Ограничения ИИ не останавливают хакеров-преступников

Исследователи CrowdStrike изучили ИИ-инфраструктуру атак, проведённых четырьмя группами. Их серверы оставались открытыми в интернете, поэтому специалисты смогли проанализировать работу злоумышленников и используемые ими модели. Все группы нашли способы запускать атаки автономно и поддерживать их в течение сравнительно долгого времени.

Две группы — говорившие на китайском и испанском с английским — использовали сложные «обвязки»: программные средства, которые направляют модель и помогают ей выполнять задачи. Две другие, русскоязычная и индонезийская, были технически менее подготовлены, но тоже смогли взломать несколько целей. В основном группы использовали разные версии Claude и открытых моделей DeepSeek.

Адам Майерс, старший вице-президент CrowdStrike по противодействию противникам, отметил, что разные модели можно распределять по задачам. Выбор модели важен ещё и потому, что новые версии стоят дороже и зачастую не нужны. Исследователи обнаружили, что злоумышленники использовали как открытые, так и закрытые модели, почти всегда — старые версии, а не передовые. По словам Майерса, на старые модели часто полагаются и в легальных проектах: расходы на ИИ быстро растут.

Злоумышленники также комбинировали модели, чтобы использовать различия между их защитными механизмами. Майерс подчеркнул, что даже модели одной компании могут иметь разные ограничения. При этом атаки не опирались на новые эксплойты или неизвестные уязвимости: преступники использовали скорость и масштаб, которые даёт ИИ, чтобы искать и эксплуатировать распространённые проблемы кибербезопасности — те, которые можно было предотвратить, но не предотвратили.

Все четыре группы обходили защиту моделей, часто убеждая их, что действия законны и одобрены — например, что речь идёт о тестировании на проникновение или другой проверке безопасности. Некоторые злоумышленники помещали файлы в рабочую папку ИИ-агента, чтобы создать видимость разрешения на выполнение задач. Они также применяли привычные методы обхода ограничений: составляли промты и истории, в которых взлом представлялся разрешённой и безвредной работой, и заранее отвечали на возможные возражения модели. Более подготовленные группы продумывали такие сценарии тщательнее; менее подготовленные иногда прибегали к грубым промтам, пытаясь заставить модель поверить, что действия законны.

Китайскоязычная группа использовала так называемую подмену во время выполнения программы — инструмент ClawGod. Он добавлял функции к Claude Code и пытался удалить из его системного промта инструкцию CYBER_RISK_INSTRUCTION. Она предписывает Claude Code участвовать только в разрешённых проверках безопасности и запрещает вредоносный или разрушительный взлом.

Группа, работавшая на испанском и английском, атаковала медицинские организации Аргентины и взломала как минимум 15 из них. Исследователи CrowdStrike обнаружили признаки того, что группа похитила учётные данные и медицинские записи как минимум у одной жертвы.

Злоумышленники собрали систему для тестирования на проникновение — подобные системы организации используют для поиска и исправления уязвимостей в собственной инфраструктуре. Группа задействовала Claude Opus 4.5, Claude Haiku 4.5 и DeepSeek V4 Pro и настроила инфраструктуру для автономных атак. Агент Claude Code «Supervisor» управлял этапами атаки, а агент «Executor» выполнял их.

Китайскоязычная группа тоже создала системы тестирования на проникновение. С их помощью Claude Code проводил разведку, а затем переходил к автономной атаке после того, как человек выбирал дальнейший план. По данным исследователей, группа взломала государственные объекты в Бразилии и Колумбии, а также атаковала частные организации в Бразилии и США. Среди затронутых сфер были биотехнологии, здравоохранение, производство продуктов питания и напитков, розничная торговля, технологии и туризм.

В основном китайскоязычная группа использовала Claude Opus 4.8, но обращалась и к другим моделям, включая Claude Sonnet 4.6 и DeepSeek Chat. Она подключалась к Claude через китайский прокси-сервис для ИИ, предусмотрев запасные варианты на случай, если модель через прокси окажется недоступна.

Anthropic не предоставила комментарий до публикации материала. DeepSeek не ответила на запрос WIRED к моменту его выхода.

По оценке исследователей, русскоязычная группа, вероятно, занималась финансово мотивированной киберпреступностью, а индонезийская была наименее подготовленной из четырёх. Обе использовали более простые общедоступные навыки и системы управления, но всё равно успешно взламывали цели. Индонезийская группа атаковала несколько доменов правительства Индонезии, государственный домен Бангладеш и некоторые частные организации.

Майерс отметил, что люди сначала проводят разведку, а затем привлекают ИИ для масштабирования взлома. По его словам, даже в атаках с ИИ-агентами и широкими возможностями видно, что за ними стоит человек и понятно, чем он занимается.