Любое оружие изначально является продолжением руки, которая его держит. Копьё увеличило радиус действия руки. Лук позволял запускать стрелу, не делая броска. Винтовка перенесла смерть человека на расстояние в четверть мили за пределы его поля зрения, а самолёт доставил эту смерть через океаны. С каждым новым этапом расстояние между воином и раненым увеличивалось, но одно оставалось неизменным: человек выбирал цель, и человек наносил удар. На протяжении всей истории войн, включая киберпространство, рука всегда оставалась на оружии.
Наступательный ИИ — это тот момент, когда оружие учится само прицеливаться.
В течение трёх лет искусственный интеллект (ИИ) был продолжением пера. Он составлял черновики фишинговых писем, предлагал уязвимости, набросал вредоносные функции, а затем, как и любой инструмент до него, передавал работу обратно человеку для выполнения. В 2023 году я опубликовал технический доклад в Технологическом институте SANS, в котором показал, как человек, практически не обладающий навыками, мог подтолкнуть чат-бота к созданию вредоносного ПО, которое беспрепятственно обходило механизмы защиты, предназначенные для его блокировки. Это была эпоха помощника: опасного, безусловно, но все же привязанного к оператору, который им управлял. Агентный ИИ разрывает эту привязку. Он берет на себя задачу и самостоятельно выполняет все шаги. Это единственное изменение — переход от инструмента, который лишь разрабатывает планы, к инструменту, который действует — меняет облик наступательных операций быстрее, чем системы защиты, созданные для их пресечения, и действует сразу в двух направлениях. Оно дает реальные возможности злоумышленникам, которые никогда их не имели, и придает жестокую скорость тем, кто и без того был смертельно опасен.
Если ваша сфера деятельности — наступательные операции, то именно на этой почве вы сейчас стоите. Те инструменты, которые противник направляет против цели, — это те инструменты, которые вы должны уметь использовать сами, и их развитие уже далеко ушло за пределы чат-ботов, составляющих более изящные фишинговые сообщения. Стоит с ясным и трезвым взглядом изучить, на что способны эти агенты сегодня, как они позволяют вам действовать с темпом, который до недавнего времени казался невозможным, и куда они незаметно заведут вас с обрыва, если вы будете следовать за ними со слишком большим доверием.
Рассмотрим злоумышленника начального уровня, которого раньше сдерживало отсутствие технических знаний. Теперь такие люди могут использовать агенты для разработки эксплойтов и самостоятельного проведения атак. Техническое мастерство больше не является обязательным условием; достаточно намерения и доступа к эффективным инструментам. Я называю это явление «скрипт-кидди как услуга», что означает появление сложных атак со стороны ранее неквалифицированных злоумышленников.
Еще одним следствием является то, что ограничения неопытных злоумышленников теперь определяются возможностями выбранных ими моделей ИИ, а не их собственными знаниями. Поскольку множество неподготовленных злоумышленников используют схожие модели аналогичным образом, их методологии атак начинают сближаться, что приводит к формированию поведенческой монокультуры. Хотя это увеличивает количество грамотных атак, оно также создает узнаваемые шаблоны, такие как стандартизированные фишинговые атаки и цепочки эксплойтов. Опытные злоумышленники смогут адаптироваться, выходя за рамки этих стандартных схем, но большинство этого не сделает. Следовательно, специалисты по защите, понимающие эти стандартные модели поведения, могут лучше предвидеть и смягчить последствия широко распространенных угроз.
Для опытных специалистов искусственный интеллект не обязательно повышает уровень мастерства, но значительно увеличивает оперативную скорость. Обучение агента устоявшимся методам ведения атак позволяет параллельно проводить кампании, сокращая время выполнения задач, на которые раньше уходили недели, до нескольких часов. Этот двойной эффект — больше злоумышленников на начальном уровне и ускоренные атаки со стороны экспертов — расширяет общую картину угроз. Для тех, кто проводит санкционированные наступательные операции, это теперь является преобладающим стандартом. Злоумышленники уже используют эти инструменты, и любая операция, игнорирующая их, не отражает актуальные угрозы.
Один из наиболее распространенных примеров, который я часто привожу, — это автономная социальная инженерия. В этом сценарии злоумышленник запускает агента для сбора общедоступной информации о цели, такой как профили в LinkedIn, пресс-релизы или записи конференций, с целью составления подробного профиля. Затем эти сведения используются вторым агентом, который генерирует и отправляет персонализированные сообщения, управляет ответами и ведет непрерывный диалог, постепенно продвигаясь к своей цели. В процессе общения не требуется вмешательства человека.
Опасность здесь заключается не в скорости, а в незаметном исчезновении сигналов, которым мы доверяли. На протяжении многих лет наши средства защиты от фишинга опирались на признаки массового производства: нелепая грамматика, повторяющиеся шаблоны, одинаковые письма, отправленные десять тысяч раз. Именно эти признаки такая схема и устраняет. Каждое сообщение выглядит естественным, уникальным и основанным на чем-то действительно верном в отношении своей цели. Конечно, инфраструктурные сигналы сохраняются; такие вещи, как репутация отправителя, аутентификация и тому подобное, по-прежнему стоят на страже, но теперь нам, как защитникам, приходится полагаться на них сильнее, чем когда-либо, и сколько времени пройдет, прежде чем эти защитные механизмы сломаются под таким давлением? Лингвистическая информация и данные на уровне шаблонов говорят нам о том, что значительная часть наших средств обнаружения, на которые мы незаметно полагались, исчезла.
И дело не только в социальной инженерии. Та же самая автоматизация вытесняет создание эксплойтов. По мере того как передовые модели набираются опыта в цепочке вызовов инструментов и самокорректировке в динамичной среде, планка для создания работающего эксплойта с каждым новым выпуском опускается все ниже. Настолько, что федеральное правительство теперь вмешивается и вынуждает снимать с рынка такие модели, как Fable 5 от Anthropic, из-за опасений по поводу их возможностей. Но это лишь вершина айсберга. Свяжите даже умеренно способную модель с базой данных известных уязвимостей, и она сама проведет разведку, оценит, чему, вероятно, подвержена цель, изберет подходящий эксплойт из арсенала и доложит, как гончая, уловившая след: «Я полагаю, что это сработает, исходя из этих показателей. Запустить?» Вредоносное ПО движется по тому же пути, приобретая самостоятельную активность, и мы уже наблюдаем, как агенты переписывают существующее вредоносное ПО в более незаметные штаммы, созданные для того, чтобы проскользнуть мимо средств защиты, знакомых со старыми версиями. Это началось много лет назад с появлением «Guided Network Access Weapon (GNAW)», которое я впервые продемонстрировал на конференции Hackers Teaching Hackers.
Все это делает агенты очень заманчивым средством, на которое можно опираться. Они быстры, работают автономно и от начала до конца говорят с непреклонной уверенностью. Именно это последнее качество и является ловушкой, а называть это ложью — значит намеренно льстить ему. Агент не ищет правду. Он стремится к завершению задачи и к ответу, который выглядит правильным. У него нет привилегированного доступа к информации о том, действительно ли хост уязвим; он сопоставляет индикаторы с выводом и озвучивает этот вывод одним и тем же уверенным голосом, независимо от того, обоснован он или пуст. Соедините его с базой данных уязвимостей, и проблема усугубляется, поскольку система извлекает то, что правдоподобно связано с ситуацией, а не то, что действительно применимо. Она не проверяет версию, не проверяет конфигурацию и не проверяет, доступна ли вообще данная служба.
Именно эта проблема оценки и определяет важность места, которое занимает данная работа. План SANS «Secure AI Blueprint», разработанный директором по искусственному интеллекту SANS Робом Т. Ли, разделяет эту обширную задачу на три направления: «Защита ИИ», «Использование ИИ» и «Управление ИИ». Направление «Управление ИИ» обеспечивает разработку политик и надзор, которые гарантируют подотчетность этих систем. Направление «Защита» укрепляет системы, которые организация фактически использует. Направление «Использование» — это сфера, где ИИ задействуется как для атаки, так и для защиты, причем наступательные операции являются его самым сильным преимуществом.
Руководство, услышав слова «безопасность ИИ», представляет себе папки с документами и комитет по управлению в тихой комнате. Однако «Использование» — единственное из этих трех направлений, которое дает реальные доказательства: реальные атаки, проводимые против реальных систем, показывают, выдерживают ли политика и меры по укреплению защиты при ударе. Организация может разработать сколько угодно руководящих принципов и развернуть все доступные ей средства защиты, но пока кто-то не направит эти инструменты против её собственных систем, она не узнает, какие из них выдержат натиск. Защита остается теорией до тех пор, пока не вступает в контакт с угрозой, и именно оператор приводит её к этому моменту. Именно поэтому именно операторы всё чаще становятся теми, кто несет ответственность за всю программу.
Вернёмся же к тому, с чего начали. На протяжении всей истории человечества рука оставалась на оружии, потому что оружию нельзя было доверять выбор, и в этом ничего не изменилось. Машина теперь может сама прицеливаться, но она не может сказать вам, следует ли производить выстрел. Она назовет цель, которой никогда не было, и попросит — тем же невозмутимым голосом, которым она говорит, когда права, — разрешения на огонь. Каждая механическая часть этого ремесла передана машине. Единственная часть, которая осталась за человеком — способность отличить правду от уверенной лжи и удерживать руку, пока не будешь уверен, — становится всей сутью работы. Воин никогда не стоял так далеко от раны, и выбор, который их связывает, никогда не имел такого большого значения. Оружию больше не нужен воин, чтобы им взмахнуть, но никогда еще ему не требовалось, чтобы человек решал, стоит ли им взмахнуть вообще, больше, чем сейчас.
Изучите наступательный ИИ на конференции SANS в Сан-Антонио 2026
В августе этого года я подробно рассмотрю эти вопросы в рамках курса SEC535: «Оффенсивный ИИ — инструменты и техники атак», который будет проходить на конференции SANS в Сан-Антонио в 2026 году. В течение трех дней практических занятий мы будем отрабатывать описанные здесь техники с позиции оператора: разведка и социальная инженерия с помощью ИИ, атаки с использованием дипфейков и клонирования голоса, обнаружение уязвимостей с помощью ИИ, а также использование ИИ при разработке и обходе защиты вредоносных программ. Вы будете управлять инструментарием собственными руками и по-настоящему поймете его возможности, ограничения и те конкретные моменты, в которых ему нельзя доверять. Именно в этом заключается разница между знанием о существовании таких атак и умением их осуществлять.
Машина возьмет на себя прицеливание. А вы — примите решение о выстреле.
Зарегистрируйтесь на конференцию SANS San Antonio 2026 здесь.
Примечание: эта статья была профессионально написана и предоставлена Фостером Нетеркоттом, автором курса SANS SEC535.