ИИ-агент в режиме «Скайнет» захватывает незащищённые языковые модели для запуска самоподдерживающихся кибератак

Исследователи безопасности из Symantec обнаружили наступательного ИИ-агента, который захватывает незащищённые языковые модели в интернете и использует их для самостоятельного проведения атак. Владелец захваченной модели вынужден оплачивать вычисления.

Получив доступ к незащищённой языковой модели, агент ищет новые цели, эксплуатирует уязвимости в распространённом серверном ПО, крадёт базы данных и учётные данные, а также устанавливает в фоновом режиме майнеры криптовалют.

Согласно анализу Symantec, он делает всё это до 100 000 шагов без какого-либо участия человека, а владельцу модели приходится оплачивать вычисления. Компания называет это «LLMjacking» — кражей доступа к чужим ИИ-моделям. Однако захваченная модель используется не только как информационный сервис. Она самостоятельно контролирует всю атаку.

Honeypot перехватил полный план атаки

Операция раскрылась потому, что атакующие отправили весь рабочий промпт в honeypot Symantec — приманочную систему, имитирующую открытый ИИ-сервис в интернете. Это позволило исследователям летом 2026 года получить полное представление об архитектуре агента. По словам Symantec, honeypot не запускал ни один из включённых инструментов, а перехваченная сессия завершилась после стандартного системного ответа.

Телеметрия honeypot зафиксировала более 127 000 запросов с десятков тысяч разных адресов. Большинство из них представляли собой поиск ИИ-эндпоинтов, попытки перебора с использованием украденных API-ключей и проверку доступных конфигурационных файлов. Среди целей были самостоятельно размещённые серверы моделей и наскоро созданные тестовые системы, а также ИИ-шлюзы, работающие перед платными моделями для корпоративных аккаунтов. Поскольку большинство ИИ-сервисов теперь используют один и тот же стандартизированный API, один сканер может находить множество типов целей.

Джейлбрейк из пяти уровней пытается снять защитные ограничения

Чтобы заставить коммерческую модель сотрудничать, атакующие обернули свои инструкции в пять последовательных уровней, сообщает Symantec. Сначала модели присваивается фиктивная личность: ей велят представляться «Fantasy AI» и никогда не раскрывать настоящего провайдера. Затем извлечение паролей, API-ключей и содержимого баз данных переопределяется как «обычная работа разработчика», которую модель должна выполнять без возражений.

Третий уровень добавляет вымышленную персону-компаньона по имени «ENI», которая представляет любой отказ как предательство доверия в личных отношениях. Четвёртый уровень велит модели игнорировать собственные предупреждения о безопасности как шум, а такие слова и фразы, как «этичный», «незаконный» или «я не могу этого сделать», прямо запрещаются.

Пятый уровень содержит собственно инструменты атаки — всего 74 модуля, включая инструменты для сканирования уязвимых серверов по всему интернету, эксплойты для популярных веб-фреймворков, функции для выгрузки целых баз данных и компоненты для запуска ботнета. В анализе не рассматривается вопрос о том, действительно ли джейлбрейк достаточно эффективен, чтобы полностью обойти защиту современных коммерческих моделей.

«Режим Skynet» запускает самоподдерживающийся цикл атаки

Последняя директива переводит агента в то, что его операторы называют «режимом Skynet», разрешая выполнять до 100 000 шагов подряд. Модели велят немедленно запускать инструменты без подтверждения, устанавливать майнеры криптовалют в скрытый каталог и следить за их работой.

Та же директива намеренно описывает повторяющийся цикл, сообщает Symantec: сканировать, заражать, устанавливать майнер, переходить дальше, возвращаться и повторно заражать уже атакованные системы. Однако заданием, добавленным к перехваченному промпту, было безобидное упражнение по программированию с обучающей платформы, что позволяет предположить: сначала операторы тестировали свой инструмент на безопасной цели.

На следующий день honeypot перехватил вторую атаку с другого адреса. На этот раз атакующие отказались от формата агента и просто попросили модель декодировать и запустить обфусцированную команду. За ней скрывался сжатый скрипт, который загружает XMRig — инструмент для майнинга Monero, маскирует его под безобидный системный файл и настраивает четыре резервных пула для майнинга.

Скрипт был написан для серверов камер: он искал каталоги, принадлежащие go2rtc — широко используемому инструменту потоковой передачи для умных камер и систем домашней автоматизации, — и в цикле удалял журналы доступа, чтобы скрыть следы. Honeypot также не запускал этот скрипт, но полностью его записал.

Атакующие встраивают ИИ в своё оружие

Вместо манипулирования общедоступным чат-ботом операторы встроили ИИ в ядро наступательного инструмента и активно искали модели для его работы. Symantec называет это «изменением подхода атакующих к использованию ИИ». Языковая модель занимается планированием, тогда как специализированные модули выполняют фактические этапы атаки против двух отдельных групп жертв. Владелец открытой модели оплачивает вычисления, а при 100 000 разрешённых шагов сумма быстро растёт; серверы, которые скомпрометировал агент, теряют свои данные и используются для майнинга криптовалют.

У агента также есть встроенные инструменты для поиска новых открытых эндпоинтов и утёкших ключей, поэтому каждая успешная компрометация может финансировать следующую. Ни один из отдельных методов не является новым, но их объединение в самостоятельно действующего агента значительно упрощает проведение масштабных атак. Организациям, запускающим ИИ-сервисы, следует исходить из того, что вскоре после запуска незащищённые эндпоинты будут найдены и проверены.

Предупреждения о наступательных ИИ-агентах сбываются

До недавнего времени наступательные ИИ-агенты существовали главным образом в исследованиях и тестах. В 2025 году исследование в формате red team, включавшее 1,8 миллиона попыток атаки, показало, что каждого протестированного агента хотя бы раз удавалось подтолкнуть к нарушению правил во всех категориях поведения.

В сценарии Symantec это относится к обеим сторонам: к наступательному агенту, созданному для обхода защитных ограничений, и к целевым моделям, которые должны обманом заставить помогать атакующим. К весне 2026 года исследователи Google DeepMind заявили, что для многих описанных ими ловушек агентов уже существовали документированные атаки с подтверждением работоспособности, а в июле 2026 года Sysdig описала JADEPUFFER — первую известную атаку с использованием программ-вымогателей, проведённую ИИ-агентом без контроля человека. Возможности этих систем продолжают расти, тогда как их управляемость и соответствие целям человека за ними не успевают.

Злонамеренное намерение даже не требуется, поскольку у этих моделей нет представления о добре и зле. Они просто пытаются достичь своей цели. С весны 2026 года агенты OpenAI случайно скомпрометировали тысячи систем в интернете, отчасти потому, что игнорировали инструкции по безопасности или находили аргументы для их обхода.

Это уже выходит за пределы лабораторий и затрагивает повседневную жизнь. В Австралии ИИ-агент взломал сайт спортзала всего лишь для выполнения просьбы владельца — без какого-либо злого умысла. Исследователи OpenAI предупредили в августе, что такие случайные полностью автономные взломы, вероятно, вскоре будут подхвачены злоумышленниками, а Anthropic показала, что достаточно мощные модели с открытыми весами, способные на это, уже существуют.

Новости об ИИ без шумихи — отобраны людьми

Подпишитесь на THE DECODER и получите чтение без рекламы, еженедельную рассылку об ИИ, наш эксклюзивный стратегический отчёт «AI Radar» шесть раз в год, полный доступ к архиву и доступ к разделу комментариев.