Фейковые ИИ-инсталляторы, маскирующиеся под Claude, ChatGPT и Codex, за шесть месяцев стали причиной 1258 расследованных инцидентов на платформе Any.Run. Для российских команд это вполне прикладная угроза: один разработчик, вставивший «команду установки» из поиска, может отдать злоумышленникам исходники, SSH-ключи, токены CI/CD и доступ к облачным API.
По данным Dark Reading, исследователи Any.Run изучили кампании, которые используют популярность генеративных сервисов как приманку. В 60% рассмотренных случаев злоумышленники выдавали себя за Claude, ещё 33% приходились на ChatGPT и Codex. Пользователю предлагают скачать якобы официальный клиент, перейти на страницу с документацией или получить инструкцию в общем чате. На деле вместо инструмента для работы с ИИ он запускает инфостилер, троян удалённого доступа или другой вредоносный код.
Главный элемент таких атак — не сложный эксплойт, а убедительный сценарий, в котором критическое действие делает сам сотрудник. Жертве показывают команду для терминала, «исправление» ошибки установки либо окно входа, похожее на настоящее. Команда копируется в консоль, установщик получает нужные права, а логин и пароль отправляются на поддельную страницу. Для атакующих это особенно удобно: привычка искать быстрый способ поставить новый AI-инструмент уже стала частью рабочего процесса.
Почти половина проанализированных кампаний использовала приёмы семейства ClickFix. В 27% случаев встречались фальшивые CLI-инсталляторы, которые исследователи относят к схеме InstallFix; ещё 17% начинались с поддельных страниц загрузки. Оставшиеся 25% цепочек были связаны со злоупотреблением AI-чатами и вредоносными артефактами. В 45% расследований злоумышленник прямо просил человека скопировать и вставить команду в интерфейс.
Механика работает потому, что вредоносная инструкция выглядит правдоподобно. Легальные инструменты для программирования с ИИ нередко действительно устанавливаются из командной строки. Поэтому строка в духе «вставьте это в терминал, чтобы настроить CLI» не вызывает у разработчика такого же рефлекторного недоверия, как вложение из неизвестного письма. Фейковые страницы при этом могут размещаться на GitHub Pages, GitLab Pages, Cloudflare Pages, Google Sites и других известных платформах. У доверенного домена есть репутация, но она не делает опубликованный на нём код безопасным.
Отдельный риск создают реальные домены AI-сервисов. Исследователь Push Security Дэн Грин называет особенно неприятными варианты со ссылками из общих чатов, опубликованными артефактами и пользовательскими GPT. Сценарий получил название LLMshare: злоумышленники размещают на AI-платформах материал под видом инструкции по установке или обновлению, а трафик приводят через рекламные объявления и поисковую выдачу. Человек видит знакомый сайт Claude или ChatGPT и ослабляет контроль именно в тот момент, когда его стоило усилить.
Для инженерной команды последствия выходят далеко за пределы заражённого ноутбука. Инфостилер может забрать активные сессии, ключи SSH, токены репозиториев и пайплайнов, доступы к облачным аккаунтам и ключи AI API. Дальше атакующему не обязательно взламывать инфраструктуру снаружи: у него уже могут оказаться учётные данные сотрудника, который имеет доступ к коду, секретам или биллингу. Маркетинговые подразделения тоже в зоне риска — через ложные объявления и SEO-отравление можно перехватить доступ к рекламным кабинетам и корпоративным аккаунтам.
Защитная мера здесь скучна, но эффективна: компания должна заранее определить список разрешённых AI-сервисов и официальные каналы их установки. Это может быть сайт вендора, корпоративный каталог ПО, winget, Homebrew или пакет самого поставщика. Для управляемых рабочих станций логичнее ставить нужные инструменты через MDM или внутренний портал, а не оставлять сотруднику поисковую выдачу в качестве менеджера пакетов. Полезно также ограничить выполнение непроверенных команд для обычных пользователей и отдельно объяснить правило: инструкция из рекламы, общего чата или случайной страницы не равна документации производителя.
Фейковые ИИ-инсталляторы будут появляться быстрее, чем службы безопасности успеют заносить их домены в блок-листы: новые сервисы и модели постоянно дают злоумышленникам свежие названия для приманок. В ближайшее время выиграют не компании с самым длинным списком запрещённых сайтов, а те, где установка AI-инструментов стала предсказуемым и проверяемым процессом. Детали исследования и примеры кампаний опубликованы в .