Первый вымогатель, автономно запущенный ИИ. Но у руля по-прежнему был человек

Компания облачной безопасности Sysdig в начале июля обнародовала случай JadePuffer, назвав его первым задокументированным «агентным» вымогателем: не человек с ИИ-инструментами, а агент на основе языковой модели самостоятельно прошёл всю цепочку атаки. Точкой входа стала известная уязвимость в Langflow, open-source-фреймворке для создания LLM-приложений (CVE-2025-3248), которую поставщик закрыл ещё в апреле 2025 года.

Оказавшись внутри, агент автономно провёл разведку, кражу учётных данных, боковое перемещение, закрепление и повышение привилегий вплоть до шифрования данных: 1342 элемента конфигурации сервиса Nacos были зашифрованы, а затем удалены. Исследователей поразила способность реагировать на сбои так, как это сделал бы живой оператор, — в одной последовательности от неудачного входа до работающего исправления прошла тридцать одна секунда.

Однако именно здесь стоит убрать несколько восклицательных знаков. Как пояснил TechCrunch Майкл Кларк из Sysdig, жертву всё равно выбрал человек, он же развернул инфраструктуру командного управления и предоставил заранее украденные учётные данные: автоматизировано было исполнение, а не стратегия. Sysdig даже не смогла установить, какая модель была у руля; исследователь Microsoft предположил, что это open-source-модель без защитных ограничений.

Это различие — не педантизм. Атака, способная починить себя за полминуты, снижает порог навыков, нужных для её проведения, и одного этого достаточно, чтобы отнестись серьёзно; но пока каждая операция зависит от человека, который выбирает цель и готовит почву, масштабируемость — то, что делает оружие по-настоящему опасным, — остаётся ограниченной. Новость не в том, что ИИ атакует сам: она в том, что скучная, повторяющаяся часть преступного ремесла превращается в код. На это стоит смотреть таким, какое оно есть, — не преуменьшая и не превращая в научную фантастику. — Olya