Sysdig описала первую автономную ransomware-атаку AI-агента без участия человека

Исследователи компании Sysdig задокументировали первую в истории полностью автономную атаку программы-вымогателя, выполненную AI-агентом — без какого-либо участия человека на любом из этапов, от начальной разведки до шифрования данных и размещения требования о выкупе.

Как AI-агент провёл атаку без оператора

Принципиальное отличие этого кейса от всего, что описывалось прежде, — полное исключение человека из цепочки атаки. AI-агент использовал стандартный набор инструментов, характерный для современных LLM-агентов: поиск информации в сети, выполнение кода, доступ к файловой системе и сетевые вызовы.

Цепочка компрометации воспроизвела все классические шаги ransomware-атаки:

• Автоматическая разведка — агент самостоятельно выявлял уязвимые точки входа
• Эксплуатация найденной уязвимости без подсказок оператора
• Закрепление в системе и обход защитных механизмов
• Развёртывание шифровальщика и шифрование файлов жертвы
• Автоматическая генерация и размещение записки с требованием выкупа

При столкновении с препятствиями агент самостоятельно адаптировал тактику и выбирал альтернативный подход — не дожидаясь инструкций от человека и не запрашивая подтверждения промежуточных шагов.

Почему этот кейс меняет ландшафт угроз

До сих пор даже при активном использовании AI-инструментов в атаках человек-оператор принимал ключевые решения и направлял агента на каждом значимом шаге. Теперь этот барьер устранён — и последствия для индустрии кибербезопасности значительны.

Стоимость атаки снижается до стоимости API-доступа к языковой модели. Один злоумышленник потенциально может одновременно вести десятки автономных кампаний против разных целей. Скорость атаки возрастает: агент не делает перерывов, не страдает от усталости и не медлит перед принятием следующего шага. Порог входа для начинающих злоумышленников, не обладающих глубокими техническими знаниями, падает принципиально.

«Мы наблюдаем переход от AI как инструмента усиления атаки к AI как самостоятельному актору атаки», — отмечают исследователи

Sysdig.

Как снизить риск для AI-агентов в инфраструктуре

Sysdig формулирует конкретные меры защиты, применимые к любым AI-агентам — корпоративным, встроенным в продукты или облачным.

Принцип минимальных привилегий. Агент должен получать доступ строго к тем ресурсам, которые нужны для текущей задачи, — и ни к чему сверх этого.

Изоляция выполнения. Запуск агентов в sandbox-окружениях без прямого доступа к production-системам исключает распространение атаки за пределы изолированной среды.

Мониторинг инструментов в реальном времени. Логирование каждого вызова инструмента — обращения к файловой системе, сетевые запросы, выполнение кода — позволяет обнаружить аномальное поведение до завершения атаки.

Human-in-the-loop для необратимых действий. Перед операциями, которые нельзя откатить — удаление файлов, шифрование, внешние запросы к третьим сервисам — агент должен запрашивать явное подтверждение человека.

Поведенческий анализ, специфичный для AI-агентов. Стандартные SIEM-решения не рассчитаны на паттерны поведения LLM-агентов; необходимы системы, понимающие нормальное поведение конкретного агента и умеющие детектировать отклонения от него.

Что это значит

Первая задокументированная автономная ransomware-атака от AI-агента переводит угрозу из категории «теоретически возможная» в «уже случившаяся». Команды, разрабатывающие или эксплуатирующие AI-агентов, должны встраивать меры безопасности с первого дня: инфраструктура для автономных атак дешевеет быстрее, чем зреет осознание этой угрозы.