Эксперты в области безопасности продолжают спорить о том, приведет ли ИИ к появлению совершенно нового класса кибератак. Более близкие изменения носят менее заметный характер, но уже очевидны: благодаря ИИ повторная попытка неудавшейся атаки стала дешевой.
Типичный сценарий выглядит следующим образом. Злоумышленник получает доступ к облачной учетной записи с низким уровнем привилегий, и первая попытка повышения привилегий ни к чему не приводит. Раньше этот тупик обходился часами чтения документации, проверки разрешений и отладки скриптов, и многие операторы просто застревали на этом этапе. С помощью модели в цикле ошибка объясняется, скрипт исправляется, и в течение нескольких минут тестируется новый путь перебора.
Ни один из шагов этой последовательности не является новой возможностью. Вместе они сокращают время, снижают требования к квалификации и сокращают затраты на неприглядную среднюю часть вторжения — исследование и устранение неполадок, которые находятся между намерением и результатом.
Что показывают отчеты об угрозах
Открытые данные прослеживают всю эволюцию. В начале 2025 года группа Google по анализу угроз обнаружила, что субъекты, поддерживаемые государством, используют генеративный ИИ в качестве инструмента повышения производительности: для перевода, помощи в написании скриптов, устранения неполадок и исследований. К концу 2025 года та же команда писала об образцах вредоносного ПО, которые обращались к модели в процессе выполнения, а также о развивающемся подпольном рынке незаконных инструментов ИИ, в то время как компания Anthropic сообщила о пресечении операции по вымогательству, в которой ИИ использовался практически на каждом этапе — от разведки и сбора учетных данных до выдвижения требований о выкупе. В мае 2026 года GTIG сообщила, что киберпреступники обнаружили способ обхода двухфакторной аутентификации в инструменте администрирования с открытым исходным кодом и создали для него рабочие эксплойты, а также что, основываясь на структуре и содержании этих эксплойтов, она с высокой степенью уверенности пришла к выводу, что модель ИИ способствовала как обнаружению уязвимости, так и разработке эксплойтов. GTIG совместно с затронутым поставщиком провела работу по раскрытию информации и пресекла эту деятельность; по оценке самой компании, меры по противодействию обнаружению, возможно, предотвратили использование этого эксплойта.
Это последнее различие имеет значение. Предполагаемая помощь ИИ и запланированная операция — это не то же самое, что подтвержденное использование в реальных условиях, и эта разница часто упускается из виду, как только подобные выводы начинают распространяться. Установление авторства затруднительно, масштабы явления неясны, и ни один из этих отчетов не представляет собой полную картину глобальной активности. Важно направление развития, и оно ведет к тому, что ИИ будет встроено в рабочие процессы злоумышленников, а не просто находиться рядом с ними.
Здесь следует отдать должное защитным механизмам провайдеров. Классификаторы безопасности и меры по пресечению злоупотреблений повышают стоимость неправомерного использования, и приведенные выше примеры пресечения злоупотреблений показывают, что эти усилия окупаются. Однако защитные механизмы по-прежнему находятся за пределами предприятия. Злоумышленник может пробовать обходить их до тех пор, пока переформулированный запрос не проскользнет, перенести задачу на модель с открытой весовой оценкой, разбить одну вредоносную задачу на дюжину выглядящих безобидно, или обернуть модель инструментарием и полностью обойти уровень политики. Такого рода препятствия замедляют злоупотребления, но никогда не становятся границей безопасности, а организация, которая рассматривает политику провайдера как границу, заменяет защиту на ложное чувство безопасности.
В учебниках жизненный цикл атаки изображается в виде линии: разведка, доступ, эскалация, воздействие. Действующий злоумышленник же работает по циклу. Наблюдает за средой, выдвигает предположение, пробует что-то, анализирует полученный результат, корректирует предположение. ИИ сокращает время между этими этапами. Новичок дольше остается в игре. Эксперт проводит больше экспериментов в день.
Защита должна работать по тому же циклу. Срабатывает сигнал, собирается контекст, формируется гипотеза, проверяется масштаб, предпринимается действие, а результат поступает обратно в систему обнаружения. На практике очереди и передача задач прерывают этот цикл на каждом этапе. Сигнал тревоги простаивает, не будучи никому назначенным. Данные об идентификации хранятся в другой консоли. Пробел в телеметрии превращается в задачу в списке невыполненных работ, а объяснение закрытого ложного срабатывания теряется в тикете, вместо того чтобы дойти до того, кто отвечает за данное правило.
Среда реагирует на эксперимент злоумышленника за секунды. Ответ защитника поступает только тогда, когда заявку возьмет на обработку кто-нибудь из сотрудников.
Среднее время подтверждения и среднее время устранения скрывают эту проблему. Сигнал тревоги может быть подтвержден за считанные минуты, а затем на его реконструкцию уходят часы: поиск правильной идентичности, подтверждение того, находился ли конечный узел под управлением, повторное изложение инцидента каждому новому ответственному лицу на пути утверждения. Этот интервал реконструкции — это задержка принятия решения, и лишь немногие SOC вообще его измеряют.
Пять вещей, которые теряются при каждой передаче
Эту работу обычно описывают с помощью пяти функций: анализ угроз, поиск угроз, разработка средств обнаружения, расследование и устранение последствий. Это скорее полезный подход, чем универсальная организационная структура. В небольшой команде один человек выполняет несколько из этих функций. В крупной организации они распределены между командами SOC, по работе с идентификацией, конечными устройствами, облачными технологиями и бизнес-подразделениями, а поставщик услуг MDR может отвечать за расследование, не имея полномочий по локализации угрозы.
Проблема редко заключается в самих функциях. Проблема — в передаче ответственности между ними. Анализ угроз позволяет понять, почему та или иная техника имеет значение. Поиск угроз может определить, где она проявится. Инженерия обнаружения несет в себе неявные допущения правил. Следователь располагает цепочкой доказательств, на основании которой выносится вердикт. Команда, принимающая меры, может назвать действия, которые нанесут ущерб бизнесу. Каждая передача сжимает эти знания в индикатор, оповещение или заявку, и при этом происходит потеря информации.
Это и есть «с потерей информации» взаимодействие, описанное в недавней серии из трёх статей, и перечень того, что должна передавать каждая стадия, стоит сохранить в полном виде:
- Идентичность объекта: фактический пользователь, устройство, рабочая нагрузка или бизнес-процесс, стоящий в центре дела
- Доказательства и происхождение: наблюдения, лежащие в основе вывода, их источник и временные метки
- Гипотеза и степень уверенности: основное объяснение, альтернативные версии, которые по-прежнему остаются актуальными, и степень уверенности, лежащая в основе выбора
- Достаточность телеметрических данных: какие утверждения могут быть подкреплены имеющимися данными, а какие — нет, и отсутствие каких источников ограничивает степень уверенности
- Ответственность за принятие решения и ограничения: кто уполномочен действовать, какие согласования стоят на пути и что может нарушить данное действие
Упустите первый пункт — и две команды в итоге будут расследовать одного и того же пользователя под разными именами. Упустите последний — и правильная рекомендация застрянет в очереди, пока инцидент не устареет. Доказательства без информации о происхождении — всего лишь украшение.
Один инцидент, пять точек зрения
Конкретный пример из этой серии наглядно демонстрирует, как происходит потеря данных в реальных условиях.
Сотрудник финансового отдела входит в систему с хостинг-провайдера, которым учетная запись никогда не пользовалась. Требования многофакторной аутентификации (MFA) выполнены. В течение 10 минут новое правило почтового ящика начинает пересылать письма на внешний адрес, а учетная запись начинает загружать файлы с сайта SharePoint финансового отдела по схеме, которая ранее не наблюдалась. Ни одно отдельное событие не доказывает взлом. Но эта последовательность событий заслуживает внимания.
Служба анализа угроз отслеживает волну фишинговых атак типа «атака посредника», направленных на кражу аутентифицированных сеансов, поэтому успешное прохождение MFA само по себе не может полностью оправдать учетную запись. Этот контекст передается дальше в виде краткого уведомления с индикаторами и идентификаторами методов. Последовательность поведения и локальные условия, при которых она имеет значение, остаются за кадром.
Охотник преобразует уведомление в запросы и выясняет две вещи, о которых в уведомлении не упоминалось: данные о соответствии устройств охватывают лишь часть среды, а записи аудита SharePoint появляются с многочасовым опозданием. Охотник передает список подозрительных учетных записей. Предостережения относительно охвата остаются за кадром.
Инженеры по обнаружению создают логику, которая срабатывает только тогда, когда незнакомая сеть, успешный вход с MFA и новое правило перенаправления сходятся в коротком временном интервале, прекрасно понимая, что у правила нет видимости состояния устройств для части пользовательской базы. Наружу попадают только уровень серьезности и поле описания. Предположения и ожидаемые шаблоны ложных срабатываний остаются за кадром.
Оповещение поступает аналитику в середине смены, показывая вход в систему и правило почтового ящика без каких-либо обоснований, связывающих их между собой. Аналитик воссоздаёт картину, переключаясь между четырьмя консолями: идентификации, безопасности электронной почты, SIEM и инвентаризации активов. Остаются два возможных объяснения. Пользователь мог находиться в командировке или пробовать новую легальную услугу, что объясняет незнакомую сеть, но не правило внешней переадресации и схему доступа, которые ранее не наблюдались для этой учетной записи. Или же была украдена аутентифицированная сессия, что объясняет всю последовательность событий. Второе объяснение соответствует доказательствам, а область действия конечного устройства остаётся неизвестной, поскольку устройство не находится под управлением и отсутствует телеметрия процессов или сети, которую можно было бы проверить. Дело закрывается с рекомендацией отключить учётную запись. Конкурирующее объяснение, уровень достоверности и конечный узел, который никто не смог проверить, остаются без внимания.
В службу идентификации поступает заявка: заблокировать эту учетную запись. Команда знает то, чего SOC никогда не видела: учетная запись находится в процессе расчета заработной платы, и резкая блокировка прерывает бизнес-процесс, чувствительный ко времени. Это не даёт финансовому отделу права вето на меры по локализации. Это означает, что решение о локализации и решение о непрерывности работы должны приниматься людьми, которые видят обе стороны ситуации. Отмена активных сеансов и удаление правила переадресации — это меры с низким уровнем риска. Приостановка учетной записи регулируется политикой реагирования на инциденты и входит в компетенцию того, кто обладает соответствующими полномочиями. Перенос срока расчета заработной платы зависит от наличия оператора-дублера и его готовности взять на себя эту задачу. Восстановление доступа зависит от сброса учетных данных, повторной регистрации в системе MFA и наличия управляемого устройства, и кому-то все равно придется подтвердить, что меры вступили в силу.
Каждая функция выполнила свою задачу. Система по-прежнему заставляла каждую из них воссоздавать инцидент с нуля и поручала единственной команде, владеющей бизнес-контекстом, выполнить однострочную задачу вместо принятия решения.
Аналитик-единорог — это симптом
Когда организации ощущают эту потерю, их рефлекторной реакцией становится размещение объявления о вакансии: нужен специалист, свободно ориентирующийся в вопросах идентификации, конечных устройств, облачных технологий, электронной почты, анализа вредоносного ПО, логики обнаружения и коммуникации с руководством, который будет закреплён за очередью оповещений. Мифический «аналитик-единорог» — это не стратегия привлечения талантов. Это обходной путь, компенсирующий недостаток информации о состоянии системы.