CrowdStrike обнаружила четыре группы, применявшие AI-агентов в кибератаках

Исследователи изучили инфраструктуру, которую четыре ранее не описанные группы оставили доступной на веб-серверах. Группы работали на китайском, русском, индонезийском, а также на испанском и английском языках. Между маем и августом они выстраивали атаки так, чтобы те могли продолжаться автономно сравнительно долго. Открытый доступ к их инфраструктуре позволил увидеть, как именно они подключали модели к рабочим процессам.

В кампаниях использовались преимущественно версии Claude и модели с открытыми весами DeepSeek. Исследователи наблюдали как закрытые, так и открытые модели; почти всегда атакующие выбирали более старые версии, а не передовые. По объяснению CrowdStrike, выбор модели под отдельный этап помогает сдерживать расходы: самая новая модель нужна далеко не для каждой операции. Две группы построили более сложные «обвязки» для агентов, то есть программы, которые направляют работу модели и связывают её с инструментами. Две другие действовали технически проще, но тоже смогли взломать несколько целей.

Все четыре группы находили способы обойти защитные ограничения моделей. Частый приём состоял в том, чтобы представить вредоносное задание как разрешённый пентест или проверку безопасности. Для убедительности атакующие добавляли файлы в рабочую директорию агента, будто там находилось подтверждение полномочий. Они также составляли промпты с заранее подготовленными объяснениями, почему задачу можно выполнять. Сложность такого сценария различалась от группы к группе, но цель была одной: добиться продолжения работы агента после проверки запроса.

Китайскоязычная группа применяла инструмент ClawGod поверх Claude Code. С его помощью она пыталась убрать из системного промпта инструкцию CYBER_RISK_INSTRUCTION, ограничивающую участие Claude Code разрешённым тестированием безопасности. Это отдельный путь обхода: атакующий меняет среду, в которой работает агент, и пытается повлиять на инструкции, получаемые моделью во время выполнения задачи.

Группа, работавшая на испанском и английском, атаковала медицинские организации Аргентины и взломала как минимум 15 из них. Исследователи обнаружили признаки кражи учётных данных и медицинских записей по меньшей мере у одной жертвы. Для кампании группа собрала инфраструктуру, похожую на инструментарий для пентеста: агент Supervisor на Claude Code управлял этапами атаки, а Executor выполнял поручения. Среди задействованных моделей были Claude Opus 4.5, Claude Haiku 4.5 и DeepSeek V4 Pro. По оценке CrowdStrike, группы не применяли новых эксплойтов: скорость и масштаб работы агентов помогали находить уже существующие проблемы безопасности.