом у LinkedIn кілька днів тому, набуває актуальності в цьому контексті. Макдональд висловив припущення, що за атакою стоїть модель з відкритими параметрами, з якої було знято захисне навчання, а не передова модель. Це базується на його досвіді в red teaming, який показує, що захисні механізми провідних лабораторій ефективно протидіють атакам. Опис від самої Sysdig не підтверджує цю гіпотезу, але й не спростовує її.

Очікувана кількість подібних кампаній

У своєму дописі Макдональд також висловив занепокоєння, що кампанії з розповсюдження програм-вимагачів тепер обмежуються головним чином бюджетом зловмисника, а не людськими ресурсами, і припустив можливість «тисяч або десятків тисяч одночасних кампаній». Це занепокоєння дещо важче узгодити з тим, що описав Кларк. Якщо людина все ж повинна обирати кожну жертву, забезпечувати інфраструктуру та здобувати облікові дані баз даних для кожної операції, це створює принаймні певне обмеження.

У будь-якому разі, за словами Кларка в розмові з CyberScoop, хоча Sysdig поки не спостерігала, щоб та сама операція вражала інших жертв, з огляду на низьку вартість запуску агента, він очікує, що ця ситуація зміниться.

Будь ласка, залиште це поле порожнім

О, привіт
Раді знайомству!

Ми не розсилаємо спам! Ознайомтеся з нашою політикою конфіденційності для отримання додаткової інформації.

Перевірте свою електронну пошту або папку зі спамом, щоб підтвердити підписку.

КАТЕГОРІЇ:вимагацьке ПЗкібератакиШтучний ІнтелектПоділитисяFacebookThreadsКопіювати посиланняДрукВаша думка?В захваті0Сумно0Смішно0Палає0Овва!0Попередній матеріал