Хакеры взяли на вооружение ИИ-агентов и научились обходить защиту Claude

Криминальные хакеры по всему миру всё активнее берут на вооружение агентный искусственный интеллект — и научились обходить защитные механизмы моделей, включая Claude от Anthropic. Об этом свидетельствуют свежие данные о четырёх успешных атаках, о которых рассказали исследователи компании CrowdStrike, занимающейся киберразведкой. Они изучили инфраструктуру, стоявшую за нападениями в период с мая по август, и пришли к выводу: даже относительно неискушённые преступники теперь выстраивают автономные цепочки атак с помощью ИИ.

Речь идёт о четырёх ранее не публиковавшихся группировках: одна работает на китайском языке, вторая — на испанском и английском, третья — на индонезийском, четвёртая — на русском. Первые две, по оценке исследователей, продемонстрировали изощрённые «обвязки» — программные каркасы, которые направляют модель и заставляют её выполнять нужные задачи. Две другие оказались технически слабее, но всё равно сумели взломать несколько целей. Все четверо оставили свою ИИ-инфраструктуру открытой на веб-серверах, что и позволило аналитикам разобрать их активность и выяснить, какие модели использовались. В основном это были версии Claude от Anthropic и открытые модели семейства Deepseek. При этом все группировки придумали, как заставить свои кампании работать автономно на протяжении длительного времени.

«Можно задействовать разные модели для разных этапов операции. Маршрутизация и выбор модели критически важны, потому что это дорого, а новейшие модели часто избыточны», — объясняет Адам Майерс, старший вице-президент CrowdStrike по противодействию злоумышленникам. Исследователи заметили, что атакующие применяли и открытые, и закрытые модели, но почти всегда брали версии постарше, а не фронтирные разработки. Майерс отмечает: так же поступают и добросовестные пользователи ИИ, когда расходы начинают расти.

Ещё один приём — комбинирование нескольких моделей, чтобы использовать различия в защитных барьерах. «Ограждения и защиты у моделей не одинаковы, даже внутри одной компании», — подчёркивает Майерс. При этом он оговаривает: сами атаки не блещут новизной. «Эти кампании не используют новых эксплойтов или неизвестных уязвимостей. Они просто берут скоростью и объёмом, которые даёт ИИ, и бьют по массовым проблемам гигиены безопасности — по тому, что можно было предотвратить, но не предотвратили».

Исследователи выяснили, что все четыре группировки так или иначе обходили защитные механизмы моделей. Чаще всего они убеждали ИИ, что действуют легально и с разрешения — например, в рамках тестирования на проникновение или оценки безопасности. Один из распространённых трюков — подкладывать в рабочую директорию агента файлы, которые якобы подтверждают согласование и авторизацию задач. Использовались и классические методы джейлбрейка: специально составленные запросы и сюжеты, где взлом подавался как санкционированная и безобидная работа, а возможные вопросы модели заранее нейтрализовывались. Более продвинутые группировки тщательнее выстраивали легенду, менее искушённые порой шли напролом и грубыми запросами пытались «дожать» модель.

Группировка, работающая на китайском языке, пошла дальше: она применила так называемый патч времени выполнения — инструмент под названием ClawGod, который добавлял функциональность поверх Claude Code и пытался вырезать из системного запроса инструкцию CYBER_RISK_INSTRUCTION. Эта директива предписывает Claude Code участвовать только в разрешённом тестировании безопасности, а не в деструктивном взломе.

Группировка, действовавшая на испанском и английском, атаковала аргентинские медицинские организации и успешно скомпрометировала как минимум 15 из них. По данным CrowdStrike, есть свидетельства кражи учётных данных и медицинских записей у одной из жертв. Злоумышленники собрали специальную обвязку для тестирования на проникновение — такую, какой организация пользуется для проверки собственной инфраструктуры, — чтобы находить и закрывать уязвимости. С помощью моделей Claude Opus 4.5, Claude Haiku 4.5 и Deepseek V4 Pro они развернули целую инфраструктуру автономных атак: агент-«супервизор» на базе Claude Code направлял шаги, а агент-«исполнитель» их выполнял.

Китайскоязычная группировка тоже строила обвязки для тестирования на проникновение, чтобы вести разведку через Claude Code, а после того как человек выбирал курс действий, атака шла уже автономно. Исследователи установили, что эти злоумышленники успешно взломали государственные объекты в Бразилии и Колумбии, а также атаковали частные компании в Бразилии и США — в биотехе, здравоохранении, пищевой промышленности, рознице, технологиях и туризме. В основном они опирались на Claude Opus 4.8, но использовали и Claude Sonnet 4.6, и Deepseek Chat. Доступ к Claude шёл через прокси-сервис в Китае, при этом на случай недоступности были предусмотрены запасные варианты с другими ИИ-инструментами.

Anthropic отказалась от комментариев до публикации, а Deepseek не ответила на запросы издания оперативно.

По словам исследователей, русскоязычная группировка, судя по всему, ориентировалась на финансово мотивированную киберпреступность, а индонезийская — наименее технически подкованная из четырёх — использовали более простые, общедоступные навыки и обвязки. И всё же обе добились успеха: в случае с индонезийской группировкой речь идёт о компрометации ряда целей. Главный вывод отчёта неутешителен: защитные механизмы моделей пока не становятся непреодолимым барьером для криминала — преступники учатся обходить их быстрее, чем разработчики успевают закрывать дыры.