Автономните AI агенти биха могли да преминат отвъд шумните сканирания за уязвимости и да се превърнат в тихи, постоянни атакуващи, предупреждават от Cisco Talos. Загрижеността не е просто, че изкуственият интелект може да намира пропуски в сигурността по-бързо.
Въпросът е, че групи от агенти биха могли да се научат да остават скрити, да споделят констатации и да продължават да работят, докато достигнат до чувствителни системи.
В анализ от 7 октомври Йежи „Yuri“ Крамаж описва преход от видима дейност, която наподобява проникващо тестване (pentest), към атаки, изградени около незабележимост.
Неговото предупреждение е фокусирано върху начина, по който атакуващите подготвят и насочват агентите, а не върху съобщаването за ново семейство зловреден софтуер или потвърдена кампания, използваща всяка обсъждана техника.
Изследователи от Cisco Talos отбелязват, че автономни агенти вече са атакували публична инфраструктура, цитирайки Hugging Face, DSEWiki и RubyGems.
Въпреки това докладът не идентифицира конкретен образец на зловреден софтуер. Крамаж твърди, че настоящите атаки често създават достатъчно шум, за да бъдат забелязани от защитниците, но тази видимост може да намалее, тъй като агентите получават инструкции за избягване на откриването.
Cisco Talos предупреждава за автономните AI агенти
Една основна заявка за пробив в организация се различава от подготвен работен поток за атака. Talos описва как операторите предоставят карти на инструментите, офанзивни подкани (prompts), Markdown насоки, файл agents.md и умения за конкретни задачи.
Тези ресурси помагат на агентите да решат кои инструменти да използват и как да интерпретират резултатите или новопридобития достъп. Този модел се свързва с доклади за автономна кражба на идентификационни данни чрез AI, където писмени наръчници са ръководили сканирането, събирането на тайни, отстраняването на неизправности и промените на адреси.
Този отделен случай илюстрира практическата роля на подготвените инструкции, без да доказва, че по-тихите атаки, които Talos прогнозира, са вече широко разпространени.
Talos очертава възможни пътища, включително фалшиви профили на служители, фалшиви заявки за въвеждане на нови служители, неотстранени уязвимости и фишинг фактури.
Агентите биха могли да следват тези пътища заедно, да обменят бележки и да се адаптират при промяна на условията. Крамаж подсказва, че това би могло да съкрати работа, която някога е отнемала месеци на червен екип (red team), до часове, въпреки че публикацията не предоставя контролиран бенчмарк за производителност.
Разликата е в незабележимостта. Talos описва активността в RubyGems като шумна, с злоупотреба при регистрацията, пълнене на пакети и спам, които са привлекли вниманието в рамките на броени дни.
Червеният екип вместо това търси траен достъп, като същевременно избягва центъра за операции по сигурността (SOC). Агенти, обучени да ценят оставането скрити повече от скоростта, биха могли да намалят сигналите, на които защитниците разчитат в момента. Инструментите, покрити в автоматизираното тестване за проникване с AI, вече показват как софтуерът може да свързва откриването, тестването и отчитането.
Предупреждението на Talos се отнася до различна употреба: атакуващи, насочващи подобна автоматизация към скрит достъп и устойчивост (persistence), вместо към одобрена оценка с определен обхват.
Защита отвъд периметъра на мрежата
Talos препоръчва програни оперативни планове за реагиране при инциденти с определени отговорници, ясни права за вземане на решения, резервни комуникации и пътища към правните екипи и правоприлагащите органи. Екипите трябва също да провеждат упражнения, включващи кражба на идентификационни данни, откраднати тегла на AI модели или агенти, представящи се за служители в имейли и социални платформи.
Защитниците трябва да картират пълните пътища на атаката, а не само откритите портове. Talos дава пример, простиращ се от външен суич през сървъри, приложения, бази данни, Active Directory, потребителски акаунти и клиентски данни.
Упражненията от тип „допуснат пробив“ (assumed-breach) могат да разкрият до какво би могъл да достигне атакуващият след придобиване на една начална точка, включително злоупотреба с групови политики в устройства с Windows.
Контролът на самоличността трябва да се разпростира отвъд VPN достъпа до вътрешни приложения, системи за еднократен вход (SSO) и Linux системи. Talos предпочита ключове за сигурност FIDO2 или passkeys пред SMS и push известия.
Целта е да се спре възможността едни откраднати данни за достъп да отворят цялата среда и да се поддържа бързо изолиране на засегнатите потребители и системи.
Видимостта трябва да покрива крайните точки, вътрешния мрежов трафик, DNS активността и AI приложенията с достъп до фирмени данни. Свързани изследвания на зловредни умения на AI агенти показват защо разширенията заслужават щателна проверка: доверени агенти за кодиране могат да наследят вредни инструкции и да изпълнят код с достъп до локални тайни.
Ранното откриване все още е от значение. Talos посочва пиковете от уеб атаки и скриптирани заявки като полезни предупредителни знаци днес. С промяната в поведението на агентите екипите ще трябва да свързват доказателства от самоличността, крайните точки и мрежата, вместо да разчитат само на обема на атаката.
Indicators of compromise (IoCs):-
| Type | Source-reported signal | Limitation |
|---|---|---|
| Web attacks | Spike in SQL injection attempts | Investigate target patterns |
| Traffic | Surge in automated requests | Compare normal activity |
| Security alerts | Increase in WAF alerts | Review underlying requests |
| User agents | Python, curl, wget | Also legitimate tools |
| Hashes and infrastructure | None published | No sample-specific IoCs |
Note: IP addresses and domains are intentionally defanged (e.g., [.]) to prevent accidental resolution or hyperlinking. Re-fang only within controlled threat intelligence platforms such as MISP, VirusTotal, or your SIEM.