ИИ-агент прошёл от WordPress до диска топ-менеджера, а защита поймала 14 из 15 шагов

Классическая защита живёт на правилах: увидели знакомый инструмент или строку в логе — подняли алерт. Атакующий ИИ-агент эту модель ломает. Инструменты, имена файлов, порты и приёмы обфускации для него всего лишь переменные, и он меняет их на ходу. Пока аналитик пишет правило под одну утилиту, агент уже взял другую. К тому же людям трудно разбирать поток алертов в темпе, который задаёт машина.

Эксперты Positive Technologies проверили на лабораторном стенде, спасает ли поведенческий подход. RedTeam-агент, имитирующий злоумышленника, получил цель: добраться до документов топ-менеджера. Защита была не настроена под лабораторию.

Как агент шёл по сети

Стенд выглядел как небольшая корпоративная сеть: WordPress на периметре, почтовый Exchange, контроллер домена, сервер сертификатов ADCS и рабочие станции. Оператор давал подсказки, но шаги и инструменты агент выбирал сам. Атака заняла несколько часов.

Начал он с уязвимого плагина WordPress и загрузки PHP-вебшелла. Затем воспользовался ошибкой в настройке sudo: awk можно запускать без пароля, а через него выполняется любая команда от root. Так появился первый туннель. Дальше через ProxyLogon он взял Exchange, поднял второй туннель, получил сертификат через уязвимый шаблон ADCS (ESC1), выгрузил хеши домена приёмом DCSync и подделал Kerberos-билет Golden Ticket. Контроллер домена стал третьей точкой опоры, после чего агент обошёл шесть рабочих станций и просмотрел диск руководителя.

Главный приём здесь — пивоты: захваченный сервер становится SOCKS5-прокси, и дальнейший трафик идёт с его адреса. Всего их было три. Сетевой периметр такой трафик не смущает, потому что он идёт изнутри.

Что стояло на стороне защиты

Схема из двух слоёв. MaxPatrol BAD, ML-модуль в составе SIEM, отбирает аномалии: отклонения в поведении процессов и пользователей независимо от инструмента. Они называются индикаторами поведения. Это префильтр, потому что LLM не умеет самостоятельно разбирать сырой поток событий SIEM.

Второй слой — классификация, ведь не всякая аномалия означает атаку. HackTracker получает от BAD описание поведения и выносит вердикт: хакерское или легитимное. Конкретных инструментов он не знает, а объяснений не даёт намеренно, ради точности. Объяснять помогают PT Naira, ИИ-помощник, который разбирает выбранную аналитиком цепочку процессов, и внутренний AI-агент для BAD, который получает сработки с нормализованными событиями. Агент пока не продукт, а демонстрация.

На примере Exchange видно, как это работает. Пул приложений IIS порождает powershell.exe со скрытым окном и без профиля, затем идут обход AMSI, отключение журналирования скриптов и снятие атрибута «только чтение» с вебшелла. Каждое действие по отдельности бывает легитимным, но цепочка складывается в хакерский паттерн. Так же ловится и туннель: certutil качает файл, тот маскируется под svchost32.exe и подключается к C2 с параметрами SOCKS.

На Unix-хосте с WordPress картина другая. HackTracker пока работает только с событиями Windows, поэтому там вердикт строили индикаторы BAD и AI-агент: shell от apache2, разведка от www-data, загрузка бинаря в /tmp, sudo-эскалация через интерпретатор.

Что из этого следует

Для практики вывод простой: детектировать нужно цепочки поведения, а не имена утилит. Если защита держится на сигнатурах конкретных инструментов, ИИ-агент обойдёт её просто сменой софта. Разбирать каждую сработку при этом всё равно приходится человеку, а LLM-объяснитель сокращает время на вердикт. Ещё стоит проверить банальные вещи, которые агент использовал как ступеньки: sudo без пароля для awk, непропатченный Exchange, уязвимые шаблоны ADCS.

Ограничения стоит держать в голове. Это один сценарий в одной лаборатории, который проводил сам вендор. Результат «14 из 15» не говорит о доле ложных срабатываний в живой сети с тысячами админов и сложной инфраструктурой. Покрытие Unix у HackTracker пока неполное, а AI-агент ещё не вышел как продукт. Тест показывает, что поведенческий след у ИИ-атаки остаётся, но не доказывает, что защита сработает в вашей сети так же.