Злоумышленник использовал поддельные AI-боты, выдавая их за агентов OpenAI, Anthropic, Meta и других компаний, чтобы систематически искать в интернете открытые данные и учётные данные. Это неприятный сигнал для команд, привыкших автоматически доверять «известному» имени в логах: бренд разработчика ИИ теперь может стать удобной маской для разведки перед атакой.
О кампании сообщает Dark Reading. По данным издания, атакующий скрывался за ботами, имитировавшими агентов крупных AI-компаний, и настойчиво сканировал доступные ресурсы в поисках секретов. Речь идёт не о взломе самих OpenAI, Anthropic или Meta: их названия использовались как прикрытие для активности неизвестного оператора.
Сканирование открытых систем давно стало базовой частью атакующего конвейера. Боты обходят публичные веб-серверы, репозитории, документацию, тестовые окружения и другие доступные из сети точки. Цель проста: найти то, что оказалось опубликовано по ошибке или осталось доступным после изменения инфраструктуры. В такой выдаче особенно ценны ключи API, токены доступа, пароли, конфигурационные файлы, резервные копии и служебные панели.
Новая деталь здесь — маскировка под AI-агентов. Технические команды уже видят в журналах множество легитимных роботов: поисковые краулеры, сервисы мониторинга, интеграции, проверяющие ссылки боты и инструменты для сбора данных. Если запрос подписан знакомым именем, его проще пропустить при разборе аномалий или автоматически разрешить на уровне WAF. Именно на эту привычку и рассчитывают поддельные AI-боты.
Для атакующего такая схема снижает трение. Не нужно убеждать жертву открыть вложение или вводить пароль на фишинговой странице: достаточно найти ресурс, который уже оставили без должной защиты. А название известной AI-компании помогает растворить подозрительную активность в шуме. Для защитников это означает, что User-Agent и подобные самоописания клиента нельзя считать доказательством его происхождения. Их легко подделать, как подпись на коробке без пломбы.
Проблема особенно актуальна для разработчиков и DevOps-команд, у которых публичный контур меняется быстрее, чем документация к нему. Временный стенд для демонстрации, забытый поддомен, открытый каталог с артефактами сборки или конфигурация, случайно попавшая в публичный репозиторий, — всё это заметно не только коллегам. Автоматизированный сканер доберётся до такой находки быстрее, чем очередной внутренний аудит по расписанию.
Практическая реакция не требует изобретать отдельную защиту именно от ИИ. Полезнее проверить базовую гигиену: не хранить секреты в коде и конфигурациях, регулярно пересматривать публичные активы, включать ротацию скомпрометированных ключей, ограничивать права сервисных учётных записей и анализировать аномальные обращения. В логировании стоит сохранять больше контекста, чем название бота: источник запроса, частоту обращений, запрашиваемые пути и характер ответов. Если организация разрешает известных краулеров, правила лучше привязывать к проверяемым признакам, а не только к строке User-Agent.
Отдельный риск — избыточная автоматизация исключений. Когда AI-бот или другой «узнаваемый» клиент получает особый режим доступа без дополнительной проверки, подмена имени превращается из шума в обход контроля. Бизнесу стоит договориться, какие внешние боты действительно нужны, какие данные они могут видеть и кто отвечает за регулярный пересмотр таких разрешений. Для многих сайтов корректным ответом будет не список «доверенных AI-агентов», а одинаково строгие правила для любого неаутентифицированного сканера.
История с имитацией агентов крупных AI-компаний показывает, как быстро язык индустрии становится частью арсенала атакующих. Сегодня поддельные AI-боты помогают прятать разведку среди привычного трафика; завтра похожую роль могут сыграть названия новых ассистентов, IDE-плагинов или корпоративных интеграций. Главный вопрос для команд не в том, умеют ли они распознать очередное громкое имя, а в том, останется ли инфраструктура защищённой, если это имя окажется обычной строкой в запросе.
