С навлизането на изкуствения интелект както сред кибератакуващите, така и сред специалистите по киберсигурност, дори сравнително непретенциозни киберпрестъпници вече интегрират агентен изкуствен интелект в своите кампании и заобикалят защитните механизми на моделите. Това показват нови подробности, публикувани в сряда, относно успешни неотдавнашни атаки от четири различни хакерски групи.

Изследователи от компанията за киберсигурност CrowdStrike са анализирали AI инфраструктурата, задвижваща атаки, извършени между май и август от четири неизвестни досега групи – една, действаща на китайски език, една на испански и английски, една на индонезийски и една на руски. Първите две са демонстрирали сложни софтуерни рамки за управление на AI (т.нар. „harnesses“) – софтуерът, който поддържа и насочва модела при изпълнението на задачи. Последните две са показали по-ниско ниво на технически умения, констатират изследователите, но въпреки това са успели да компрометират множество цели. Всички те са оставили своята AI инфраструктура отворена и публично достъпна на уеб сървъри, което е позволило на анализаторите да проучат дейността им и моделите, които използват – предимно версии на Claude на Anthropic, както и модели с отворени тегла на Deepseek. Всички атакуващи са разработили методи, позволяващи на техните кампании да се изпълняват автономно за сравнително дълги периоди от време.

„Можете да използвате различни модели за различните аспекти на операцията. Маршрутизирането и подборът на модели са изключително важни, защото това е скъпоструващо и в много случаи би било излишно да се използват най-новите модели“, споделя Адам Майърс, старши вицепрезидент по противодействие на заплахите в CrowdStrike. Изследователите са наблюдавали, че атакуващите използват както модели с отворени, така и със затворени тегла, като в почти всички случаи са разчитали на по-стари версии вместо на водещите авангардни модели. Майърс отбелязва, че извличането на максимална полза от по-стари модели е често срещано и при легитимното използване на изкуствен интелект предвид нарастващите разходи.

Атакуващите също така са използвали комбинация от модели, за да се възползват от различията в защитните бариери (guardrails), създадени да предотвратят злоупотребата с изкуствен интелект за провеждане на цифрови атаки.

„Моделите нямат еднакви защитни бариери и мерки за сигурност, дори когато са от една и съща компания“, казва Майърс. Относно нивото на сложност на хакерските кампании като цяло той добавя: „Тези атаки не използват нови експлойти или неизвестни уязвимости. Те просто се възползват от скоростта и мащаба, които изкуственият интелект осигурява за провеждането на операции, насочени към масови пропуски в базовата сигурност на тези среди – неща, които са били предотвратими, но не са били предотвратени.“

Изследователите са установили, че и четирите групи атакуващи са заобиколили предпазните механизми на изкуствения интелект, най-често чрез убеждаване на модела, че дейността е напълно легитимна и разрешена – например в рамките на тест за проникване (penetration testing) или друга оценка на сигурността. Един от методите, прилаган от много от групите, включва добавяне на файлове в работната директория на агента, за да се симулира, че задачите са одобрени и валидирани. Злонамерените субекти са използвали и традиционни методи за разбиване на защитите (jailbreaking), като са формулирали заявки и сценарии, представящи хакерските действия като разрешени и безвредни, адресирайки предварително потенциалните въпроси или съмнения, които моделът би могъл да повдигне. По-опитните киберпрестъпници са подхождали по-стратегически при изграждането на фалшивия контекст, докато по-малко опитните понякога са прибягвали до по-груби и агресивни подкани, опитвайки се да принудят моделите да приемат дейността им за легитимна.

Китайскоезичният атакуващ е използвал и динамично модифициране по време на изпълнение с инструмент, наречен ClawGod, за да добави допълнителна функционалност към Claude Code и да направи опит за премахване на инструкцията „CYBER_RISK_INSTRUCTION“ от системната подкана на Claude Code – инструкция, изискваща инструментът да участва единствено в оторизирани тестове за сигурност, а не в злонамерено или деструктивно хакване.

Атакуващият, опериращ на испански и английски, е взел на прицел аржентински здравни заведения и успешно е компрометирал поне 15 организации. Анализаторите от CrowdStrike откриват доказателства, че субектът е откраднал идентификационни данни и медицински досиета от поне една от тези жертви. Той е изградил специализирана софтуерна среда за тестове за проникване – от типа, който организациите биха използвали, за да тестват собствената си инфраструктура за откриване и отстраняване на уязвимости. Използвайки модели като Claude Opus 4.5, Claude Haiku 4.5 и Deepseek V4 Pro, групата е конфигурирала цялостна инфраструктура за автономни атаки, включваща агент на Claude Code в ролята на „Супервайзър“ за насочване на етапите на атаката и агент „Изпълнител“ за тяхното провеждане.

Китайскоезичният атакуващ също е изградил рамки за тестове за проникване, насочващи Claude Code при разузнаването и последващото автономно атакуване, след като човек е избрал направлението на действие. Изследователите са установили, че той успешно е компрометирал правителствени цели в Бразилия и Колумбия, а също така е атакувал частни организации в Бразилия и САЩ в широк спектър от сектори, сред които биотехнологии, здравеопазване, хранително-вкусова промишленост, търговия на дребно, технологии и туризъм.

Според изследователите китайскоезичният извършител е разчитал предимно на Claude Opus 4.8, но е използвал и други модели, включително Claude Sonnet 4.6 и Deepseek Chat. Той е осъществявал достъп до Claude чрез прокси услуга за AI, базирана в Китай, като е конфигурирал и алтернативни резервни варианти с други AI инструменти, ако достъпът до Claude бъде прекъснат през проксито.

От Anthropic не са предоставили коментар преди публикуването, а от Deepseek не са отговорили незабавно на запитванията на WIRED.

Анализаторите посочват, че както рускоезичният атакуващ, насочен предимно към финансово мотивирана киберпрестъпност, така и индонезийският (най-неопитният от четирите), са използвали по-базови, публично достъпни умения и софтуерни рамки за изпълнение на своите атаки. Въпреки това и двамата са успели да постигнат компрометиране на цели. При индонезийския извършител това включва множество индонезийски правителствени домейни, правителствен домейн на Бангладеш, както и цели от частния сектор.

„Това, което виждаме, е, че хората извършват първоначалното сондиране в тези ситуации, след което ангажират изкуствения интелект за провеждане на хакването в широк мащаб“, заявява Майърс от CrowdStrike. „Интересно е, че дори при агентни атаки с всички тези възможности, все още ясно личи, че зад тях стои човек и какви са неговите намерения.“