ИИ-агенты в кибератаках: как автономные боты взламывают системы без участия человека

Что такое ИИ-агент

Термин «ИИ-агент» успели заездить примерно до состояния «облако» и «цифровая трансформация», поэтому стоит сразу развести понятия — тем более что в разговоре про кибератаки путаница обходится дорого. Проще всего оттолкнуться от двух вещей, с которыми агента чаще всего путают:

• Чат-бот — система вопрос-ответ: вы даете промпт, получаете текст, на этом ее работа заканчивается.
• Скрипт-автоматизация — жестко прописанный сценарий: если условие А, выполнить действие Б, дальше по списку.

Оба варианта предсказуемы и статичны — они делают ровно то, что в них заложено, и ни шагом больше.

Агент устроен принципиально иначе. У него есть цель, а не готовый сценарий, и он сам выстраивает путь к ней. Технически это LLM, обернутая в цикл «спланировать → выполнить → оценить результат → скорректировать план», с доступом к внешним инструментам — терминалу, браузеру, API, сканерам портов, фреймворкам вроде Metasploit. Модель не просто генерирует текст о том, как можно было бы взломать систему: при наличии соответствующих инструментов агент способен запускать команды, анализировать их вывод и использовать полученный результат для выбора следующего действия.

Ключевое отличие — в middle-слое между действием и следующим действием. Классический скрипт после неудачной попытки эксплойта просто остановится или пойдет по заранее прописанной ветке обработки ошибки. Агент может проанализировать сообщение об ошибке, сопоставить его с доступным контекстом и попробовать изменить последовательность действий: например, перейти к другому сервису или выбрать иной способ разведки. Насколько успешно он это сделает, зависит от качества модели, доступных инструментов и контекста, который ей предоставлен. Это уже не автоматизация в привычном понимании: агент способен самостоятельно выбирать следующий шаг, но качество такого решения напрямую зависит от модели, доступных инструментов и контекста.

Именно эта петля обратной связи и есть та грань, которая превращает удобный инструмент в качественно новый класс угроз. Причем грань эта не бинарная: степень автономности сильно варьируется — от агента, который просто ускоряет рутинные операции под присмотром человека, до систем, действующих по принципу «поставил цель и ушел пить кофе». И именно от того, где на этой шкале находится конкретный инструмент, зависит, насколько предсказуемо будет вести себя атака.

Как ИИ-агенты применяются киберпреступниками уже сегодня

Речь уже не только об экспериментах: ИИ применяется злоумышленниками в отдельных этапах реальных атак, а исследователи и ИБ-специалисты фиксируют сценарии с разной степенью автономности. Спектр применения широкий: от банальной, но кратно ускоренной разведки цели и генерации персонализированного фишинга до сценариев, где автономная ИИ-атака самостоятельно анализирует результаты предыдущих действий и меняет дальнейшую тактику. Такие возможности сокращают объем ручной работы оператора, хотя степень реальной автономности зависит от конкретного инструмента и условий атаки.

Владимир Арышев
Эксперт по комплексным проектам информационной безопасности STEP LOGIC
Пока мы не наблюдаем массового применения полностью автономных ИИ-агентов в реальных атаках, но отдельные элементы уже активно используются. Искусственный интеллект помогает злоумышленникам собирать информацию о компании, автоматически создавать убедительные фишинговые письма, искать уязвимости в открытых сервисах, анализировать результаты атак и писать вредоносный код. По сути, ИИ становится помощником, который значительно ускоряет работу злоумышленников.

Наибольшую опасность представляет следующий этап развития — появление агентов, способных самостоятельно выполнять всю цепочку атаки от разведки и поиска точки входа до закрепления в инфраструктуре и дальнейшего распространения по сети. В этом случае атаки станут быстрее, масштабнее и смогут адаптироваться к особенностям конкретной организации практически в режиме реального времени. Для служб ИБ это означает сокращение времени на обнаружение и реагирование, а значит требования к скорости защиты будут только расти.

При этом важно различать исследовательские демонстрации, отдельные подтвержденные инциденты и массовое применение. Публичные кейсы пока показывают прежде всего отдельные цепочки действий, в которых ИИ берет на себя часть работы атакующего, а не универсального автономного «хакера», способного самостоятельно взломать любую инфраструктуру.

Примеры атак:

• Автономный шифровальщик от Sysdig. Агенту удалось автономно выполнить несколько этапов атаки: получить доступ к системе, извлечь учетные данные, продвинуться внутри среды и выполнить разрушительные действия. Человек запустил цепочку, после чего агент самостоятельно принимал решения в рамках доступных ему инструментов.
• Кейс JadePuffer через уязвимость в Langflow. Атака стартовала с эксплуатации CVE-2025-3248 в опенсорсном фреймворке Langflow, позже попавшей в каталог активно эксплуатируемых уязвимостей CISA. ИИ-агент действовал по сценарию, характерному для опытных группировок-вымогателей.
• Supply-chain-компрометация Vercel через Context.ai. В апреле 2026 года взлом через сторонний ИИ-инструмент обошелся компании примерно в 2 млн долларов: от личного аккаунта сотрудника в ИИ-сервисе — к корпоративному Google Workspace, а затем к внутренним средам компании.
• Российская промышленность. По данным «Лаборатории Касперского», уже зафиксированы атаки на промышленные предприятия с применением ИИ-агентов, где злоумышленники брали на себя планирование, таргетирование и контроль — а часть исполнительных функций отдавали агенту.

Отдельно стоит упомянуть отчет Google Threat Intelligence Group: в 2025 году злоумышленники встраивали вредоносные промпты в легитимные ИИ-инструменты более чем в 90 организациях, похищая учетные данные и криптовалюту — правда, пока с оговоркой, что скомпрометированные системы могли только читать данные, но не менять критическую инфраструктуру. Поэтому по мере распространения агентных систем особое значение будет иметь контроль их прав: чем больше операций агент сможет выполнять самостоятельно, тем выше потенциальный ущерб в случае компрометации.

Главный риск — не скорость, а автономность

Первая реакция на новость про ИИ-агентов в атаках обычно звучит так: «ну, теперь все будет быстрее». Это действительно одно из преимуществ технологии, но не главное. Скорость сама по себе не становится новым явлением для ИБ: DDoS-боты, автоматизированные сканеры уязвимостей и массовый фишинг существуют десятилетиями.

Алексей Трофимов
Главный специалист группы по анализу защищенности мобильных и веб-приложений компании «Бастион»
В ходе атак люди обычно действуют последовательно: обнаруживают сервис, определяют стек технологий и формат запроса, затем отправляют тестовую нагрузку, анализируют ответ и совершают еще одну попытку, немного скорректировав запрос. Цикл продолжается до обнаружения уязвимости, может занимать много времени и легко выявляется системами мониторинга.

ИИ-агент работает иначе. Он сразу подготавливает скрипт с несколькими десятками различных нагрузок, отправляет их, а затем анализирует все ответы одновременно. Это позволяет ему за короткий срок попробовать разные типы уязвимостей и данных. Если модель определяет, что на сервисе используется старая версия ПО, она может мгновенно применить все релевантные критические уязвимости. Если же WAF блокирует нагрузку, агент просто самостоятельно корректирует запрос и продолжает проверку. Из-за этого атака заметно ускоряется, что создает новые риски для компаний.

Именно эта способность принимать решения на ходу создает для защиты несколько взаимосвязанных рисков:

1. Адаптивность. Защита, рассчитанная на конкретный, заранее просчитанный сценарий, устаревает быстрее, чем ее успевают внедрить, — атака перестает быть статичной мишенью.
2. Непредсказуемость. Даже сами операторы атаки не всегда могут заранее сказать, каким путем агент дойдет до цели, — а значит, поведенческая аналитика и threat-хантинг имеют дело с противником без постоянного почерка.
3. Сложность атрибуции. Прямое следствие первых двух: если тактика собирается на лету и не завязана жестко на решения конкретного человека, труднее понять, кто стоит за атакой и была ли она вообще спланирована заранее, или агент сложил ее сам из подручных инструментов уже в процессе.

Вместе эти три фактора меняют привычную картину атаки: если часть решений принимается непосредственно в ходе атаки, один и тот же сценарий может развиваться по-разному. Это усложняет не только обнаружение, но и прогнозирование дальнейших действий злоумышленника.

Поэтому ИИ-агенты становятся для кибербезопасности не просто новым инструментом автоматизации. Защите приходится учитывать меняющееся поведение противника — отслеживать контекст, отклонения от ожидаемого сценария и быстро адаптировать реакцию.

Защита: нейросети в ИБ на стороне добра

Справедливости ради: та же автономность, которая делает атаку опаснее, работает и в обратную сторону — просто про это говорят реже, потому что новости про взломы собирают больше внимания, чем новости про предотвращенные инциденты. SOC-команды по всему миру, включая российские, уже используют ИИ-агентов не как экспериментальную игрушку, а как часть повседневного пайплайна реагирования.

Самая очевидная зона применения — триаж алертов. Средний SOC получает тысячи срабатываний в день, и подавляющее большинство — шум: ложные срабатывания, дубли, события низкой критичности. Агент берет на себя первичную сортировку — сопоставляет алерт с контекстом и решает, что можно закрыть автоматически, а что требует внимания аналитика. Дальше — автоматическое реагирование: изоляция скомпрометированного хоста, блокировка подозрительного IP, отзыв токена доступа — те действия, где счет идет на минуты, а человек физически не успевает отреагировать быстрее машины.

Отдельная и, пожалуй, самая интересная область — поиск аномалий. В отличие от сигнатурного анализа, который ищет то, что уже известно, агент способен сопоставлять паттерны поведения в динамике и замечать отклонения, для которых еще нет готового правила, — по сути, то же преимущество адаптивности, которое опасно на стороне атаки, здесь работает на защиту. И наконец — red teaming: агентов уже используют для имитации атак на собственную инфраструктуру, чтобы находить слабые места быстрее и с меньшими затратами, чем при ручном пентесте, — своего рода спарринг-партнер, который не устает пробовать новые векторы.

Алексей Трофимов
Главный специалист группы по анализу защищенности мобильных и веб-приложений компании «Бастион»
ИБ-специалисты уже достаточно широко применяют ИИ-агентов, однако полностью автоматизировать с помощью моделей защиту инфраструктуры опасно. Агенты плохо понимают бизнес-риски, а также могут неверно определять критичность событий. Кроме того, следование анализу инцидентов от ИИ без дополнительной проверки может привести к негативным последствиям, например, блокированию легитимных запросов от клиентов.

Также при использовании искусственного интеллекта информация об инфраструктуре и инцидентах передается API-провайдерам нейросетей. Поэтому на данный момент бизнес крайне осторожно применяет модели в защите.

Получается забавная симметрия: та же способность агента интерпретировать результат и подстраивать следующий шаг, что делает атакующих опаснее, делает и защитников быстрее — вопрос лишь в том, на чьей стороне эта технология внедряется активнее прямо сейчас.

Атака vs защита

Если вынести за скобки эмоции, картина получается не апокалиптической, а вполне рабочей: ни у атакующих, ни у защитников нет решающего перевеса. Это классическая гонка вооружений, где каждая сторона выигрывает в одних условиях и проигрывает в других — а не сценарий, где машины научились взламывать все подряд быстрее, чем их успевают останавливать.

Из этой таблицы видно главное: превосходство агента в скорости и числе попыток компенсируется тем, что защитник играет на своем поле и знает правила игры лучше атакующего. Именно поэтому итог противостояния определяется не тем, у кого «ИИ круче», а тем, кто быстрее и качественнее внедряет агентные технологии в свои процессы — реактивная позиция здесь проигрывает независимо от того, на чьей она стороне.

Почему ИИ пока не заменит человека

Важно не скатиться в панику по принципу «теперь любую компанию взломает бот за час». У автономных агентов есть конкретный потолок возможностей — и упирается он не в мощность модели, а в природу самой задачи взлома сложной инфраструктуры:

• Контекст. Человек интуитивно достраивает картину по косвенным признакам — названию сервера, конфигурации, поведению админов в логах. Агент видит только то, что явно отражено в данных, и плохо считывает такие неявные сигналы.
• Многоступенчатые защиты. Единичный барьер агент обходит уверенно, но цепочка взаимосвязанных мер — сегментация сети, MFA, поведенческий мониторинг, honeypot — требует не последовательного обхода, а стратегического планирования на несколько шагов вперед с учетом их взаимосвязей. Здесь у агентов слабое место.
• Нестандартная инфраструктура. Модели обучены на типовых конфигурациях и известных уязвимостях. Столкнувшись с самописной системой или редким промышленным протоколом, например, в АСУ ТП, агент теряет опору на привычные паттерны.
• Работа в условиях неопределенности. Агент способен быстро комбинировать известные техники, но при неполном или противоречивом контексте может ошибаться в оценке ситуации, выбирать неэффективные действия или зацикливаться на неудачных вариантах.

Эти ограничения связаны не только с возможностями самой модели, но и с качеством предоставленного ей контекста, инструментов и прав доступа. Чем менее предсказуема среда, и чем больше решений нужно принимать на основе неполных данных, тем выше вероятность ошибок и неэффективных действий агента.

Николай Калуцкий
Ведущий инженер-программист НОЦ ФНС России и МГТУ им. Н.Э. Баумана
Как ни странно, но отсутствие человеческого фактора, а именно творческого мышления, не позволяют ИИ-агентам полностью заменить человека при проведении сложных кибератак. К тому же сами агенты сейчас стали привлекательной мишенью — то есть расширение поверхности атак, нестабильность на дальних дистанциях, галлюцинации (ложные выходные данные), ну и необходимость контроля.

Сегодня ИИ-агент — не гений-одиночка, а очень эффективный подмастерье: снимает с человека рутину и ускоряет типовые сценарии, но пасует там, где нужна настоящая стратегия и импровизация.

Что делать компаниям уже сейчас

Готовиться к атакам с ИИ-агентами — не значит покупать очередной модный продукт с припиской «AI-powered» на коробке. Большинство эффективных мер — это доведение до ума базовых принципов ИБ, которые просто становятся критичнее в условиях, когда противник умеет адаптироваться быстрее человека:

• Непрерывный мониторинг вместо периодических проверок. Против агента, который меняет тактику на лету, не работает логика «раз в квартал прогнали сканер уязвимостей». Нужна система, способная замечать отклонения в реальном времени, а не постфактум.
• Архитектура Zero Trust. Если атакующий агент способен быстро продвигаться внутри сети после получения первого плацдарма, единственный способ ограничить ущерб — не давать ему доверенного статуса нигде по умолчанию: проверка на каждом шаге, минимальные привилегии, сегментация.
• Тестирование на устойчивость к автономным атакам. Классический пентест раз в год плохо отражает реальность, где противник — не человек с ограниченным временем, а агент, готовый пробовать сотни векторов подряд. Имеет смысл регулярно прогонять инфраструктуру через симуляции именно агентных атак.
• Обучение SOC работе с ИИ-инструментами. И для атаки, и для защиты сейчас нужны специалисты, понимающие логику работы агентов, — иначе команда будет одинаково плохо распознавать как атаку с их использованием, так и эффективно применять их на своей стороне.

Ни один из этих пунктов не решает проблему в одиночку — эффект дает только их совокупность, встроенная в постоянные процессы, а не разовое внедрение.