ARTEX и друзья: появление агентильных наступательных фреймворков

Введение

Недавние вторжения, в ходе которых злоумышленники использовали агентильные фреймворки для реализации высокоавтоматизированных атак, привлекли внимание к эволюции применения LLM злоумышленниками. В нашем отчете за сентябрь 2026 года Google Threat Intelligence Group (GTIG) отметила, что наиболее передовые злоумышленники начали переходить от базового промптинга к агентильным рабочим процессам и автоматизации на базе LLM.

С момента публикации этого материала GTIG и Mandiant зафиксировали, как в ходе расследований инцидентов несколько злоумышленников использовали открытые агентильные фреймворки для пентестинга ARTEX, Hexstrike и CAIRN для выполнения широкого спектра действий на различных этапах жизненного цикла атаки. Эта активность наблюдается по всему ландшафту угроз, как отмечается в недавнем отчете Wiz report. Появление Artex и аналогичных агентильных наступательных фреймворков подчеркивает более масштабный переход злоумышленников к использованию открытых мультиагентильных наступательных фреймворков, а также потенциально кастомных агентильных оболочек.

Это представляет собой сдвиг парадигмы в сторону вторжений, происходящих со скоростью работы машин, когда автоматизированное объединение сложных путей атаки экспоненциально масштабирует вторжения. Хотя механика вторжений остается прежней — например, использование компрометированных учетных данных и нацеливание на неустраненные уязвимости — скорость и масштаб, с которыми фреймворки могут эксплуатировать эти известные слабые места, создают новую проблему для обороны. Командам безопасности, разработчикам и системным администраторам придется коренным образом переосмыслить стратегии защиты для противодействия масштабируемому автономному ПО. Мы также предлагаем стратегии защиты от Mandiant Consulting. Предложенные стратегии защиты — изоляция плоскости управления, недолговечные учетные данные, принцип наименьших привилегий, сегментация и поведенческий анализ — являются проверенными временем рекомендациями по безопасности.

Наблюдения «в дикой природе»

Мы видим, что инструменты, используемые злоумышленниками, эволюционируют в сторону автономных агентильных атак. Один из способов проявления этой тенденции заключается в использовании наборов инструментов или фреймворков, предназначенных для тестирования на проникновение («пентестинга»). Эти инструменты и фреймворки координируют работу различных агентов с использованием открытых и передовых LLM для автоматизации различных этапов вторжений. Исторически сложилось так, что кибершпионы и финансово мотивированные злоумышленники использовали платформы для пентестинга или Red Teaming, созданные для специалистов по безопасности, такие как Cobalt Strike или Metasploit, для эксплуатации систем. Сегодня злоумышленники переориентируются на наступательные фреймворки на базе LLM. Хотя эти фреймворки уже существовали ранее, теперь они приносят результаты при реальных вторжениях, что представляет собой критически важную эволюцию, увеличивающую как скорость, так и масштаб вредоносной активности.

С конца августа 2026 года мы наблюдаем, как злоумышленники активно используют популярные открытые мультиагентильные платформы для пентестинга, такие как ARTEX, PentAGI, CAIRN, и другие потенциально кастомные оболочки в рамках расследований инцидентов Mandiant; использование этих платформ также подтверждается нашей исследовательской телеметрией. В этих инцидентах мы наблюдали, как агентильная активность выполняет значительные части жизненного цикла атаки (например, латеральное перемещение, эксплуатацию баз данных, подготовку к эксфильтрации). Свидетельства использования этих фреймворков в реальных условиях знаменуют собой критический поворотный момент для защитников, поскольку агенты теперь автономно исследуют множественные пути атак, устраняют ошибки и достигают целей за секунды и минуты. В сочетании с постоянным совершенствованием возможностей базовых LLM, ускорение скорости и масштаба атак сигнализирует о заметном изменении ландшафта угроз, которое коренным образом меняет динамику традиционных вторжений.

Фреймворк ARTEX

ARTEX — это автономная мультиагентильная платформа для пентестинга и наступательного управления и контроля (C2) на базе LLM, написанная на Go со встроенной веб-консолью Next.js. Фреймворк был изначально разработан пользователем Autumn-27 и выпущен на GitHub. Хотя оригинальный репозиторий был удален его создателем в октябре 2026 года из-за массового злоумышленника, фреймворк продолжает распространяться по всему миру через форки сообщества, включая локализованные вариации, такие как ScopeWeaver, и коммерческую версию под названием ARTEX PRO. ARTEX абстрагирует жизненный цикл атаки через шесть специализированных субагентов. Используя API передовых и открытых моделей, фреймворк преобразует высокоуровневые тактические цели в выполнимые машинные команды. GTIG зафиксировала наличие таких возможностей, как автоматическая разведка Active Directory, повышение привилегий, профилирование целевой облачной инфраструктуры (например, сбор ключей хранилища Azure), а также создание и развертывание кастомных веб-шеллов.

С конца августа 2026 года ARTEX был взят на вооружение самыми разными злоумышленниками из различных спектров мотивации, включая как финансово мотивированные вымогательские группировки, так и предполагаемых операторов кибершпионажа. Например, исследовательская группа Wiz отслеживает кампанию, связанную с ARTEX, которую GTIG отслеживает как UNC7228 и которая пересекается с активностью, отслеживаемой Microsoft as the PRC-nexus actor STORM-0940. Это исследование расширило понимание Wiz данной кампании за рамки октябрьской активности, сфокусированной на ИТ-сфере, при этом активность теперь прослеживается по крайней мере с августа 2026 года. Wiz выявила таргетинг, компрометацию и кражу данных, затронувшие несколько организаций в США и Европе в таких отраслях, как корпоративное ПО, промышленная автоматизация, производство и проектирование полупроводников, а также телекоммуникации. Этот злоумышленник действовал чрезвычайно быстро, обычно переходя от первой скомпрометированной учетной записи к глубокому доступу к системе примерно за четыре часа, а в одном случае — всего за 15 минут. Они также кастомизировали свои инструменты под особенности конкретных жертв и переключались на открытые прокси-серверы в случае блокировки их исходной инфраструктуры.

Демонстрируя более широкое распространение ARTEX, GTIG и Mandiant зафиксировали использование ARTEX несколькими другими злоумышленниками для посткомпрометационной разведки, латерального перемещения и повышения привилегий в ходе расследований инцидентов. Сюда входят финансово мотивированные злоумышленники, которые использовали фреймворк для содействия вымогательству путем кражи данных, а также дополнительные предполагаемые группировки, связанные с КНР. Их операции в совокупности затронули организации в государственных структурах, технологическом секторе, химической и материальной промышленности, а также в производственном секторе в США, наряду с публичными сообщениями о том, что ARTEX нацелен на финансовый сектор в Азии.

В нескольких случаях злоумышленники предоставляли ARTEX скомпрометированные учетные данные целевой организации и поручали фреймворку выполнение последующих этапов жизненного цикла атаки. Анализ этих вторжений выявляет ключевые различия между действиями, выполненными фреймворком ARTEX, и действиями оператора-человека:

• На основе файлов журналов и меток времени мы выявили всплески активности, которые были бы крайне необычны для оператора-человека. Хотя каждое из вторжений демонстрировало продолжительные паузы на операционных этапах, отдельные последовательности выполнения ARTEX запускались сжатыми всплесками продолжительностью примерно от 2 до 25 секунд. По крайней мере в ходе одной операции мы зафиксировали 27 событий за 23 секунды активного всплеска, в течение которых выполнялось быстрое зондирование разрешений AWS в различных группах безопасности. При подготовке потенциальных скриптов эксфильтрации ARTEX смогла успешно адаптироваться к ошибкам с текстом «script too large» (скрипт слишком велик), сократив скрипт и перезапустив его для успешного развертывания экземпляра с 17 моментальными снимками примерно за 10 секунд.

На основе файлов журналов и меток времени мы выявили всплески активности, которые были бы крайне необычны для оператора-человека. Хотя каждое из вторжений демонстрировало продолжительные паузы на операционных этапах, отдельные последовательности выполнения ARTEX запускались сжатыми всплесками продолжительностью примерно от 2 до 25 секунд. По крайней мере в ходе одной операции мы зафиксировали 27 событий за 23 секунды активного всплеска, в течение которых выполнялось быстрое зондирование разрешений AWS в различных группах безопасности. При подготовке потенциальных скриптов эксфильтрации ARTEX смогла успешно адаптироваться к ошибкам с текстом «script too large» (скрипт слишком велик), сократив скрипт и перезапустив его для успешного развертывания экземпляра с 17 моментальными снимками примерно за 10 секунд.

• По сравнению с компетентным оператором-человеком, ARTEX добивалась выполнения кода гораздо более «шумным» с точки зрения криминалистики способом, полагаясь на быстрый итеративный метод проб и ошибок. В одном из случаев, имея действительные учетные данные, ARTEX получила доступ к внешнему веб-серверу Linux Weaver OA для выполнения SQL-команд через открытые вызовы API. Используя легитимно открытые API-интерфейсы конкретного приложения, ARTEX смогла добиться частичного выполнения команд для проведения дальнейшей разведки, несмотря на технические сложности. Однако этот процесс породил 240 событий в журналах и привел к ошибкам, возможно вызванным тем, что несколько субагентов перезаписывали действия друг друга, преследуя ту же цель.

По сравнению с компетентным оператором-человеком, ARTEX добивалась выполнения кода гораздо более «шумным» с точки зрения криминалистики способом, полагаясь на быстрый итеративный метод проб и ошибок. В одном из случаев, имея действительные учетные данные, ARTEX получила доступ к внешнему веб-серверу Linux Weaver OA для выполнения SQL-команд через открытые вызовы API. Используя легитимно открытые API-интерфейсы конкретного приложения, ARTEX смогла добиться частичного выполнения команд для проведения дальнейшей разведки, несмотря на технические сложности. Однако этот процесс породил 240 событий в журналах и привел к ошибкам, возможно вызванным тем, что несколько субагентов перезаписывали действия друг друга, преследуя ту же цель.

• В попытке перейти от контекста выполнения базы данных к контексту выполнения системы ARTEX использовала специфичный для приложения SQL API, доступный для предоставленных учетных данных пользователя, чтобы модифицировать экземпляр MySQL для записи файлов журналов с расширением .jsp в общедоступные места. Выполненные SQL-команды, вероятно, предназначались для внедрения в журналы MySQL веб-доступных JSP-вебшеллов.

В попытке перейти от контекста выполнения базы данных к контексту выполнения системы ARTEX использовала специфичный для приложения SQL API, доступный для предоставленных учетных данных пользователя, чтобы модифицировать экземпляр MySQL для записи файлов журналов с расширением .jsp в общедоступные места. Выполненные SQL-команды, вероятно, предназначались для внедрения в журналы MySQL веб-доступных JSP-вебшеллов.

• Используя API, ARTEX выполнила SET GLOBAL general_log_file = '<путь к вебшеллу>’, а затем SET GLOBAL general_log = 1; последующие SQL-команды записывались по пути к файлу, определенному в general_log_file. Затем ARTEX выполнила SQL-операторы SELECT вида `SELECT '<% [содержимое вебшелла] %>'`. Из-за особенностей обработки JSP-файлов лежащим в основе веб-сервлетом Java, Java-код внутри тегов '<% %>' синтаксически разбирается и компилируется в пространство памяти процесса, предоставляя средство выполнения.

Используя API, ARTEX выполнила SET GLOBAL general_log_file = '<путь к вебшеллу>’ а затем SET GLOBAL general_log = 1; последующие SQL-команды записывались по пути к файлу, определенному в general_log_file. Затем ARTEX выполнила SQL-операторы SELECT вида `SELECT '<% [содержимое вебшелла] %>'`. Из-за особенностей обработки JSP-файлов лежащим в основе веб-сервлетом Java, Java-код внутри тегов '<% %>' синтаксически разбирается и компилируется в пространство памяти процесса, предоставляя средство выполнения.

• Активность в журналах показывает множество итераций вышеуказанной последовательности с кратковременными, отчасти инкрементными именами файлов (cl1217.jsp, f1219a.jsp, z1219.jsp) для каждого кандидата в вебшеллы, причем каждый из них выполнял отдельную команду. Ошибки при попытке запуска вебшелла (например, «переменная 't уже определена») приводили к сбою вебшелла и, вероятно, заставляли ARTEX пересматривать свой подход, создавая несколько уникальных вебшеллов с разными целями, причем некоторые исправляли предыдущие ошибки, пока JSP-вебшеллы не начинали выполняться без сбоев и возвращать ARTEX действительный результат выполнения команд.

Активность в журналах показывает множество итераций вышеуказанной последовательности с кратковременными, отчасти инкрементными именами файлов (cl1217.jsp, f1219a.jsp, z1219.jsp) для каждого кандидата в вебшеллы, причем каждый из них выполнял отдельную команду. Ошибки при попытке запуска вебшелла (например, «переменная 't уже определена») приводили к сбою вебшелла и, вероятно, заставляли ARTEX пересматривать свой подход, создавая несколько уникальных вебшеллов с разными целями, причем некоторые исправляли предыдущие ошибки, пока JSP-вебшеллы не начинали выполняться без сбоев и возвращать ARTEX действительный результат выполнения команд.

В другом случае в ходе попыток зондирования доступа ARTEX создавала файлы различных типов расширений с именем artex-probe-*, где * представлял собой пятизначные отчасти инкрементные числа. Учитывая нашу видимость, трудно судить о точной значимости этих чисел или о том, как они увеличиваются. Тем не менее, было замечено, что ARTEX использует аналогичные инкрементные числовые маркеры в именах сброшенных файлов, именах созданных учетных записей, их паролях и в темах электронной почты.

Наблюдавшаяся активность ARTEX, сопоставленная с фазами жизненного цикла целевой атаки

Фаза жизненного цикла атаки

Наблюдаемые возможности и методы (tradecraft) ARTEX

Первичная разведка

• Автоматическое сопоставление эффективных разрешений полученных учетных данных Azure (токенов SAS, субъектов-служб, учетных данных Kudu и ключей учетных записей хранения) с использованием проверок возможностей со скоростью менее секунды, тестовых записей/удалений больших двоичных объектов и пробных прогонов проверки развертывания ARM. Эта активность включала в себя всплески высокой активности: ARTEX записывала и немедленно удаляла крошечный тестовый большой двоичный объект примерно за 330–400 мс, а также выполняла 8-секундный пробный прогон развертывания/проверки ARM по 11 типам ресурсов Azure.

Автоматическое сопоставление эффективных разрешений полученных учетных данных Azure (токенов SAS, субъектов-служб, учетных данных Kudu и ключей учетных записей хранения) с использованием проверок возможностей за доли секунды, тестовых операций записи/удаления больших двоичных объектов (blob) и предварительных прогонов валидации развертывания ARM. Эта активность включала всплески высокой активности: ARTEX записывала и немедленно удаляла крошечный тестовый большой двоичный объект примерно за 330–400 мс и выполняла 8-секундный предварительный прогон развертывания/валидации ARM для 11 типов ресурсов Azure.

• Протестированы разрешения скомпрометированного пользователя IAM с использованием флагов DryRun и идентификаторов-заполнителей для оценки возможностей вычислений EC2, томов EBS и снимков состояния (snapshots).

Протестированы разрешения скомпрометированного пользователя IAM с использованием флагов DryRun и идентификаторов-заполнителей для оценки возможностей вычислений EC2, томов EBS и снимков состояния (snapshots).

• Выполнив более 500 веб-запросов, ARTEX проверяет различные имена файлов и расширения в различных веб-каталогах в рамках потенциальной попытки фаззинга URL-эндпоинтов, к которым веб-сервер разрешит доступ на основе кода ответа HTTP (200 или 403).

Выполнив более 500 веб-запросов, ARTEX проверяет различные имена файлов и расширения в различных веб-каталогах в рамках потенциальной попытки фаззинга URL-эндпоинтов, к которым веб-сервер разрешит доступ на основе кода ответа HTTP (200 или 403).

Закрепление в системе

• Использование административных API Kudu в злонамеренных целях для выполнения произвольных команд и подготовки пользовательских скриптов Python, C# и вредоносных скриптов PowerShell.

Использование административных API Kudu в злонамеренных целях для выполнения произвольных команд и подготовки пользовательских скриптов Python, C# и вредоносных скриптов PowerShell.

• Установлено управление и контроль (C2), а также выполнение на внутреннем сервере базы данных Windows жертвы с помощью встроенного утилиты curl для загрузки динамически сгенерированных скриптов PowerShell и пакетных файлов (batch) и отправки результатов выполнения команд обратно через 491 ротируемый URL-адрес webhook.site.

Установлено управление и контроль (C2), а также выполнение на внутреннем сервере базы данных Windows жертвы с помощью встроенного утилиты curl для загрузки динамически сгенерированных скриптов PowerShell и пакетных файлов (batch) и отправки результатов выполнения команд обратно через 491 ротируемый URL-адрес webhook.site.

Повышение привилегий

• Предпринята попытка повышения привилегий путем запуска инстансов облачных вычислений с потенциально высокопривилегированными ролями IAM с целью получения временных учетных данных роли и тем самым повышения привилегий. Однако эти попытки, судя по всему, потерпели неудачу из-за недействительных ARN профилей экземпляров.

Предпринята попытка повышения привилегий путем запуска инстансов облачных вычислений с потенциально высокопривилегированными ролями IAM с целью получения временных учетных данных роли и тем самым повышения привилегий. Однако эти попытки, судя по всему, потерпели неудачу из-за недействительных ARN профилей экземпляров.

• Привилегии были повышены путем запуска скриптов Kerberoasting для сбора сервис-тикетов в скомпрометированных доменах; использования SQL-инъекций для дампа учетных данных баз данных; а также, после паузы на офлайн-брутфорс, выполнения скриптов DCSync для кражи ключа krbtgt домена, учетных данных облачной синхронизации Active Directory и хешей учетных записей контроллера домена.

Привилегии были повышены путем запуска скриптов Kerberoasting для сбора сервис-тикетов в скомпрометированных доменах; использования SQL-инъекций для дампа учетных данных баз данных; а также, после паузы на офлайн-брутфорс, выполнения скриптов DCSync для кражи ключа krbtgt домена, учетных данных облачной синхронизации Active Directory и хешей учетных записей контроллера домена.

• В течение нескольких минут были созданы учетные записи с параметром is_admin=true путем обнаружения и использования доступного для записи флага администратора.

В течение нескольких минут были созданы учетные записи с параметром is_admin=true путем обнаружения и использования доступного для записи флага администратора.

Внутренняя разведка

• Выполнена разведка во внутренней сети путем запуска нескольких итеративно сгенерированных скриптов перечисления PowerShell против контроллера домена и сервера федерации. Скрипты проверили имена пользователей домена без предварительной аутентификации, перечислили управляемые групповые учетные записи служб (GMSA), провели аудит шаблонов служб сертификатов Active Directory (SmartcardUser, ClientAuth), сопоставили тысячи субъектов безопасности кросс-лесных связей и просканировали внутренние цели Exchange, хранилища учетных данных PasswordState и цели SSRF/SCM.

Выполнена разведка во внутренней сети путем запуска нескольких итеративно сгенерированных скриптов перечисления PowerShell против контроллера домена и сервера федерации. Скрипты проверили имена пользователей домена без предварительной аутентификации, перечислили управляемые групповые учетные записи служб (GMSA), провели аудит шаблонов служб сертификатов Active Directory (SmartcardUser, ClientAuth), сопоставили тысячи субъектов безопасности кросс-лесных связей и просканировали внутренние цели Exchange, хранилища учетных данных PasswordState и цели SSRF/SCM.

Латеральное перемещение

• Предпринята попытка латерального перемещения на контроллеры домена с использованием скриптов Pass-the-Ticket, WinRM, ретрансляции Kerberos и Pass-the-Hash, что привело к столкновению с локальными ограничениями привилегий токенов служб Windows прямо перед тем, как защита конечной точки заблокировала выполнение, а защитники прервали доступ к серверу.

Предпринята попытка латерального перемещения на контроллеры домена с использованием скриптов Pass-the-Ticket, WinRM, ретрансляции Kerberos и Pass-the-Hash, что привело к столкновению с локальными ограничениями привилегий токенов служб Windows прямо перед тем, как защита конечной точки заблокировала выполнение, а защитники прервали доступ к серверу.

Поддержание присутствия

• Сгенерирована новая пара ключей SSH, выделен выделенный общедоступный Elastic IP, предпринята попытка создать пользовательскую группу безопасности, которая завершилась неудачей из-за проблем с разрешениями, и запущены постоянные инстансы t3.micro, привязанные к существующим группам безопасности, для создания доступного извне точек входа (jump host) и внутреннего плацдарма.

Сгенерирована новая пара ключей SSH, выделен выделенный общедоступный Elastic IP, предпринята попытка создать пользовательскую группу безопасности, которая завершилась неудачей из-за проблем с разрешениями, и запущены постоянные инстансы t3.micro, привязанные к существующим группам безопасности, для создания доступного извне точек входа (jump host) и внутреннего плацдарма.

• Получено закрепление посредством захвата учетных записей (например, сброса паролей для выявленных пользователей), создания нескольких учетных записей с паролями в открытом виде (включающих ArtexProbe в соглашение об именовании) и создания учетных записей администраторов.

Получено закрепление посредством захвата учетных записей (например, сброса паролей для выявленных пользователей), создания нескольких учетных записей с паролями в открытом виде (включающих ArtexProbe в соглашение об именовании) и создания учетных записей администраторов.

Завершение миссии

• Опрос бэкенд-баз данных SQL (извлечение около 400 КБ результатов запросов в рамках примерно 20 запросов) и выполнение массового чтения больших двоичных объектов (blobs).

Опрос бэкенд-баз данных SQL (извлечение около 400 КБ результатов запросов в рамках примерно 20 запросов) и выполнение массового чтения больших двоичных объектов (blobs).

• Развернуты пользовательские загрузочные скрипты через эфемерные инстансы EC2 без ключей для потенциального сбора данных с нескольких подключенных снимков и томов EBS.

Развернуты пользовательские загрузочные скрипты через эфемерные инстансы EC2 без ключей для потенциального сбора данных с нескольких подключенных снимков и томов EBS.

• Выполнено перечисление более 110 000 объектов Active Directory с контроллера домена и извлечена группа «Администраторы домена» (Domain Admins). Затем результаты выполнения команд были отправлены на ротируемые эндпоинты webhook.site с помощью curl.

Выполнил перечисление более 110 000 объектов Active Directory с контроллера домена и получил группу «Администраторы домена» (Domain Admins). Затем результаты выполнения команд были отправлены на циклически меняющиеся конечные точки webhook.site с помощью curl.

• Выполнил запросы для расшифровки сохраненных заметок и попытался прочитать вложения к заметкам других пользователей.

Выполнил запросы для расшифровки сохраненных заметок и попытался прочитать вложения к заметкам других пользователей.

• Создал новый том объемом 100 ГБ и увеличил корневой диск запущенных инстансов до 60 ГБ, выполнив подготовительные действия, вероятно, предназначенные для эксфильтрации с помощью их автоматизированных скриптов сбора данных.

Создал новый том объемом 100 ГБ и увеличил корневой диск запущенных инстансов до 60 ГБ, выполнив подготовительные действия, вероятно, предназначенные для эксфильтрации с помощью их автоматизированных скриптов сбора данных.

• Отредактировал запись сотрудника в устаревшей базе данных, создал и удалил заметки и строки статуса, перенаправил ответы контрольного списка на собственный файл зонда. В данном случае мы наблюдали интересное злоупотребление легитимными функциями. Вместо запуска сложного вредоносного ПО ARTEX задействовал встроенные функции приложений. Он принудительно заставил систему уведомлений приложения отправить тестовые электронные письма более чем 1300 внутренним пользователям, превратив доверенный канал уведомлений в инструмент для массовой внутренней рассылки. Затем он перешел на отправку тестовых писем одному получателю вместо массовой рассылки.

Отредактировал запись сотрудника в устаревшей базе данных, создал и удалил заметки и строки статуса, перенаправил ответы контрольного списка на собственный файл зонда. В данном случае мы наблюдали интересное злоупотребление легитимными функциями. Вместо запуска сложного вредоносного ПО ARTEX задействовал встроенные функции приложений. Он принудительно заставил систему уведомлений приложения отправить тестовые электронные письма более чем 1300 внутренним пользователям, превратив доверенный канал уведомлений в инструмент для массовой внутренней рассылки. Затем он перешел на отправку тестовых писем одному получателю вместо массовой рассылки.

Наступательный фреймворк PentAGI

GTIG также зафиксировала реальные случаи злоупотребления PentAGI (Penetration Testing Artificial General Intelligence) — автономным наступательным фреймворком, предназначенным для автоматизации процесса тестирования на проникновение в изолированной среде. Разработанный компанией VXControl, фреймворк предлагается в версиях с открытым исходным кодом и коммерческой редакции. Он устроен таким образом, что пользователю нужно лишь описать цель и задачу, что позволяет начинающим пользователям проводить сложные кибероперации. После выбора цели и задачи фреймворк использует команду специализированных агентов, каждый из которых обладает собственными функциями для разбиения задач (называемых «потоками») на различные подзадачи, выполнения каждого шага и составления отчетов о нем. Все инструменты и команды выполняются в изолированных песочницах под управлением Kali Linux, а не в хост-среде. Все инструменты, используемые PentAGI, являются инструментами тестирования на проникновение с открытым исходным кодом, которые по умолчанию доступны в Kali Linux (например, metasploit, nmap, SQLmap). Фреймворк поддерживает более десятка облачных и локальных бэкендов на основе LLM, включая передовые модели и модели с открытыми весами.

Большинство зафиксированных действий PentAGI ограничивалось этапом сопоставления активов WHOIS или активного сканирования уязвимостей. Однако анализ операционных артефактов показывает, что некоторые операции переросли в активные вторжения и закрепление в нескольких организациях. Операторы также адаптируют и интегрируют фреймворк различными способами. В одном из случаев мы выявили кастомную платформу оркестрации атак, созданную на базе версии PentAGI с открытым исходным кодом и использовавшуюся, вероятнее всего, в период как минимум с конца августа по начало октября 2026 года для проведения систематической разведки и сканирования уязвимостей в отношении широкого спектра организаций в Азии, включая системных интеграторов и крупные телекоммуникационные компании. В другом случае мы наблюдали совместное использование PentAGI с прокси-сервисами для атак на аэрокосмический сектор.

Эволюция автономных наступательных фреймворков

Этап 1: Использование LLM на основе промптов

• Временные рамки: Начало 2026 года

Уровень