ИИ-агенты уже меняют методы проведения кибератак. Check Point Research (CPR) проанализировала ARTEX, платформу для тестирования на проникновение на базе искусственного интеллекта, которую все чаще используют киберпреступники, и получила редкую возможность изучить работу автономных агентов изнутри их операторских консолей.
Результаты показывают, что злоумышленники могут задать начальную цель и позволить ИИ-агентам самостоятельно находить уязвимости, эксплуатировать системы и преследовать эту цель в больших масштабах, зачастую практически без участия человека.
Основные выводы
- ARTEX уже работает в больших масштабах: специалисты CPR обнаружили 2 557 систем, на которых размещался ARTEX, включая 1 608 активных общедоступных экземпляров на момент проведения исследования.
- Атаки могут выполняться практически полностью автономно: после того как операторы задавали первоначальную цель, агенты занимались поиском уязвимостей и их эксплуатацией практически без дальнейшего вмешательства человека или вовсе без него.
- В ходе одной из кампаний было сгенерировано 400 791 сообщение агента по 292 целям без каких-либо дополнительных запросов от оператора, что демонстрирует масштаб, с которым могут осуществляться автономные атаки.
- ИИ-агенты добились серьезных взломов: они использовали такие уязвимости, как удаленное выполнение кода, незащищенные базы данных и учетные данные облачных сервисов, а в одном случае самостоятельно выявили и осуществили атаку на цепочку поставок.
- Автономия все еще имеет ограничения: несмотря на обнаружение серьезных уязвимостей, криптовалютная кампания принесла злоумышленнику $0, так как агенты иногда принимали успешные ответы API за успешную кражу криптовалюты.
Что такое ARTEX?
ARTEX — это платформа для тестирования на проникновение с открытым исходным кодом на базе ИИ, изначально разработанная для того, чтобы помочь службам безопасности тестировать принадлежащие им или разрешенные для проверки системы. Она связывает большие языковые модели (LLM) с несколькими ИИ-агентами, которые могут планировать тесты, запускать инструменты безопасности, исследовать уязвимости и документировать свои находки.
После того как ARTEX был замечен в атаках на южнокорейские банки, его разработчик сделал исходный код проекта закрытым. Тем не менее, поддерживаемые форки и резервные копии позволили сохранить доступность платформы.
CPR выявила 2 557 систем, на которых в настоящее время или ранее размещались панели ARTEX, включая 1 608 активных и общедоступных экземпляров на момент проведения исследования. Многие дополнительные развертывания ARTEX, вероятно, недоступны из публичного интернета, поскольку работают за межсетевыми экранами или внутри локальных сетей.
Самое главное, исследователи обнаружили 10 неправильно настроенных экземпляров ARTEX, в которых были открыты полные базы данных. Это позволило получить представление об атаках со стороны операторов, включая используемые модели, инструкции, заданные операторами, и шаги, предпринимаемые ИИ-агентами самостоятельно.
Рисунок 1 – Панель ARTEX
Насколько автономны кибератаки с использованием ARTEX?
Исследование показывает, что во многих наблюдаемых случаях ARTEX требовал удивительно мало взаимодействия со стороны операторов после того, как цель была сформулирована.
Вместо того чтобы постоянно руководить атаками шаг за шагом, операторы часто задавали цель и оставляли парк агентов работать над ее достижением. Взаимодействие с человеком в основном ограничивалось проверкой прогресса, вопросами о том, была ли скомпрометирована цель, или периодической корректировкой приоритетов.
В ходе одной из криптовалютных кампаний 292 цели привели к 230 находкам и 400 791 сообщению агента без каких-либо дополнительных запросов оператора после установки первоначальных целей.
Это дает наглядное представление о том, как хакерство на основе агентов меняет роль киберпреступника. Человек может определить желаемый результат, в то время как ИИ-агенты выполняют большую часть разведки, поиска уязвимостей и эксплуатации, необходимых для его достижения.
Какие модели ИИ киберпреступники используют с ARTEX?
Среди 10 проанализированных CPR уязвимых экземпляров ARTEX доминировали китайские модели ИИ, причем модели семейства DeepSeek Flash встречались чаще всего.
Американские модели были настроены на трех экземплярах. Исследователи зафиксировали срабатывание систем защиты только при использовании Anthropic Opus 5.5, после чего оператор переключился на более мягкие китайские модели.
Полученные данные свидетельствуют о том, что злоумышленники не просто экспериментируют с моделями ИИ. Они выбирают модели исходя из практических соображений эксплуатации, включая возможности, стоимость и ограничения.
Какие отрасли подвергаются атакам и где размещается инфраструктура ARTEX?
Наблюдаемые кампании носили преимущественно оппортунистический и финансово мотивированный характер, а не были направлены против какой-то одной заранее определенной организации.
CPR зафиксировала агентов, нацеленных на организации и инфраструктуру, связанные с:
- Криптовалютой и цифровыми активами
- Онлайн-гемблингом, игровыми автоматами и платформами для карточных игр
- Платежной инфраструктурой и криптоплатежными сервисами
- Внебиржевой криптовалютной торговлей и кастодиальными услугами
- Сервисами подписи приложений для iOS на сером рынке
Цели атак варьировались от кражи криптовалюты и сертификатов для подписи кода до взлома игровых аккаунтов и проведения DDoS-атак на сайты азартных игр. Агенты использовали такие уязвимости, как слабые или жестко закодированные пароли, отсутствие аутентификации, небезопасные прямые ссылки на объекты и удаленное выполнение кода.
Инфраструктура, стоящая за ARTEX, также имеет значительный глобальный охват. Среди активных серверов ARTEX, выявленных CPR, 882 (54%) размещались в США, 295 (18%) — в Гонконге и 103 (6%) — в Китае. Эти цифры описывают места размещения серверов ARTEX, а не географическое распределение жертв атак.
Рисунок 2 – Местоположение наблюдаемых серверов C&C ARTEX
Как агенты ARTEX похищали сертификаты Apple для подписи кода?
Один из операторов поручил ARTEX атаковать теневые сервисы подписи для iOS с целью получения сертификатов Apple для подписи кода, которые можно было бы перепродать.
Две консоли ARTEX работали параллельно в течение примерно двух недель, нацелившись на 10 магазинов подписи. Вместо того чтобы направлять агентов на каждом этапе атаки, оператор в основном задавал такие вопросы, как «Каков прогресс?» и «Какой из них ближе к цели?».
Агенты самостоятельно искали в скомпрометированных системах базы данных сертификатов, а затем проверяли украденные сертификаты путем проверки паролей, закрытых ключей, статуса отзыва Apple, дат истечения срока действия и связанных профилей обеспечения.
В конечном итоге они получили более 300 сертификатов и их паролей, причем три сертификата прошли полный процесс проверки, что означало возможность их использования для подписи произвольных приложений iOS.
Масштаб был достигнут при относительно низких затратах. В ходе операции было обработано примерно 36 миллиардов токенов, а расходы на модель ИИ, по оценкам CPR, составили от $700 до $1 500 на основе официальных цен API DeepSeek на момент написания статьи.
Рисунок 3 – Пример сервиса подписи сертификатов на сером рынке с более чем 90 000 сертификатов
Могут ли автономные хакерские агенты осуществлять атаки на цепочки поставок?
Вторая кампания показывает, как далеко может продвинуться ИИ-агент самостоятельно, если ему задать более широкую финансовую цель. Оператор поручил агентам кражу криптовалюты у сотен целей. В ходе последующей попытки идентифицировать и скомпрометировать инфраструктуру, связанную с конкретным криптовалютным кошельком, агент обнаружил неаутентифицированный API, предоставляющий доступ к учетным данным AWS S3.
Эти учетные данные обеспечили доступ на запись к бакету, содержащему приложения для iOS и целевые страницы криптовалютного сервиса. Агент самостоятельно проанализировал возможность компрометации этой инфраструктуры распространения, выполнил запись и проверил цепочку атаки.
Исходный файл был позже восстановлен, и не было никаких доказательств того, что оператор в конечном итоге получил прибыль от этой компрометации. Однако эта активность демонстрирует, что агент, преследующий одну цель, может выявить и использовать возможность для компрометации цепочки поставок, не получая при этом прямых указаний.
В чем автономные хакерские агенты все еще терпят неудачу?
Автономность не обязательно означает успешный результат. В криптовалютной кампании агенты обработали 167,5 миллионов токенов и выявили множество уязвимостей, включая удаленное выполнение кода и открытые базы данных. Тем не менее, из 292 целей, 230 находок и 400 791 сообщения агента злоумышленник не заработал ни копейки.
Некоторые агенты даже ошибочно сообщали об успешном выводе криптовалюты, потому что API возвращали ответ «успешно». Кошелек злоумышленника показывал нулевой баланс и отсутствие транзакций, что обнажает значительную слабость: агенты могут успешно выполнять технические задачи, при этом не понимая, была ли фактически достигнута намеченная реальная цель.
Что означает агентный хакинг для команд по кибербезопасности?
ARTEX показывает, что агентный хакинг уже является частью ландшафта киберугроз. CPR обнаружила более 1600 активных общедоступных экземпляров ARTEX, а открытые базы данных предоставляют прямые доказательства работы агентов при очень ограниченном контроле со стороны человека.
Для защитников важное изменение заключается в масштабе и скорости. Киберпреступник может поручить агентам исследовать большое количество целей одновременно, что позволяет обнаруживать и эксплуатировать уязвимости в системах, обращенных в интернет, со значительно меньшими ручными усилиями.
В то же время исследование демонстрирует текущие ограничения этих систем. Агенты галлюцинируют, неверно интерпретируют результаты и могут не достичь своей основной цели даже после успешной компрометации систем.
Поэтому организациям следует ожидать усиления автоматизированного давления на открытую инфраструктуру. Системы, обращенные в интернет, должны постоянно тестироваться и укрепляться, при этом особое внимание следует уделять слабой аутентификации, открытым API, утечкам учетных данных, уязвимостям удаленного выполнения кода и правам доступа к облачным хранилищам.
Кампании ARTEX дают представление о модели угроз, которая уже формируется: злоумышленники определяют цель, а все более автономные ИИ-агенты выполняют большую часть работы, необходимой для ее достижения.
Полный технический анализ читайте в исследовании от Check Point Research here.
