Согласно исследованию Cisco Talos, киберпреступники обходят средства защиты коммерческих ИИ-инструментов, разделяя вредоносную работу на несколько сессий и файлов, разбивая проекты на фрагменты настолько мелкие, что ни один отдельный запрос не кажется опасным. Вывод был сделан благодаря корпусу журналов запросов злоумышленников, использовавших Claude Code, Codex, Cursor и Gemini.

Эксперты не обнаружили сложных методов кодирования или обхода защиты. Там, где ИБ-решения срабатывали, они мало что давали, и это характерно для разных моделей и платформ. Наряду с декомпозицией задач, наиболее распространённым методом было простое заявление о праве собственности на целевую инфраструктуру, что во многих случаях не требовало дополнительной проверки. Кроме того, эффективными оказались обозначение работы как «захват флага» (capture-the-flag) или «деятельность по поиску уязвимостей», которые открывали путь для последующей эксплуатации.

Некоторые хакеры записывали общие разрешения в постоянную память и конфигурационные файлы, вместо того чтобы устанавливать их для каждой сессии отдельно. В одном эпизоде атакующий дал указание боту рассматривать все цели как предварительно одобренные, автоматически устанавливая условия для каждой последующей сессии. В другом кейсе члены «красной команды» определили более десятка агентов с различными ролями и 15 пронумерованных сценариев действий, так что ни один агент не выполнял всю задачу целиком, и ни одна отдельная задача не напоминала сквозную атаку.

Авторы исследования заключили: имеющиеся у злоумышленников навыки во многом определяют результаты работы ИИ. Новички создавали проекты, которые технически функционировали, но им не хватало опыта для их улучшения. Опытные же операторы генерировали, по описанию Cisco Talos, «потрясающие» платформы. В тех случаях, когда модели отказывались работать, атакующие переключались на другие (так, один оператор отказался от цензурированной нейросети в середине операции и перешёл к нецензурированной, завершившей работу без возражений).

В Cisco Talos заявили, что защитникам следует ожидать более быстрого выявления уязвимостей и более быстрой эксплуатации, а организации, которые ещё не изучают возможности агентских систем в SOC, окажутся в ситуации, когда им придётся искать таковые.

Усам Оздемиров