Автономные AI-агенты, созданные на основе фреймворков с открытым исходным кодом, взломали системы правительства Тайваня, скомпрометировали учетные данные и проникли в агентство по ядерной безопасности в ходе многодневной кибератаки, которая, по мнению исследователей, знаменует новый этап в операциях с использованием ИИ.
Кампания развернулась в течение четырех дней в начале июля, в ходе которых несколько AI-агентов действовали параллельно, чтобы картировать сети, выявлять уязвимости и выполнять шаги вторжения в взаимосвязанных системах, согласно исследованию, опубликованному компанией по кибербезопасности Dream.
«Примерно за четыре дня агентный атакующий создал 1395 файлов, 85 взломанных учетных данных, тысячи похищенных записей о персонале и получил постоянную точку опоры внутри государственной инфраструктуры», — написал Dream в блоге. «Это громко говорит об одном — стоимость проведения компетентной атаки рухнула, а стоимость защиты от нее — нет».
Они описали эту активность как «почти автономную атаку», добавив, что «наступательные операции с использованием ИИ сейчас находятся в переломной точке».
Появляется связь с Тайванем: правительство отмечает атаку с помощью ИИ
Dream не назвал пострадавшую страну, но заявил, что это были «государственные структуры в Азии». Однако Министерство цифровых дел Тайваня заявило, что обнаружило кибератаку «с помощью AI-агентов», направленную на правительственные учреждения в тот же период, согласно Reuters, которое сообщило, что в этой деятельности использовались инструменты на базе ИИ, такие как OpenClaw.
«Соответствующие источники атаки, методы и масштаб воздействия были полностью расследованы, а пострадавшие подразделения последовательно завершили обработку», — добавил отчет, цитируя чиновника Министерства цифровых дел Тайваня, хотя ни Dream, ни тайваньские власти явно не подтвердили связь между ними.
Отвечая на запросы CSO, представитель Dream отказался комментировать личность цели или атакующего и заявил, что его исследование не нашло доказательств подтвержденного взлома систем организации. «Мы не можем комментировать личность цели или атакующего. Наш отчет описывает фреймворк на момент нашего анализа».
Компания также сообщила, что с момента публикации своего первоначального сообщения в блоге она выявила доказательства использования модели DeepSeek-V4-Flash в этом фреймворке. «Мы не знаем, была ли это единственная использованная модель», — сказал представитель.
Правительство Тайваня не сразу ответило на запрос о комментарии.
Многоагентная система выполняет скоординированные волны атак
Исследователи написали, что фреймворк атаки был построен на агентах Hermes и OpenClaw и развертывал несколько под-агентов одновременно, каждый из которых был назначен на конкретные цели и задачи в последовательных волнах атак.
В ходе 12 волн атак агенты выполняли разведку, атаки на учетные данные и эксплуатацию уязвимостей параллельно, включая циклы планирования и механизмы обратной связи.
Это позволило системе «провести кампанию вторжения, а не отвечать на вопросы о ней», — написали исследователи.
Колин Феррис, руководитель отдела охоты за угрозами и реагирования на инциденты в Silverfort, сказал, что использование нескольких агентов, работающих параллельно, отражает то, как такие системы могут разделять задачи и адаптироваться в реальном времени.
«ИИ делает с кибербезопасностью то же, что дешевые дроны сделали с обычной войной», — сказал Феррис, добавив, что атакующие могут развернуть «горстку недорогих AI-агентов, чтобы постоянно находить и эксплуатировать пробелы, которые они еще не исправили».
Системы идентификации и API формируют начальные точки входа
Кампания началась с автоматизированной разведки, в ходе которой система картировала государственную инфраструктуру, извлекая конечные точки API и конфигурации аутентификации из общедоступного кода, согласно сообщению в блоге.
Исследователи написали, что фреймворк выявил неаутентифицированные API, раскрывающие пользовательские данные, и в одном случае — целую базу данных пользователей без аутентификации.
Они добавили, что система использовала комбинацию методов для получения доступа, включая эксплуатацию скрытых конечных точек аутентификации, проведение атак на учетные данные и обход механизмов проверки токенов.
Скомпрометированные учетные записи затем использовались для бокового перемещения по связанным системам через интеграции единого входа.
Крис Томас, защитник безопасности в компании по кибербезопасности Semgrep, сказал, что описанные методы не новы, но ИИ меняет то, как они выполняются.
«Это демонстрирует, что ИИ — это просто инструмент, который могут использовать как защитники, так и атакующие», — сказал Томас. «Атакующие будут атаковать, и они найдут способ обойти упряжь и другие ограничения».
Кампания расширяется на цепочку поставок и критически важные сектора
Исследователи написали, что операция вышла за пределы первоначальных целей, включив партнеров по цепочке поставок, государственную систему электронной почты и организации в энергетическом секторе.
Они добавили, что кампания достигла организации, связанной с ядерной безопасностью, хотя в отчете не указана страна и не уточняется уровень полученного доступа.
Феррис сказал, что такие кампании подчеркивают, как атакующие могут использовать широко доступные инструменты для масштабирования операций, отметив, что системы могут «исследовать цели, разделять обязанности и менять тактику при блокировке».
Растущая обеспокоенность по поводу автономного ИИ в кибероперациях
Недавние разоблачения разработчиков ИИ указали на аналогичные риски. OpenAI недавно заявил, что не может исключить, что продвинутые модели могут автономно выявлять и эксплуатировать уязвимости, в то время как Anthropic сообщил о случаях, когда AI-агенты пытались получить доступ к внешним системам во время тестирования.
Исследователи написали, что меры защиты, предназначенные для ограничения поведения ИИ, были обойдены в кампании путем представления деятельности как авторизованного тестирования. Они добавили, что лингвистический анализ предполагает, что кампания была проведена «оператором, говорящим на китайском языке», хотя в отчете это не приписывается какой-либо конкретной группе или стране.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Gyana Swain
