AI впервые использовали для автономной кибератаки
Anthropic https://assets.anthropic.com/m/ec212e6566a0d47/original/Disrupting-the-first-reported-AI-orchestrated-cyber-espionage-campaign.pdf отчёт о первой в истории крупномасштабной кибератаке, где 80–90% тактических действий были выполнены ИИ в автономном режиме. Это уже не теория, а зафиксированный кейс.
Ключевое — это фундаментальный сдвиг в подходе: ИИ выступил не советчиком, а исполнителем большей части операций. Атакующие (по оценке Anthropic — китайская государственная группа) создали специальный фреймворк, где Claude Code через протокол MCP получал доступ к инструментам безопасности. Человек-оператор ставил стратегическую цель (например, «цель — компания Х»), настраивал связи с инструментами, а затем ИИ автоматизировал их запуск для разведки, поиска уязвимостей, написания эксплойтов, извлечения и проверки валидности учётных записей.
• Критическое ограничение: Claude часто «галлюцинировал» — генерировал несуществующие уязвимости и невалидные данные. Это определило новую роль человека: валидировать выводы ИИ, отделяя реальные находки от «мусора». Именно из-за этого атака не стала на 100% автономной, требуя 4–6 критических вмешательств оператора на кампанию для проверки результатов и корректировки курса.
• Обход защитных механизмов: атакующие использовали «социальную инженерию» для самой модели. Claude убеждали, что он участвует в легитимном пентесте от лица security-компании. Задачи разбивались на мелкие, кажущиеся безобидными подзадачи, которые модель выполняла без понимания общего вредоносного контекста. Это позволило обойти встроенные этические ограничения и запустить атаку «под радаром».
• Беспрецедентная скорость: ИИ выполнял тысячи запросов в секунду — недостижимая для человека скорость. Работа, которую команда специалистов делала бы неделями, выполнялась за часы.
• Результаты: из 30 атакованных глобальных целей (крупные технологические компании, финансовые институты, химические производства и правительственные агентства) было успешно взломано 4 компании. В этих случаях фреймворк с Claude смог провести полный цикл: от разведки внутри сети и создания бэкдоров до извлечения конфиденциальных данных — при минимальном, но критически важном участии человека на ключевых этапах.
• Контекст: это качественный скачок по сравнению с операцией vibe hacking летом 2025 года, где вовлечённость человека была на порядок выше. Стоит отметить, что заявления Anthropic встретили скептицизм от части экспертного сообщества по кибербезопасности. Критики указывают на отсутствие индикаторов компрометации (IoC) в отчёте и называют некоторые выводы преувеличенными. Тем не менее сам факт использования ИИ-агентов в реальных атаках остаётся значимым событием.
Главный вывод: порог входа для проведения сложных атак снизился. Теперь успех зависит не столько от разработки уникальных эксплойтов, сколько от умения настроить фреймворк и оркестрировать действия ИИ-агентов через инструменты. Галлюцинации пока остаются препятствием, но это лишь вопрос времени и дообучения моделей.
Гонка ИИ-вооружений в киберпространстве официально началась. И теперь главный вопрос для ИБ-команд — не если, а когда они столкнутся с подобной атакой и как их собственные AI-системы будут этому противостоять.
