ИИ-агенты уже проводят кибератаки почти без участия человека, самостоятельно пишут программы, ищут пути проникновения и исправляют собственные ошибки. Исследователи Wiz разобрали три реальных взлома и обнаружили характерные следы машинной работы, которые помогают отличить её от действий обычных хакеров.
В первом случае злоумышленники проникли в доступный из интернета сервер Flowise, платформы для создания ИИ-приложений. Обойдя проверку доступа, атакующие получили возможность запускать системные команды. Затем взломанный сервер превратили в площадку для атак на десятки других экземпляров Flowise.
За сутки атакующие создали 99 разных скриптов. Новые программы появлялись каждые одну-две минуты, проверяли доступность целей и подбирали дальнейшие действия. В коде сохранились подробные планы на естественном языке, а одна программа прямо объясняла, почему предыдущая версия неправильно проверяла API-ключи и как исправить ошибку.
Вторую атаку Wiz наблюдала после взлома корпоративного шлюза на Java. За четыре с половиной часа злоумышленники выполнили 602 уникальных шага, проверяя 12 направлений атаки. Среди целей оказались Kubernetes, RabbitMQ, ArgoCD и внутренние службы. Неудачные запросы не останавливали процесс: инструменты меняли тактику и пробовали другие маршруты.
В третьем случае точкой входа стал GraphQL-сервис ИИ-агента с интерфейсом MCP. Атакующие добились выполнения команд, похитили облачные учётные данные и токены Kubernetes, закрепились в системе и распространили атаку на несколько контейнеров. За 21 час появились более 150 скриптов, а найденные файлы содержали 803 строки поясняющих комментариев.
Особенно показательной оказалась запись, в которой исполнитель сравнивал собственные результаты с работой «другого агента». В комментариях разбирались неудачные попытки доступа к базе и причины различий между запусками. Подобный след не доказывает полной автономности операции, но прямо указывает на участие агентной системы в технических действиях.
Wiz выделила семь признаков таких атак. Среди них непрерывная работа с переменным темпом, подробные пояснения в скриптах, самостоятельное исправление ошибок, перебор множества способов взлома и большое число временных файлов. Подобные действия дополняют уже известные сценарии агентных атак с использованием доверенных инструментов.
Обзор также приводит случаи с инструментами ARTEX и Hermes. В частности, группировка Storm-0940 использовала ARTEX для ускорения атак на клиентов ConnectWise Cloud Backup. В исследовании Wiz подчёркивается, что уровень автономности в разных эпизодах неодинаков, а часть выводов основана на косвенных признаках.
Скорость не всегда означает скрытность. Агенты перебирают десятки вариантов, создают лишние файлы и оставляют подробные журналы действий. Защитникам приходится связывать разрозненные события в облачных системах и быстрее блокировать подозрительную активность. При этом автоматизация атак уже позволяет злоумышленникам одновременно проверять гораздо больше целей.
