Киберпреступникам не нужен ИИ, чтобы скомпрометировать организацию, но ИИ проникает в классические методы атак и меняет скорость их развития. Задачи, которые раньше требовали от злоумышленников ручного анализа информации и выяснения принципов работы организации, могут быть ускорены с помощью ИИ, сокращая время, доступное защитникам для обнаружения и вмешательства.
Недавний пример — EvilTokens, платформа фишинга как услуги (phishing-as-a-service), которая помогает злоумышленникам получить доступ к почтовым ящикам Microsoft 365, а затем использует ИИ для анализа среды, чтобы определить наиболее эффективные дальнейшие действия. Впервые обнаруженная в феврале 2026 года, EvilTokens использует поток авторизации устройств OAuth 2.0 для получения доступа к учетным записям Microsoft без необходимости создавать поддельные страницы входа. После нейтрализации в сентябре злоумышленника, предположительно стоящего за этой схемой, Microsoft заявила, что операция EvilTokens использовала ИИ «на каждом этапе цепочки атак».
Поскольку ИИ устраняет все больше препятствий, замедляющих злоумышленников, безопасность будет зависеть не только от скорости реагирования команд на угрозы, но и от того, сколько сможет достичь злоумышленник до этого.
ИИ устраняет препятствия в жизненном цикле атаки
Большинство кибератак можно условно разделить на три этапа: доступ, расширение и воздействие.
Сначала злоумышленник получает доступ к среде, будь то кража учетных данных, использование уязвимости или социальная инженерия сотрудника. Оттуда он расширяет область доступа и обеспечивает устойчивость. Наконец, он использует свою позицию для достижения цели, такой как кража разведданных, мошенничество, развертывание программ-вымогателей или нарушение работы.
На протяжении всего жизненного цикла атаки ИИ может предоставить злоумышленникам большую скорость, масштаб, изощренность и выносливость — то, что мы в SimSpace называем «Четырьмя S» (Speed, Scale, Sophistication, Stamina). EvilTokens демонстрирует, как эти преимущества могут быть объединены в единый сервис. Он позволяет злоумышленникам использовать легитимный поток авторизации устройств Microsoft, убеждая жертв разрешить доступ злоумышленнику, не передавая им свои пароли. Оказавшись внутри, ИИ определяет, кто контролирует платежи, какие деловые отношения основаны на доверии, и какие счета или транзакции представляют возможности для мошенничества. Затем он рекомендует цели для выдачи себя за другое лицо и составляет убедительные мошеннические сообщения, основанные на реальных деловых переписках.
EvilTokens показывает, что происходит, когда ИИ-ассистированный анализ и принятие решений становятся упакованной возможностью, которую могут приобрести киберпреступники. Злоумышленнику по-прежнему нужен первоначальный доступ, но ИИ может устранить препятствия для всей последующей работы.
Производительность должна оцениваться по-другому
Среднее время до обнаружения (MTTD) и среднее время до реагирования (MTTR) — это метрики, широко используемые командами безопасности для измерения своей производительности. Атаки с использованием ИИ меняют релевантность этих измерений, поскольку временные рамки злоумышленника также могут ускоряться.
Если злоумышленник с помощью ИИ компрометирует учетную запись сотрудника, и командам безопасности требуется 30 минут для ее обнаружения, злоумышленник может успеть сделать гораздо больше за это время, чем было возможно раньше. И если обнаружение не приводит к немедленному сдерживанию, часы злоумышленника продолжают тикать, и масштаб потенциального ущерба увеличивается.
Это меняет контекст, в котором следует оценивать MTTD и MTTR. Обнаружение, произошедшее до того, как злоумышленник вышел за пределы исходной учетной записи, гораздо ценнее, чем обнаружение после установления устойчивости и определения злоумышленником лиц и процессов, которые он намерен использовать.
Скорость должна измеряться тем, как быстро угроза может привести к воздействию, а не только предыдущей производительностью организации.
Средства контроля должны тестироваться совместно
Еще одна проблема, с которой сталкиваются команды безопасности, заключается в том, что технологии безопасности часто оцениваются по отдельности, несмотря на то, что реальные атаки охватывают несколько систем.
Атака в стиле EvilTokens может взаимодействовать со многими корпоративными системами, такими как средства защиты электронной почты, проверки подлинности или мониторинга сети, и любой из этих уровней потенциально может прервать атаку. Тестирование этих средств защиты по отдельности может показать, защищают ли они отдельные функции, но оно не дает организациям уверенности в том, что произойдет, когда злоумышленник переместится между ними.
Понимание того, как средства защиты работают вместе, требует тестирования полного пути атаки, а не отдельных методов в изоляции. Команды безопасности могут воссоздавать реалистичные сценарии атак и измерять, когда обнаруживается первоначальная активность, что злоумышленник достигает до и после обнаружения, какие средства контроля прерывают атаку и сколько времени требуется для сдерживания активности.
Повторное выполнение этих сценариев по мере развития угроз и технологий также может показать, сокращается или увеличивается окно между первоначальным доступом и вмешательством защиты. Что еще более важно, это дает командам безопасности возможность определить, где атака может развиваться, и устранить эти слабости до того, как они будут использованы в реальном инциденте.
В этом заключается идея превентивной безопасности — развивающейся практики, в которой команды безопасности сосредоточены на выявлении и устранении вероятных действий, которые может предпринять злоумышленник, прежде чем он действительно их предпримет, вместо того, чтобы обнаруживать и реагировать на активные угрозы.
Безопасность должна идти в ногу с противником
EvilTokens — это ранний пример того, как злоумышленники могут применять ИИ к устоявшимся методам киберпреступности. Все, что позволяет преступникам двигаться быстрее, управлять большим количеством целей и действовать с меньшим опытом, вероятно, будет принято и переупаковано. По мере этого команды безопасности будут вынуждены пересмотреть, что составляет «хорошую» оборонительную производительность. Исторически впечатляющие MTTD или MTTR имеют меньшее значение, когда злоумышленник с помощью ИИ может достичь значительно большего за то же время.
Защитники не могут контролировать, как быстро злоумышленники осваивают эти возможности, но они могут повлиять на то, насколько далеко продвинется злоумышленник, прежде чем его обнаружат и остановят. Все чаще это потребует выхода за рамки скорости реагирования организаций на атаки и вопроса о том, где злоумышленник, вероятно, добьется прогресса до возникновения инцидента. Чем больше организации смогут заранее выявлять и защищать эти уязвимости, тем меньше им придется полагаться на победу в гонке против злоумышленника с поддержкой ИИ после начала атаки.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Lee Rossey
