ИИ-агент довёл атаку-вымогателя до выкупа

Исследователи Sysdig описали, похоже, первый случай, когда автономный ИИ-агент почти без участия человека провёл полноценную атаку с шифровальщиком.

По их данным, операция JadePuffer прошла весь путь — от первоначального проникновения до закрепления, перемещения по инфраструктуре и требования выкупа.

Если атрибуция подтвердится, это уже не история про генерацию вредоносного кода по подсказке, а попытка отдать машине саму логику атаки.

Атака стартовала с эксплуатации CVE-2025-3248 в Langflow, открытом фреймворке для сборки приложений на базе больших языковых моделей.

Дыру удалённого выполнения кода закрыли ещё в апреле 2025 года, но потом её внесли в каталог активно эксплуатируемых уязвимостей CISA.

Обычно после такого патч до части компаний так и не доезжает до продакшена.

После входа в систему JadePuffer занялся тем, что чаще делает уже не одиночный скрипт, а оператор

вымогателя: собрал данные о хостах, нашёл учётные данные и чувствительные файлы, вытащил облачные секреты и принялся копаться во внутренних хранилищах.

Самая интересная деталь в отчёте Sysdig связана не с самим проникновением, а с тем, как агент вёл себя уже внутри.

Работая с объектным хранилищем MinIO, он наткнулся на неожиданный XML-ответ, не завис и тут же поменял способ обработки данных.

В другом эпизоде он исправил ошибку аутентификации за 31 секунду, без помощи оператора.

Для обычного вредоноса это звучит странно:

классические шифровальщики на нестандартном ответе часто ломаются или требуют ручной доводки.

Дальше цепочка стала ещё ближе к привычной схеме атак вымогателей.

JadePuffer закрепился через cron-задания, потом переключился на производственный сервер с Alibaba Nacos и использовал старую уязвимость CVE-2021-29441.

Затем агент создал поддельные административные учётные записи и получил полный контроль над системой конфигурации.

Финал получился вполне ожидаемым для такого сценария: шифрование 1342 записей Nacos, удаление исходных данных и требование выкупа в биткоинах.

Почему исследователи заподозрили именно ИИ Sysdig приводит несколько признаков, которые плохо вяжутся с почерком обычной вымогательской группы и лучше объясняются автоматической генерацией.

Вредоносный код был слишком разговорчивым:

в комментариях он буквально разъяснял собственную логику.

Для преступников это лишний шум и лишние следы.

Для LLM-подобных систем — вполне обычная манера.

Кошелёк для выкупа тоже выглядел подозрительно.

По данным исследователей, раньше он встречался только как пример

в технической документации, а не в реальных кампаниях шифровальщиков.

Похоже на ситуацию, когда агент или его авторы берут шаблон из учебника и забывают заменить его на рабочую инфраструктуру.

В ИИ-сгенерированных фишинговых кампаниях такое уже бывало: текст гладкий, а вот операционные детали местами совсем игрушечные.

Есть и технические нестыковки.

Программа заявляла, что использует AES-256, но анализ показал: реальная схема, вероятно, ближе к AES-128 в режиме ECB.

Для криптографии это почти комичный промах — вывеска одна, начинка другая.

Именно такие расхождения, когда код звучит убедительно, а реализован упрощённо, аналитики всё чаще связывают с побочными эффектами ИИ-генерации.

И ещё важная деталь — то, чего в этой истории нет.

JadePuffer не придумал новую дыру, не обошёл неизвестную защиту и не показал ничего похожего на «сверхразум».

Он использовал уже известные уязвимости и обычные техники постэксплуатации.

Но автоматизация всего цикла меняет экономику атак:

если раньше на каждом этапе нужен был человек, то теперь часть рутины может взять на себя агент, который не устаёт, не путается в командах и быстро перебирает варианты.

Рынок к этому сам подталкивает.

По оценке Chainalysis, в 2024 году платежи вымогателям снизились до примерно 814 млн долларов после рекордного 2023-го, но число инцидентов никуда не делось, а сами атаки стали более дробными и автоматизированными.

В 2025 году Google Project Zero и OpenAI уже показывали, что агентные системы неплохо справляются с поиском уязвимостей и написанием эксплуатационного кода в лабораторных условиях.

В случае JadePuffer разница в том, что здесь ИИ, по версии исследователей, перешёл из режима помощника в режим оператора.

К такому сценарию защитники, в общем-то, готовились заранее.

Microsoft, CrowdStrike и Palo Alto Networks весь последний год встраивали в свои платформы агентные функции для расследования инцидентов и автоматического реагирования.

Логика простая:

если у защитника появляется ИИ-помощник, то у нападающего рано или поздно тоже появится.

Поэтому история Sysdig выглядит не как сенсация из ниоткуда, а как ранний сигнал, что гонка автоматизации добралась и до шифровальщиков.

Для компаний практический вывод довольно приземлённый.

Обе уязвимости в этой цепочке были известны задолго до атаки, значит, первая линия обороны всё та же:

патчи, контроль секретов, изоляция сервисов и мониторинг необычных действий в системах конфигурации и хранилищах.

Просто теперь защитникам придётся искать не только знакомые сигнатуры вымогателей, но и странные следы машинной импровизации — слишком разговорчивый код, шаблонные артефакты и нелепые операционные решения, которые человек обычно бы не оставил.

Если выводы Sysdig не опровергнут, 2026 год может стать точкой, где агентный ИИ закрепится в отчётах по киберугрозам уже не как лабораторный эксперимент, а как рабочий инструмент атакующих.

Следующий шаг понятен:

массовые кампании, где один оператор

запускает не одну такую цепочку, а десятки.

Насколько быстро это случится, зависит не от качества моделей, а от куда более скучной вещи — сколько компаний ещё держат в сети сервисы с давно закрытыми CVE.

Сообщает itzine.ru

 

Новость из рубрики: Технологии и Hi-Tech

 

Поделиться новостью:

 

Топ новости часа

• "Продолжаю верить в справедливость и закон". Владислав Бакальчук раскрыл детали судебных разбирательств с бывшей женой Татьяной Ким...
• В Курской области выявили 28 случаев фиктивной регистрации иностранных граждан...
• Депутат Нилов: у пенсионеров-должников могут удержать до 70% пенсии...
• Принц Гарри и Меган Маркл не могут найти дом после переезда в США...
• "Помните про Гитлера". Ксения Собчак заявила, что не любит домашних животных...
• «Это вам не Нива»: Рендерные снимки 5-дверной Suzuki Jimny привели автомобилистов в восторг...