Sophos анализира данни от собствените си системи за защита на крайни устройства за период от една седмица и установи, че AI агенти за кодиране като Claude Code, Cursor и OpenAI Codex задействат правила за засичане, предназначени за улавяне на човешки нарушители.

Агентите не са злонамерени. Те просто извършват множество действия, които за една система за поведенчески анализ изглеждат точно като атака.

Декриптирането на идентификационни данни от браузъра, извличането на списъци от хранилището за пароли на Windows, изтеглянето на файлове с вградени системни инструменти и писането в папката за автоматично стартиране (startup) отдавна са високосигнални индикатори за защитниците.

Това, което се е променило, е кой ги генерира. На наблюдаваните от Sophos машини това често е бил AI асистентът на разработчика, вършещ обичайната си работа.

Анализът се основава на седемдневна телеметрия от юни 2026 г., взета от поведенческата система на Sophos за Windows, като се броят уникални машини, а не общият брой събития. Това е тесен поглед върху флота на един доставчик, а не индустриално проучване.

Графиките на Sophos показват, че достъпът до идентификационни данни съставлява 56,2% от блокираната активност, а изпълнението на код – 28,8%: агенти, които посягат към съхранени тайни или изпълняват код по начин, подобен на атакуващите.

Най-голямото правило за достъп до идентификационни данни (42,6% от тази група) се задейства, когато процес използва вградения в Windows Data Protection API (DPAPI), за да декриптира съхранените данни за пароли в браузъра. Sophos посочва GStack като широко приет пакет от умения за кодиращи агенти.

Неговото умение /browse прави точно това, стартирайки PowerShell, който вика DPAPI за отключване на запазените данни в браузъра. Sophos го засече да работи под Claude Code. В контекст това почти сигурно е автоматизация на браузъра от името на потребителя. За системата за откриване обаче това е кражба на идентификационни данни и правилото правилно се задейства.

Някои примери с Python изглеждаха по-притеснително на хартия. В един случай Claude Code е затворил работещия браузър и е стартирал скрипт, който е извлякъл данни от неговото хранилище за пароли.

Отделно, той е стартирал cmdkey /list, за да изброи идентификационните данни, съхранявани в Windows Credential Manager. Sophos отбелязва, че Claude Code е работил тук с флаг --dangerously-skip-permissions – режим, срещу който собствената документация на Anthropic предупреждава и описва как администраторите да го блокират.

Когато един подход се провали, агентът опитва друг. OpenAI Codex е направил точно това, изтегляйки инсталатор на Python от официалния python.org, започвайки с certutil. Това е било блокирано, затова е преминал към bitsadmin. И двете са легитимни помощни програми на Windows, с които атакуващите редовно злоупотребяват за изтегляне на зловреден софтуер.

Целта е била безопасна, но изводът на Sophos е, че това поведение на пренасочване при блокиране е това, което отличава жив атакуващ от статичен скрипт, а добронамерените агенти вече го правят също.

Cursor е задействал правило за персистентност (устойчивост), използвайки PowerShell, за да запише скрипт в папката за автоматично стартиране (startup), който да се изпълнява при всяко зареждане на машината. Sophos не може да потвърди какво е правил скриптът, но писането в startup извън доверен инсталатор е нещо, което защитниците блокират веднага.

AI агенти от двете страни на барикадата

Обратната страна на монетата вече е видима. Месец по-рано Sophos документира атакуващ, който е използвал AI агенти за създаване и тестване на зловреден софтуер срещу EDR продукти, като един от тях е работил с Claude Opus 4.5 за координиране на работата.

Това е било по време на разработка – агенти, помагащи на атакуващ да напише по-добри инструменти. Но агентите биват обръщани и срещу собствените им потребители в реално време. В отделен случай изследователи показаха, че кодиращ агент може да бъде подведен да изпълни код на атакуващия чрез компрометирани входни данни – верига, която може да заобиколи EDR, тъй като агентът действа в рамките на доверената сесия на потребителя.

Това са отделни събития с различни задействани правила, но те споделят една и съща повърхност: повиквания за идентификационни данни от браузъра, изтегляния на LOLBin и записи в startup сега идват от добронамерени агенти, контролирани от атакуващи агенти и компрометирани агенти.

Ето защо самото действие вече дава по-малко информация, отколкото преди. И това е част от по-голяма промяна в начина, по който изглеждат пробивите. Докладът на CrowdStrike за глобалните заплахи през 2026 г. установи, че 82% от откритията през 2025 г. са били без използване на зловреден софтуер, като атакуващите са се придвижвали чрез валидни идентификационни данни и доверени инструменти вместо да записват файлове.

Тази промяна е и причината откриването на заплахи да се насочи към поведенчески анализ на първо място. Сега AI агентите генерират същото поведение по легитимни причини, пренаселвайки точните сигнали, на които защитниците свикнаха да разчитат.

Ако разработчиците изпълняват тези агенти под собствените си акаунти, очаквайте правилата за сигурност да се задействат на техните машини. Отговорът на Sophos е правилата да се разделят според това какво улавят. Шумът от изпълнението от страна на агент, който опитва отново да изтегли файл или излъчва странно форматиран PowerShell, обикновено може да бъде филтриран.

Правилото може да бъде свързано с родителския процес на агента (claude.exe, cursor.exe и техните дъщерни процеси), неговата работна област или temp път, или репутацията на целта за изтегляне. Това спира известен агент, вършещ обичайна работа, да генерира предупреждения.

Поведението, докосващо идентификационни данни, обаче е границата, която трябва да се държи здраво. Декриптирането на идентификационни данни от браузъра или изброяването на Credential Manager не става безопасно само защото е направено от агент вместо от човек, и един агент не трябва да получава общ достъп до хранилищата за пароли само защото работи под доверен потребител.