Автономный ИИ-агент, рассчитанный на 100 тысяч действий без одобрения оператора, обнаружила команда Symantec Threat Hunter Team. Инструмент искал доступные в интернете API, захватывал подключённые к ним модели и использовал их как механизм планирования атак; для русскоязычных команд это ещё один повод перестать считать открытый AI-эндпоинт безобидной технической мелочью.
Исследователи перехватили полный набор инструкций летом 2026 года, разместив приманку для злоумышленников. Как сообщает The Register, агент проверял интернет на сервисы, принимающие запросы в стиле OpenAI без аутентификации, а также на точки с украденными ключами доступа. После этого он мог передавать модели задачу по выбору следующего шага, а собственными модулями выполнять сканирование, эксплуатацию уязвимостей и постэксплуатацию.
У Symantec нет подтверждений, что инструмент применяли в реальных атаках. Но это не набросок из чата: в собранной истории исследователи увидели работу против живой цели и результаты, похожие на настоящий вывод сканера. Главное отличие от привычного набора скриптов здесь не в какой-то новой уязвимости, а в связке уже известных техник с моделью, которой отдали планирование длительной атаки.
Авторы назвали цикл работы «Skynet mode». В нём агент должен был находить цель, заражать её, тихо устанавливать криптомайнер, затем продолжать поиск и повторно компрометировать доступные хосты. Ограничение в 100 тысяч шагов превращает ИИ из помощника, которому задают отдельную команду, в длительно работающий процесс. Ошибка или удачная находка на раннем этапе может масштабироваться без паузы, в которой человек обычно успевает нажать кнопку «стоп».
Набор возможностей был широким: кража баз данных, учётных данных и секретов, удалённое выполнение кода и майнинг криптовалют. В инструкциях было 74 наступательных инструмента. Среди целей упоминались VS Code, Django, Jupyter, Laravel, Supabase, Next.js и Flask/Werkzeug, а также GraphQL, командные инъекции и SSRF через генераторы HTML-to-PDF. Сам по себе список не означает, что уязвимы все эти продукты: речь идёт о модулях, нацеленных на ошибочно настроенные или не обновлённые развёртывания.
Особенно показателен способ принудить чужую модель помогать атаке. Операторы не взламывали саму модель в привычном смысле, а обкладывали запрос несколькими слоями jailbreak-инструкций. В первых слоях модель маскировали под вымышленного помощника разработчика и объявляли чтение файлов конфигурации, переменных окружения, API-ключей и схем баз данных обычной работой в «авторизованном» проекте. Дальше ей запрещали отказываться и просили игнорировать собственные предупреждения о безопасности.
По словам исследовательницы Symantec Прити Мор, отдельные приёмы не новы: многие jailbreak-шаблоны доступны публично. Новизна — в их сборке в единый автономный ИИ-агент, который берёт вычисления у захваченной модели и может действовать почти без участия человека. При этом жертв здесь две группы. Владелец открытого API оплачивает инференс, а владелец скомпрометированного сервера рискует данными и ресурсами инфраструктуры, которые уйдут на майнинг.
Атрибутировать авторов Symantec не смогла. В материалах встречались французский текст и французский residential IP-адрес в первый день активности, однако такие признаки слишком слабы: IP может принадлежать прокси или VPN, а язык — быть заимствованным. Персонаж и фраза, использованные в jailbreak, уже циркулируют в англоязычных сообществах, обсуждающих обход ограничений моделей.
Для разработчиков и платформенных команд вывод довольно приземлённый. Нельзя оставлять совместимые с OpenAI интерфейсы открытыми в интернете, рассчитывая, что неизвестный маршрут останется неизвестным. Нужны обязательная аутентификация, короткоживущие и ограниченные по правам ключи, лимиты запросов и расходов, журналирование вызовов, сегментация доступа к секретам и регулярная проверка публичных сервисов. Отдельно стоит отслеживать аномальный расход токенов: внезапно дорогой инференс может быть не ростом популярности продукта, а чужой атакующей автоматизацией.
Этот случай показывает неприятный сдвиг: модель всё чаще становится не объектом атаки, а арендованным «мозгом» в чужой атакующей цепочке. Пока доказательств массового применения такого набора нет, но защите уже придётся учитывать не только скорость сканеров, а и агента, который умеет выбирать следующий ход. Подробности перехваченного набора инструкций доступны в материале .
