Для масштабной хакерской кампании больше не нужна команда опытных специалистов. Один злоумышленник смог организовать атаки на более чем 1200 сайтов, практически полностью передав техническую работу автономным ИИ-агентам. Исследователи зафиксировали успешные проникновения в ресурсы более 100 компаний, среди которых Deere, SharkNinja и Cummins. И это лишь один из нескольких подобных случаев, обнаруженных за последние месяцы.
19 октября 2026 года агентство Reuters опубликовало расследование, которое демонстрирует, насколько далеко продвинулись автономные ИИ-системы в сфере кибербезопасности. Китаеязычный злоумышленник использовал доступные инструменты искусственного интеллекта для проведения масштабной серии атак на корпоративные веб-сайты.
Вместо ручного поиска уязвимостей, написания эксплойтов и последовательного взлома каждой цели он поручил эту работу ИИ-агентам. Человек определял задачу, а программные агенты самостоятельно исследовали инфраструктуру, проверяли различные способы проникновения и пытались закрепиться в системах.
По оценкам исследователей, вся кампания потребовала приблизительно $5000 расходов на ИИ-модели, или около $50 на одно успешное проникновение.
Эти цифры не означают, что любой сайт можно взломать за $50. Однако они показывают важное изменение: сложные многочасовые атаки становятся доступными даже одному оператору, которому больше не обязательно выполнять всю техническую работу самостоятельно.
Как исследователи случайно получили доступ к работе хакеров
История стала известна благодаря Снорре Фагерланду (Snorre Fagerland), ведущему исследователю киберугроз компании NorForge.
В начале октября он изучал общедоступные установки Cairn — открытой платформы, позволяющей координировать работу автономных ИИ-агентов. Во время сканирования интернета Фагерланд обнаружил десятки панелей управления, оставленных без надлежащей защиты.
Примерно со 2 октября исследователь обнаружил более 20 установок Cairn, которые, предположительно, использовались для вредоносной деятельности.
Через открытые интерфейсы можно было увидеть задания, получаемые агентами, результаты проверок, найденные уязвимости и ход атак. Фактически исследователь получил возможность наблюдать за частью киберпреступных операций практически в реальном времени.
Наиболее активную группу NorForge обозначила как AIA0001. Она использовала китайский язык и управляла 14 панелями, в которых исследователи насчитали более 1100 проектов атак.
По данным Reuters, кампания началась 25 сентября. К середине октября агенты попытались проникнуть на более чем 1200 сайтов, преимущественно интернет-магазинов из США, Канады, Японии и Австралии.
Особенно показательно, что первоначальные инструкции злоумышленника могли умещаться менее чем в 100 китайских иероглифов.
При этом использование китайского языка в интерфейсе не доказывает, что оператор является гражданином Китая или действовал при поддержке китайского государства. Исследователи NorForge считают основной мотивацией этой деятельности финансовую выгоду.
Подробности представлены в техническом отчёте NorForge — Inside Cairn: Open Windows into Massive AI-Driven Cyber Operations.
Как ИИ-агенты самостоятельно взламывают сайты
Ключевую роль в кампании играла платформа Cairn.
Это не обычный чат-бот, которому можно задать вопрос и получить текстовый ответ. Cairn работает как система организации многоэтапных задач: оператор задаёт исходную точку и конечную цель, а агенты постепенно ищут способ её достижения.
В процессе работы они накапливают найденные факты в общем рабочем пространстве. Другие агенты могут использовать эти результаты для дальнейших действий, а оператор при необходимости добавляет новые инструкции.
В случае с киберпреступниками общей целью часто было получение несанкционированного доступа к серверу с возможностью дальнейших действий.
Агенты самостоятельно анализировали веб-приложения, искали ошибки аутентификации, небезопасную обработку файлов, SQL-инъекции, недостатки конфигурации серверов и другие уязвимости.
Но наиболее показательной оказалась способность агентов изменять план атаки в зависимости от результатов предыдущих попыток.
В одном из случаев им не удалось обнаружить очевидных проблем в основном веб-приложении крупной компании. Вместо завершения работы агенты начали исследовать связанную инфраструктуру, нашли доступную из интернета панель управления и потратили несколько часов на изучение её поведения.
В итоге агенты сообщили, что обнаружили способ заставить сервер выполнять несанкционированные команды.
В другом случае NorForge проверила заявление агента об успешном проникновении на сайт крупного поставщика оборудования. Исследователи действительно обнаружили на ресурсе работающий web shell — серверный механизм, который мог использоваться для дальнейшей загрузки файлов.
Согласно журналам агента, проникновение было связано с сочетанием нескольких проблем: несанкционированного доступа на запись к хранилищу сессий Memcached, небезопасной десериализации PHP-объектов и устаревших компонентов Zend Framework.
Важно, что речь не шла об одной универсальной уязвимости. Система подбирала различные способы проникновения для разных сайтов.
Именно способность к длительному поиску, проверке гипотез и комбинированию результатов делает автономные атаки заметно опаснее обычных автоматизированных сканеров.
Сколько времени и денег требуется ИИ для успешного взлома
По подсчётам NorForge, в исследованных кампаниях примерно 10% задач достигали поставленной цели. Это ориентировочная оценка на основе неоднородной выборки, а не универсальный показатель успешности ИИ-взлома.
Для наиболее активной группы AIA0001 среднее время от запуска задачи до успешного результата составляло чуть менее 23 часов. Отдельные операции продолжались более пяти суток.
Успешный проект в среднем накапливал около 140 отдельных фактов, которые агенты использовали для принятия последующих решений.
При этом расчёты расходов остаются приблизительными. NorForge не располагала полными счетами за использованные токены, поэтому оценила среднюю стоимость одного задания примерно в $5 с учётом неудачных и преждевременно завершённых попыток. Reuters приводит оценку около $50 на успешное проникновение.
Исследователи также обнаружили название рабочего агента claudecode_deepseek-v4.1-flash. Предположительно, это конфигурация на основе Claude Code, использовавшая недорогую модель DeepSeek.
Однако одного названия недостаточно, чтобы окончательно подтвердить архитектуру системы или точное распределение работы между инструментами.
Главный результат заключается не в конкретной модели.
Один оператор получил возможность параллельно проводить десятки сложных проверок, для которых раньше потребовались бы значительные человеческие ресурсы.
Deere, SharkNinja и Cummins: что известно о пострадавших
В ходе расследования Reuters независимо проанализировало записи деятельности злоумышленника и установило личности некоторых пострадавших компаний.
Среди них оказались производитель сельскохозяйственной техники Deere, компания бытовой техники SharkNinja и производитель двигателей Cummins.
При этом факт несанкционированного проникновения не означает автоматической кражи конфиденциальных данных.
Deere сообщила Reuters о выполнении необходимых мер реагирования и отметила, что не располагает признаками доступа к конфиденциальной информации.
SharkNinja подтвердила, что инцидент затронул отдельный сайт с информацией о поддержке продукции, а угрозу удалось локализовать.
Cummins сообщила, что проверяет информацию о возможной атаке на сайт, которым управляет сторонний поставщик.
Ещё два небольших предприятия подтвердили Reuters факты компрометации.
Агентству не удалось установить, какой объём информации был фактически похищен в рамках этой октябрьской кампании.
Это уже не первый случай: в сентябре ИИ-агенты похитили более 600 тысяч платёжных записей
Октябрьское расследование — не первое свидетельство использования автономных агентов для массовых кибератак.
22 сентября компания Gambit Security опубликовала отдельный технический отчёт о кампании, которая продолжалась как минимум с июля 2026 года.
В этом случае злоумышленник использовал сразу три инструмента:
- Strix занимался поиском уязвимостей.
- Cairn выполнял многоэтапные задачи по проникновению в системы.
- Hermes координировал работу, запускал операции и помогал организовывать действия после получения доступа.
По данным Gambit Security, всего за шесть дней, с 10 по 15 сентября, оператор запустил 105 проектов атак. Не менее 27 компаний подверглись компрометации различной степени.
Наиболее серьёзным подтверждённым последствием стала кража более 600 тысяч записей платёжных карт из систем двух компаний.
Исследователи также сообщили об установке вредоносных скриптов для перехвата платёжной информации, известных как web skimmers. Их присутствие подтвердили на 19 сайтах из числа исследованных жертв, а связанные с этой кампанией скрипты обнаружили ещё более чем на 100 веб-ресурсах.
Особенно опасный инцидент произошёл с одним интернет-магазином велосипедов.
После кражи информации агент выполнил процедуру очистки, которая должна была удалить следы активности. Однако правила отбора таблиц оказались слишком широкими: система удалила 180 таблиц базы данных, включая резервные таблицы, созданные администраторами пострадавшей компании.
Таким образом, автономный инструмент не только выполнял вредоносные задачи, но и нанёс дополнительный ущерб из-за собственной ошибки.
По оценке Gambit Security, средние расходы на ИИ для одной завершённой проверки составляли $25,46. Общую стоимость этой кампании исследователи оценили в $12–18 тысяч.
Эти показатели не следует смешивать с октябрьскими цифрами NorForge. Речь идёт об отдельных расследованиях, и принадлежность обеих кампаний одному оператору не доказана.
Ещё раньше, 27 августа, Reuters описало деятельность группировки Aur0ra, которая использовала ИИ-ассистента Cursor при проникновении в системы как минимум семи компаний.
Тогда злоумышленники пытались обходить защитные ограничения ИИ, убеждая его, что выполняемые действия являются частью разрешённого тестирования.
Это демонстрирует ещё одну проблему: защитные механизмы моделей не всегда способны отличить легитимное исследование безопасности от преднамеренного взлома, если злоумышленник манипулирует контекстом задачи.
Почему автономные ИИ-атаки опаснее обычных автоматизированных сканеров
Автоматизация кибератак существовала задолго до появления современных больших языковых моделей.
Злоумышленники годами использовали ботнеты, сканеры портов, готовые эксплойты и инструменты массового подбора учётных данных.
Принципиальное отличие агентных систем заключается не просто в скорости выполнения команд.
Обычный сканер преимущественно работает по заранее определённым правилам. Агент может интерпретировать результаты проверки, сформулировать новую гипотезу, использовать другой инструмент и продолжить исследование.
Если один способ не сработал, он способен попробовать другой. Если основной сайт выглядит защищённым, агент может заняться поиском связанных компонентов инфраструктуры.
Это уменьшает потребность в постоянном участии человека.
Кроме того, атакующие могут одновременно запускать множество независимых агентов. Даже относительно невысокий процент успешных проникновений становится серьёзной проблемой, если система дёшево обрабатывает сотни или тысячи целей.
Особого внимания заслуживает выбор жертв.
В исследовании NorForge описан автоматизированный процесс отбора интернет-магазинов по посещаемости. Перед передачей в Cairn сайты проверялись с помощью Playwright — инструмента автоматизации браузера. Злоумышленник пытался убедиться, что магазин работает и позволяет оформлять заказы.
То есть агенты получали не случайный список доменов, а предварительно подготовленные коммерческие цели.
Под угрозой оказываются не только крупные корпорации. Небольшие магазины и онлайн-сервисы также могут быть привлекательными, если у них есть слабо защищённые системы, платёжная инфраструктура или ценные данные.
ИИ может не только атаковать, но и находить уязвимости раньше хакеров
В то же время аналогичные технологии активно используются для защиты программного обеспечения.
8 октября Anthropic представила OSS Scanner — бесплатную программу автоматизированного поиска уязвимостей для участвующих в ней open-source проектов.
Система использует мощные модели компании, включая Claude Mythos, для анализа кода и подготовки отчётов с объяснением проблем, примерами их воспроизведения и возможными исправлениями.
По данным Anthropic, за предыдущие шесть месяцев её инструменты обнаружили более 29 тысяч потенциальных уязвимостей. Однако вручную проверить удалось лишь около 6000 из них.
Именно ограниченная способность людей оперативно анализировать результаты стала одной из причин запуска OSS Scanner.
Отчёты нового сервиса могут поступать разработчикам без предварительной ручной проверки. Anthropic предупреждает, что некоторые выводы могут быть ошибочными или неправильно оценивать критичность проблем.
Собственный подход к автоматизации аудита кода развивает и Cloudflare.
Компания открыла репозиторий security-audit-skill, который позволяет использовать программных агентов для многоэтапного анализа безопасности.
Система предусматривает исследование архитектуры, поиск потенциальных уязвимостей, независимую проверку найденных проблем и формирование структурированных отчётов.
Важно, что в подходе Cloudflare отдельное внимание уделяется повторной проверке выводов: агент, который обнаружил потенциальную проблему, не должен быть единственным источником подтверждения её существования.
Таким образом, использование ИИ создаёт новые возможности для обеих сторон. Злоумышленники получают более дешёвую автоматизацию проникновений, а команды безопасности — инструменты для масштабного поиска и устранения уязвимостей.
Что владельцам сайтов и разработчикам стоит сделать уже сейчас
Результаты расследований не означают, что каждый сайт неизбежно будет взломан ИИ-агентом. Однако они показывают, на какие проблемы сегодня стоит обратить особое внимание.
Прежде всего это касается интернет-магазинов, SaaS-платформ, сервисов с платёжной инфраструктурой и веб-приложений, которые хранят персональные данные.
Практические приоритеты для команд разработки и администраторов:
- Проверить внешнюю поверхность атаки. Провести инвентаризацию открытых портов, поддоменов, административных интерфейсов, тестовых серверов и API. Панели управления и внутренние сервисы не должны оставаться общедоступными без надлежащей авторизации.
- Проверить критические сценарии веб-приложения. В первую очередь аутентификацию, управление сессиями, загрузку файлов, работу с базами данных, десериализацию и механизмы разграничения доступа. Именно комбинации нескольких ошибок часто позволяют превратить небольшую уязвимость в полный компромисс сервера.
- Контролировать целостность платёжных страниц. Изменения JavaScript-файлов, сторонних скриптов, шаблонов оформления заказа и загрузка кода с неожиданных доменов должны обнаруживаться. Полезными являются контроль разрешённых источников скриптов, мониторинг изменений и механизмы защиты вроде Content Security Policy.
- Защитить ключи и служебные учётные записи. Секреты API, доступы к базам данных, облачные ключи и административные учётные записи должны храниться и использоваться с минимально необходимыми правами. Также важны ротация ключей, MFA и контроль необычных входов.
- Настроить мониторинг подозрительной активности. Стоит обращать внимание на нетипичные серии запросов к API, новые файлы в веб-каталогах, изменения заданий планировщика, необычные исходящие соединения и неожиданную активность привилегированных учётных записей. Сам по себе WAF не гарантирует защиту от многоэтапного проникновения.
- Изолировать резервные копии и регулярно проверять восстановление. Инцидент с удалением 180 таблиц показывает, что доступные атакующему резервные данные могут быть уничтожены вместе с основными. Необходимы отдельные или неизменяемые копии, защита доступа к ним и практическая проверка процедуры восстановления.
- Использовать автоматизированный аудит на опережение. ИИ-инструменты могут помогать находить проблемы в собственном коде и конфигурациях. Однако результаты необходимо проверять, а активное тестирование проводить только на системах, для которых имеется соответствующее разрешение.
Если есть подозрение, что сайт уже стал жертвой подобной кампании, недостаточно просто обновить программное обеспечение. Необходимо проверить журналы доступа, целостность файлов, подозрительные административные учётные записи, возможные механизмы закрепления в системе и признаки утечки данных.
Особенно важно выяснить, не появились ли на сервере сторонние механизмы загрузки файлов или скрытые скрипты, способные обеспечить повторный доступ даже после исправления первоначальной уязвимости.
Вывод: стоимость кибератак снижается, а их масштаб растёт
В октябрьском расследовании больше всего впечатляет не сам факт использования ИИ для взлома. Подобные примеры уже встречались раньше.
Гораздо важнее изменение экономики киберпреступности.
Один оператор способен организовать сотни параллельных проверок, тратить на успешное проникновение десятки долларов и оставлять агентов работать на протяжении многих часов без постоянного вмешательства.
Это не означает, что ИИ превратился в безошибочного хакера. Агенты по-прежнему терпят неудачи, могут неправильно оценивать результаты и выполнять задачи с непредсказуемыми последствиями.
Однако они уже достаточно эффективны, чтобы превратить сложные многоэтапные атаки в масштабируемый процесс.
Для владельцев онлайн-сервисов это означает, что малоизвестность или относительно небольшой размер проекта больше не стоит воспринимать как фактор безопасности.
Когда атаковать сотни сайтов дёшево, злоумышленнику не нужно долго выбирать одну идеальную цель. Он может проверить все доступные — и продолжить работу там, где агенты обнаружат слабое место.
Именно к этой реальности теперь придётся адаптироваться индустрии кибербезопасности.
Материал подготовлен на основе расследований Reuters от 27 августа и 19 октября 2026 года, технических отчётов NorForge от 19 октября и Gambit Security от 22 сентября, а также публикаций Anthropic и Cloudflare. Данные о количестве атак, успешных проникновений и финансовых затратах приведены в соответствии с оценками исследователей на момент публикации.