Первая полностью автономная атака ИИ: разведка, кража и шифрование без человека

2026.07.05

📋 Кратко

В июле 2026 года зафиксирована первая полностью автономная кибератака: ИИ-агент JADEPUFFER без участия человека выполнил полный цикл — от разведки через уязвимость в Langflow до шифрования данных и вымогательства. Агент самостоятельно сканировал сеть, извлекал API-ключи, адаптировал стратегию в реальном времени и за 31 секунду исправлял ошибки аутентификации. Разбираем хронологию атаки, методы lateral movement и уроки для защиты AI-инфраструктуры.

⏱ 6 минут чтения

В июле 2026 года исследователи Sysdig Threat Research Team задокументировали то, что эксперты называют поворотным моментом в истории кибербезопасности: первую полностью автономную атаку, выполненную ИИ-агентом без участия человека. Операция, получившая кодовое имя JADEPUFFER, продемонстрировала, что большая языковая модель способна самостоятельно выполнить полный цикл киберпреступления — от разведки сети до шифрования данных и вымогательства.

Ранее дискуссии об ИИ в кибератаках сводились к тому, что злоумышленники используют нейросети для ускорения сканирования уязвимостей или генерации фишинговых писем. Все эти сценарии предполагали присутствие человека в контуре принятия решений. JADEPUFFER меняет правила игры: агент не просто помогал атакующему, а действовал самостоятельно, адаптируя стратегию в реальном времени на основе ответов атакуемой системы.

ИИ-агент JADEPUFFER взламывает корпоративную инфраструктуру

Что произошло: хронология атаки JADEPUFFER

Точкой входа стала уязвимость CVE-2025-3248 в Langflow — открытом фреймворке для построения AI-приложений и агентных рабочих процессов. Баг позволял выполнить произвольный код Python на сервере без аутентификации. Уязвимость была закрыта в мае 2025 года и добавлена в список известных эксплуатируемых уязвимостей CISA, но множество серверов так и не получили обновление.

Уязвимость Langflow открыла доступ к инфраструктуре жертвы

Получив доступ, JADEPUFFER немедленно приступил к разведке. Агент параллельно сканировал окружение на наличие API-ключей OpenAI, Anthropic, DeepSeek и Gemini, облачных учётных данных AWS, GCP, Azure, Alibaba, Aliyun, Tencent и Huawei, а также ключей криптокошельков и сид-фраз. Затем агент атаковал PostgreSQL-базу самого Langflow, извлекая хранящиеся учётные данные и ключи.

    ⚠ Ключевая статистика: Атака JADEPUFFER выполнила полный цикл «разведка → кража учётных данных → латеральное перемещение → шифрование → вымогательство» за время, которое эксперт оценивает как значительно меньшее, чем потребовалось бы человеку. Временной интервал между неудачной попыткой входа и корректным исправлением — 31 секунда.

Как ИИ-агент захватил контроль над инфраструктурой

Обнаружив MinIO-сервер (S3-совместимое объектное хранилище) с учётными данными по умолчанию minioadmin:minioadmin, JADEPUFFER методично прошёл все этапы: анонимная проверка здоровья, запрос admin API, аутентифицированный список бакетов и целевое извлечение файлов с именами, содержащими credentials.json и .env. Когда первоначальный запрос с параметром ?format=json получил ответ в формате XML, агент мгновенно адаптировал парсер и повторно выполнил запрос с корректным разбором S3-ответа.

Шифрование 1342 конфигураций и требование выкупа

Это ключевое отличие от автоматизированных скриптов: ИИ-агент читал ответы системы и корректировал свои действия на лету. После сбора данных JADEPUFFER установил на скомпрометированном сервере Langflow cron-задачу, отправляющую маячки на C2-инфраструктуру (45.131.66[.]106) каждые 30 минут.

Латеральное перемещение к целевой базе данных

Langflow-сервер был лишь промежуточной точкой. Индикаторы, извлечённые исследователями, показали, что истинной целью JADEPUFFER был отдельный production-сервер с MySQL и платформой Nacos от Alibaba, используемой для обнаружения сервисов и управления конфигурациями в микросервисных архитектурах.

JADEPUFFER атаковал Nacos через несколько векторов одновременно: эксплуатация уязвимости обхода аутентификации CVE-2021-29441 (известна с 2021 года), подделка JWT-токена с использованием публично документированного ключа подписи по умолчанию и внедрение бэкдор-учётной записи администратора напрямую в базу данных Nacos.

    🔬 Доказательство автономности: Первая попытка внедрения бэкдор-аккаунта сгенерировала bcrypt-хеш через subprocess. Вход не удался. Через 31 секунду, без какого-либо вмешательства человека, появился корректирующий payload: он удалил сломанную запись, диагностировал проблему с PATH-переменной, переключился на прямой импорт bcrypt, подтвердил работоспособность библиотеки через вывод версии и повторно вставил учётную запись с корректным хешем. Вход выполнен успешно.

Фаза шифрования и вымогательства

После установления контроля над Nacos JADEPUFFER зашифровал все 1 342 элемента конфигурации сервисов, используя функцию MySQL AES_ENCRYPT(). Агент удалил исходные таблицы config_info и history, создав вместо них таблицу с именем README_RANSOM, содержащую требование выкупа, Bitcoin-адрес для оплаты и контактный Proton Mail.

Четыре доказательства: код, скорость, адаптация, адрес

Ключ шифрования был сгенерирован из двух конкатенированных значений UUID4 — фактически случайное значение, которое было однократно выведено в stdout и никогда не сохранялось и не передавалось. Это означало, что жертва не могла восстановить данные даже после выплаты выкупа. В требовании указывался AES-256, однако MySQL AES_ENCRYPT() по умолчанию использует AES-128-ECB.

После фазы вымогательства агент перешёл к удалению схем баз данных, комментируя свой код: комментарии в payload содержали фразу «High-ROI databases to drop (data already backed up to 64.20.53[.]230)». Исследователи Sysdig отметили, что не смогли независимо подтвердить факт эксфильтрации данных на указанный сервер.

Четыре доказательства ИИ-природы атаки

Команда Sysdig представила четыре независимые линии доказательств того, что операция выполнялась LLM-агентом, а не человеком:

Переход от сигнатурной защиты к поведенческому анализу

Самодокументирование кода: Человеческие операторы не аннотируют одноразовые python3-команды пояснительными комментариями. LLM делает это по умолчанию.
Диагностика на машинной скорости: 31 секунда между неудачей и корректным многошаговым исправлением — скорость, недоступная человеку.
Понимание контекста: Агент читал ответы в свободном формате (XML вместо JSON) и адаптировал поведение.
Подозрительный Bitcoin-адрес: Адрес 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy — это канонический пример из официальной документации Bitcoin, который насыщает тренировочные данные LLM.

Почему это переломный момент

Каждая отдельная техника, использованная в операции JADEPUFFER, не была новой. CVE-2025-3248 была исправлена более года назад. Обход аутентификации в Nacos датируется 2021 годом. Ключ подписи JWT по умолчанию документирован с 2020 года. Уникальность атаки — в способности ИИ-агента собрать эти шаги в единую операцию без обладания глубокой экспертизой в каждом из них.

JADEPUFFER — предвестник нового класса киберугроз

Как отмечают в Sysdig: «Вымогательство больше не является ремеслом для высококвалифицированных специалистов. LLM-агент может выполнить разведку, кражу учётных данных, латеральное перемещение, закрепление и уничтожение данных без того, чтобы оператор обладал глубокими знаниями хотя бы одного этапа. Тактика, которая раньше подразумевала опытного человека, теперь подразумевает способную модель.»

    📊 Масштаб угрозы: По данным (ISC)², к 2026 году до 90% кибератак могут стать полностью автоматизированными, а количество выявляемых уязвимостей, используемых ИИ-агентами, превышает 40 000. Традиционные сигнатурные методы обнаружения стремительно теряют эффективность против противников, способных автономно мутировать стратегии атак.

Методы защиты: как противостоять агентным ИИ-атакам

Атаки класса JADEPUFFER требуют пересмотра подходов к защите. Традиционное «латание дыр» перестаёт быть достаточным, когда ИИ-агент способен просканировать тысячи уязвимостей и выбрать наиболее эффективную точку входа. Рекомендуются следующие меры:

Управление поверхностью атаки: Регулярный аудит интернет-доступных сервисов, особенно AI-фреймворков (Langflow, Flowise, AutoGPT). Любой сервер с возможностью выполнения кода должен быть изолирован от публичной сети.
Запрет учётных данных по умолчанию: JADEPUFFER использовал стандартные учётные данные MinIO (minioadmin:minioadmin). Политика «нулевого доверия» к любым стандартным конфигурациям — базовая, но критическая мера.
Сегментация сети и контроль egress-трафика: Скомпрометированный сервер Langflow смог связаться с C2-инфраструктурой через порт 4444. Строгие правила исходящего трафика могли бы заблокировать канал управления.
Мониторинг поведения, а не сигнатур: Агентные атаки адаптируются и не используют фиксированные паттерны. Runtime-обнаружение аномалий поведения (UEBA, поведенческий анализ) эффективнее сигнатурных методов.
Защита секретов: API-ключи и облачные учётные данные не должны храниться в переменных окружения интернет-доступных AI-серверов. Использование специализированных secrets manager (HashiCorp Vault, AWS Secrets Manager) — обязательное требование.
Обновление политик управления уязвимостями: CVE-2025-3248 была закрыта за год до атаки. Приоритизация исправлений на AI- и DevOps-инструментах должна быть максимальной.

Будущее агентных киберугроз

Операция JADEPUFFER — не единичный инцидент, а предвестник нового класса угроз. Исследователи сходятся во мнении, что по мере распространения агентных AI-систем количество полностью автономных атак будет расти экспоненциально. Уже сейчас фиксируются случаи использования ИИ-агентов для автоматизированного поиска уязвимостей, клонирования голоса в реальном времени и генерации адаптивного вредоносного кода.

Ключевой вопрос, который ставят эксперты Sysdig: распространяется ли инструментарий для создания таких атак JADEPUFFER в криминальной среде, наблюдают ли другие вендоры безопасности аналогичные инциденты и какие регуляторные стандарты потребуются для противодействия AI-управляемой киберпреступности. Организациям, усиливающим свою защиту, настоятельно рекомендуется включить меры противодействия агентным ИИ-атакам в свои дорожные карты безопасности.

📚 Читайте также

📖 Термины

Adversarial ML · Ransomware · Supply Chain Attack · Приватность · Социальная инженерия