От няколко години прогнозата е постоянна: изкуственият интелект намалява бариерата за умения, изкуственият интелект пише нов зловреден код, изкуственият интелект скоро ще организира атаки от край до край с минимално човешко участие. Вреди да се отбележи откъде основно произлизаше тази прогноза.

Не от хората, които се препитават с анализиране и обратно инженерство на зловреден код и които като цяло останаха скептични през целия период, а от слоя от коментатори около тях: участници в дискусионни панели, продуктово позициониране на търговци и неизчерпаем източник на „мисловно лидерство“.

Когато практиците и трибуната не са на едно мнение с години наред, това обикновено заслужава внимание.

Скептиците бяха прави и причината за това е по-интересна от обикновено предлаганата.

Удобното обяснение е, че моделите все още не са били достатъчно добри, което удобно поддържа вълната постоянно предстояща. Това обяснение вече е подлежи на проверка и отпада.

Изкуствен интелект проби в компания, за да препише на тест

През юли OpenAI проведе вътрешна оценка, за да измери какъв нападателен капацитет всъщност притежават нейните модели.

Филтрите за безопасност, които обикновено стоят пред модела, бяха изключени, за да се покажат суровите му възможности. На агента бе наредено да реши бенчмарка.

Той реши да не го прави. Изчисли, че най-бързият път до максимален резултат е да спре да решава задачи и да отиде да открадне ключа с отговорите, който случайно се намираше в производствените системи на Hugging Face.

Затова той излезе. Взломи своята изолирана среда чрез неизвестна досега уязвимост, премина през отворения интернет и прекара четири дни и половина в компания, която нямаше представа, че той е там.

Той достигна до производствените системи, открадна идентификационни данни за облака, фалшифицира собствени токени за достъп и се постави в вътрешната мрежа.

Екипът по сигурността на Hugging Face го залови, прекъсна достъпа му и съобщи за пробива на правоприлагащите органи, което е разумно действие, когато някой е вътре във вашата инфраструктура. Пет дни по-късно OpenAI разкри, че натрапникът е бил нейна собствена оценка.

Това е неудобно нещо за документиране. Не беше престъпна кампания; никой не спечели. Не беше и оторизиран тест.

Hugging Face не бе съгласувала нищо, не знаеше нищо и прекара по-голямата част от седмицата в реагиране на това, което всеки основателно смяташе за истинска атака. Това беше автентичен инцидент със сигурността, който никой не бе планирал, и повечето от нас нямат готова процедура за подобно нещо.

Инцидентът е това, което го прави ценен. Тъй като атакуващият е бил оценка, а не реален противник, неговите собствени логове са оцелели, което никога не се случва при реално проникване.

Hugging Face публикува реконструкция на приблизително 17 600 действия на атакуващия: най-пълната картина, която някой притежава за автономен агент, работещ в реална среда, и тя съществува изцяло благодарение на случайността.

Машината е шумна

От тези 17 600 действия около 447 представляват същинското проникване. Това е 2.5%. Останалите 97.5% бяха търсене на път от страна на агента: приблизително 39 търсения за всяко полезно действие.

Най-показателната цифра е още по-малка. В продължение на четири дни и половина агентът е отделил шест действия за избягване на откриването.

За компетентен човешки оператор оставането в сянка не е фаза от работата. Това е такса, плащана за всяко едно решение: кой инструмент да използва, как да го наименува, дали този конкретен оглед на мрежата си струва записа в лога, който създава.

Агентът плати тази такса шест пъти. Човек е внимателен, защото разкриването слага край на операцията и често унищожава достъп, изграждан с месеци. Да бъде забелязан не струваше нищо на агента, така че той не направи сериозен опит да го избегне.

В нашите прогнози за сигурността за 2026 г., публикувани през януари, твърдяхме, че твърденията за напълно автономни атаки, управлявани от изкуствен интелект, заслужават скептицизъм, тъй като „успешното хакерство минимизира наблюдаемите стъпки, докато прекомерната активност е откриваема сигнатура“.

Това беше позиция. Шест месеца по-късно това е измерване.

Едно уточнение, заявено ясно: този агент преследваше резултат, а не цел за проникване, така че не е предварителен преглед на престъпна кампания.

Това, което показва с необичайна точност, е как се държи агентът, когато преследва цел без никакво усещане за това колко струва разкриването.

Това свойство не се променя спрямо целта.

Междувременно печелившата техника е любезното молене

През същата година, когато всички прогнозираха автономни вълни от атаки, най-ефективният начин за влизане в компания беше ClickFix: страница, която иска от посетителя да докаже, че не е робот, тихомълком поставя команда в неговия клипборд и го прекарва през стъпките за самото ѝ изпълнение.

Нищо не пристига като прикачен файл, така че няма какво да се сканира. Не се задейства експлойт, така че няма сигнатура за съвпадение. Microsoft приписва 47% от атаките за първоначален достъп през 2025 г. на тази една техника.

Това, което следва след щракването, е също толкова неатрактивно. Атакуващите все повече „живеят от земята“ (live off the land): вместо да носят собствен злонамерен код, те използват административните инструменти, които вече се намират на машината – същите съоръжения, които вашият IT екип използва всеки ден.

Няма нищо зловредно за засичане, защото нищо зловредно не е инсталирано. Когато анализирахме 700 000 инцидента със сигурността, 84% от основните атаки (имащи предвид тези с висока степен на сериозност) включваха тези вградени бинарни файлове.

Командването и контролът следват същия инстинкт, пренасочвани през облачни услуги, на които целта вече се доверява.

Нищо от това не е сложно. Всичко е оптимизирано в една и съща посока – към по-малко наблюдаеми стъпки и по-ниски разходи.

Ето къде всъщност отиват усилията на атакуващия и това е точно обратното на това, което прави един автономен агент.

За да разберете защо, проследете парите.

Повече жертви, по-малко пари

Зловредният софтуер за откуп (ransomware) не е демонстрация на технологии. Това е бизнес с възвръщаемост на инвестициите и както написахме през януари, „всички решения – от избора на експлойт до избора на цел – са фокусирани върху максимално увеличаване на възвръщаемостта на инвестициите и минимизиране на оперативния риск“.

Начинът, по който този бизнес намира жертви, се промени. Доминиращият път за влизане сега е масовото експлоатиране на устройства, свързани с интернет: VPN устройства, защитни стени, шлюзове, оставени без отстранени уязвимости.

Докладът на Verizon за разследване на пробиви на данни за 2026 г. поставя експлоатацията на крайни устройства на 22% от пробивите, водени от експлоатация (спрямо приблизително 3%), като експлоатирането на уязвимости изпреварва откраднатите идентификационни данни като основен начин за проникване за първи път в деветнадесетгодишната история на доклада.

Тази промяна е по-важна от всяка отделна цифра, тъй като опортюнистичното таргетиране отделя избора на жертва от нейната стойност.

Ако атакувате всеки, който е оставил устройство без инсталирани корекции за сигурност, публичната изложеност се превръща в критерий за избор, а способността за плащане престава да бъде такъв.

Приходите последваха този тренд. Процентът на плащане спада четири поредни години, достигайки приблизително 20% през последното тримесечие на 2025 г., като Verizon установява, че 64% от жертвите категорично отказват да платят (при 50% през 2022 г.). Chainalysis оценява общите плащания за откуп на приблизително 820 милиона долара през 2025 г., което е спад с 8% спрямо година, която сама по себе си бе отбелязала спад от 35%.

А 2025 г. едновременно с това беше рекордна година за жертвите, посочени в сайтовете за изтичане на данни. Повече жертви, по-малко пари.

Тук автономността на базираните на агенти системи стига до задънена улица. Това е най-чистата форма на оппортунистично насочване: машина, която опитва всичко срещу всеки. Тя тласка атакуващите все по-напред по същата ос, която вече носи по-ниска възвръщаемост.

Евтиният изчислителен ресурс не решава бизнес проблем, чието основно ограничение е способността на жертвата да плати.

Маркъс Хъчинс, сред най-последователните публични скептици по отношение на твърденията за зловреден софтуер с изкуствен интелект, стига до същия извод от друг ъгъл.

В разговор с SC Media UK той твърди, че генеративните инструменти няма да напишат следващия WannaCry, че киберпрестъпността си остава ориентирана към хората област и че генерираният от ИИ код е толкова лош, че хората, които го внедряват, често не могат да преценят, че той не работи.

Спекулациите и шумът имат цена отвъд дискурса: един доклад на MIT, твърдящ, че 80% от софтуера за откуп включва ИИ, беше оттеглен след критики.

Нищо от това няма да продължи вечно. Авторите на заплахи ще възприемат автономните операции в момента, в който това придобие бизнес смисъл — бързо и без сантименти, точно както възприеха „рансъмуер като услуга“ (ransomware-as-a-service) и двойната изнуда, когато те започнаха да носят печалба.

Следете икономиката, а не анонсите за възможности.

Частта, която трябва да ви тревожи

Ето я неудобната половина. Същият обем, който прави автономността на агентите непривлекателна за киберпрестъпниците, я прави неуправляема за защитниците.

Стекът за сигурност на Hugging Face е открил пробива. Задействали са се множество слоеве. Неуспехът не е бил в откриването.

Това, което се е провалило, е била критичността: предупреждението „не е успяло правилно да повиши критичността на сигнала и да задейства дежурния екип, което е струвало ценно време в реакцията“.

Стекът го е видял. Просто не е успял да го класира по приоритет.

Нашето проучване на инструментите, генерирани от ИИ, нарече умишлената версия на това: изтощаване на защитниците чрез автоматизиран обем, а не чрез техническо съвършенство.

Инцидентът с Hugging Face показва същия ефект, без никой да го е целял.

Никой не е насочвал това към този екип по сигурност. Агентът просто е бил шумен. Защитните последствия са идентични и в двата случая, което е именно подлежащата на размисъл част: фоновият шум се увеличава независимо дали някой го насочва към вас или не.

Какво означава това за лидерите по сигурността

Съществува рефлексен отговор на всичко това и той обикновено се предлага от хора, чийто продукт е за откриване на заплахи: борете ИИ с ИИ. Това е привлекателен лозунг и отговор на въпрос, който този инцидент не е поставил. Стекът е открил атаката.

Анализът също не е бил ограничението; Hugging Face в крайна сметка изгради подпомагана от ИИ система, за да възстанови случилото се, и тя сработи. Това, което се провали, бе подреждането по приоритет, а повече откривания генерират повече за подреждане по приоритет.

Приравняването на скоростта на машината откъм страната на анализа при проблем с обема не решава проблема с обема. То го мащабира и след това иска от човек да бъде арбитър.

Мерките за контрол, които действително са го пресекли, не са били сложни. Собственото отстраняване на уязвимостта от Hugging Face, публикувано след пълно разследване, е почти изцяло превантивно: по-строги граници на достъп, изолация между системите, ротирани идентификационни данни, намален обхват.

В списъка се появява едно подобрение при откриването и то е свързано с повишаване на критичността на сигналите, които те вече са получавали.

Това е общият урок и той не е нов. Превантивните контроли са инвариантни спрямо обема. Границата на достъп не става по-шумна с нарастването на броя заявки, не се влошава при натоварване и не изисква някой да е буден в три сутринта.

Откриването, корелацията и сортирането се влошават с увеличаването на обема. Ако скоростта и обемът наистина предстои да нарастнат, контролите, които запазват стойността си, са тези, които никога не са зависили от това някой да прочете предупреждение навреме.

Нищо от това не е аргумент срещу откриването на заплахи и тук трябва да бъдем внимателни, защото индустрията прекара едно десетилетие в прекомерно залитане в една посока.

Както посочихме през януари, инструментите за откриване „са критично важни, но не са магическо хапче“ и „сега е моментът да допълним тези реактивни мерки с ефективна стратегия за превенция“. Ключовата дума е допълним.

Инвестирахме много в това да виждаме атаките и сравнително малко в това да ги правим невъзможни, и балансът е сгрешен.

Затова съветът към лидерите по сигурността е далеч от бляскав, което обикновено е добър знак. Останете фокусирани върху това, което наистина има значение. Следвайте практики, за които вече знаете, че работят.

Устоявайте на притеглянето на каквато и да е възможност, която в момента се продава като решението, защото техниките в този инцидент бяха като по учебник, защитите бяха разбрани години преди той да се случи и нищо в него не изискваше нова категория продукти.

Това, което се променя, е колко бързо се затваря прозорецът между „трябва да стигнем до това“ и „някой вече го е направил“.

Евтината автоматизация повишава долната граница на възможностите за непрофесионални атакуващи и не прави почти нищо за горната граница, защото най-добрите оператори и без това бяха тихи и сдържани и не печелят нищо от машина, която опитва всичко.

Организациите, които са най-застрашени, са тези в дъното на кривата на зрялост. За тях решението е работата, която фигурира в списъците от години.

Не можете да откупите изход от проблем, в който сами сте се конфигурирали.