Злоумышленнику больше не нужно вручную проходить каждый этап атаки. Например, открытый фреймворк CyberStrikeAI сам подбирает инструменты, запускает команды и анализирует результаты — человеку остаётся поставить общую задачу. Этот подход уже применяется в реальных вторжениях: на скомпрометированных машинах остаётся обычный C2-агент, а решения принимаются на стороне атакующих.
Владислав Шелепов, аналитик угроз GSOC компании «Газинформсервис», отметил:
«CyberStrikeAI интересен тем, что злоумышленнику больше не обязательно вручную выполнять каждый этап атаки. Он может поставить общую задачу, а фреймворк будет сам подбирать инструменты, запускать команды и анализировать результаты. Как мы видим, его уже используют в реальных атаках. В ближайшее время таких решений станет больше. Для менее опытных злоумышленников это возможность проводить атаки, на которые раньше могло не хватить знаний или навыков. А более подготовленные группы смогут автоматизировать часть своей работы и проводить атаки намного быстрее. Похожие инструменты с ИИ будут активнее появляться и у специалистов по ИБ».
По оценке эксперта, для SOC принципиально новых подходов к обнаружению не требуется — меняется прежде всего скорость:
«Не так важно, кто запускает команды и пытается получить доступ к другим системам — человек или нейросеть. Следы этих действий всё равно остаются в инфраструктуре. Так что искать конкретно CyberStrikeAI особого смысла нет. Гораздо полезнее отслеживать сами действия атакующих. Правда, из-за автоматизации отдельные этапы атаки могут проходить быстрее, и у команды ИБ будет меньше времени, чтобы её заметить и остановить».
Атаки не принесли принципиально новых уязвимостей — входными точками оставались открытые административные интерфейсы, устаревшие веб-системы, учётные данные по умолчанию или избыточные привилегии сторонних приложений. Но автоматизация оркестрации сжала время реакции защитников с дней до часов. Чем быстрее автоматизируется атака, тем ценнее становится скорость обнаружения на стороне защиты.
