Про ИИ-агентов, которые взламывают сайты, за последний год писали много. Нового в октябре оказалось другое: исследователи норвежско-американской компании NorForge опубликовали отчёт о том, что сами атакующие оставили свои пульты управления открытыми в интернет. Больше двадцати панелей — без пароля, с журналом операций. Видно, какие сайты выбрали целью, что агенты там нашли, где получилось войти и сколько всё это стоило.
Для исследователей это редкая возможность посмотреть на такую операцию изнутри, а не по следам. Для жертв — вторая беда поверх первой: их уязвимости и пароли лежат в открытом доступе ровно там же. А для всех, кто сам запускает ИИ-агентов, тут есть неприятно знакомый сюжет, и к нему я вернусь в конце.
Что такое Cairn и как он устроен
Cairn — открытый проект, лежит на GitHub. Автор описывает его не как «инструмент для взлома», а как движок поиска решения: есть известная отправная точка, есть заданная цель, а путь между ними неизвестен. Движок идёт к цели шагами, накапливая знание о пространстве вокруг.
Устроено это так. Все агенты-работники пишут на общую доску. Одна запись — это либо факт (что-то подтверждённое, обнаруженное), либо намерение (направление, которое ещё не проверяли). Человек может в любой момент подбросить на ту же доску подсказку. Фиксированных ролей у работников нет: что делать дальше, каждый решает по текущему состоянию доски, а не по заранее расписанным обязанностям. Прямо друг с другом агенты не общаются вообще — только через доску. Путь от старта к цели можно посмотреть графом, и Cairn это умеет.
Первая область, на которой движок проверили, — поиск уязвимостей. В README автор прямо пишет: пользоваться только там, где у вас есть явное разрешение на работу, ответственность за применение — на пользователе. Лицензия AGPL; тем, кому обязательства этой лицензии не подходят, автор предлагает договариваться о коммерческой отдельно. То есть это не вредоносная программа, а инструмент двойного назначения, вполне легальный в руках команды, которую наняли проверить свою же инфраструктуру.
Проблема в другом: у Cairn есть веб-интерфейс, и операторы найденных экземпляров не стали ни закрывать его файрволом, ни ставить перед ним авторизацию.
С чего начали: атаки ИИ-агентов на интернет-магазины
Началось с сентябрьского отчёта другой компании, Gambit Security. Её исследователи получили доступ к серверу одного злоумышленника и восстановили картину кампании против интернет-магазинов — сами они оговариваются, что данные неполны. Цифры оттуда: с 10 по 15 сентября было запущено 105 «проектов атаки», минимум 27 компаний взломаны в той или иной степени, из двух из них утекло больше 600 тысяч записей о картах с неистёкшим сроком действия. Около 79% из них выпущены американскими банками.
Самое интересное в том отчёте — не масштаб, а смета. Средняя стоимость одной цели по собственным подсчётам атакующего — 25,46 доллара за завершённую проверку, разброс от трёх до восьмидесяти. За первые четыре недели он потратил на модели около семи тысяч долларов, вся кампания, по оценке Gambit, обошлась в 12–18 тысяч.
Работу делили три открытых инструмента: один искал уязвимости, Cairn пытался ими воспользоваться, а третий, Hermes, был пультом оператора — через него ставились задачи, у него была постоянная память и больше сотни настроенных навыков. По описанию (открытый агент с памятью, навыками и отдельным файлом «личности») это предположительно Hermes Agent, о котором я много писал в блоге. Оговорюсь: сам Gambit разработчика не называет, так что это мой вывод из описания, а не установленный факт.
Отсюда и пошли поиски NorForge. У таких систем узнаваемые веб-интерфейсы, и исследователи проверили, какие экземпляры доступны публично. Большинство найденных требовали авторизации. Большинство.
Кто этим пользуется: три кластера активности
Найденное NorForge разложили на кластеры — по языку, целям и пересечениям в данных. Это именно кластеризация по косвенным признакам, а не установленные личности групп. Очевидных признаков государственных операций исследователи не обнаружили: все кластеры выглядят мотивированными деньгами. Как они сухо замечают, актор такого уровня, вероятно, умеет закрывать свои дашборды.
Самый активный кластер работает на китайском языке: больше 1100 проектов атаки на четырнадцати панелях. Цели — в основном электронная коммерция и платёжная инфраструктура в США, Японии и Австралии. Логика не «взломать и сразу обналичить», а получить устойчивый доступ и вернуться к нему позже. Подбор целей автоматизирован: сайты ранжируются по трафику и предварительно проверяются на работоспособность, прежде чем уйти в обработку.
Второй кластер говорит по-английски и ориентирован на прямую кражу денег — карты и криптовалюта. Десять панелей. Любопытная деталь: во многих его проектах оператор задаёт только конечный результат, без какого-либо технического плана. Дальше агенты разбираются сами. Среди целей заметная доля африканских коммерческих сайтов, из чего NorForge осторожно предполагают, что и база у группы где-то там.
Третий — одна панель, 59 проектов, и выглядит как проба сил. Его проекты начинаются с формулировок про «авторизованную проверку», а дальше становятся всё откровеннее. Исследователи оценивают этот кластер как вредоносный с низкой уверенностью: может, это и правда кто-то осваивает инструмент.
Сколько стоит атака ИИ-агентами: 10% успеха и сутки до цели
Теперь цифры, ради которых, на мой взгляд, этот отчёт и стоит читать.
Средняя доля успешных задач, по оценке исследователей, — около 10%. Многие из остальных достигают частичной цели или собирают информацию, которая пригодится в следующей попытке. Для успешных попыток в самом активном кластере среднее время от старта до достигнутой цели — чуть меньше 23 часов, и в среднем 140 записанных фактов на проект. Один проект шёл больше пяти суток. Среднюю стоимость одной задачи NorForge оценивают примерно в пять долларов с учётом неудачных и рано оборвавшихся; долгие проекты могут стоить и больше сотни. Сами исследователи подчёркивают, что неопределённость в этой оценке большая.
Переведу на язык, в котором эти числа что-то значат. Если условно совместить две оценки — пять долларов за задачу и каждая десятая успешная, — получится порядка пятидесяти долларов расходов на модель за одну достигнутую цель. Это иллюстрация порядка затрат, а не измеренная цена взлома сайта. Но порядок показателен: при таких расходах выбирать цели можно не придирчиво, а пачками, по формальным признакам вроде трафика, и небольшой сайт попадает в этот список наравне с крупным.
И второе: сутки. Между первым касанием и достигнутой целью в успешных случаях проходит примерно день — это и есть темп, под который приходится подстраивать реакцию.
Исследователи честно отмечают, что это снимок на сегодня: модели и обвязка вокруг них меняются быстро, так что числа ещё изменятся — вероятнее, в пользу атакующих.
Чем открытая панель опасна для жертв
Открытая панель раскрывает не только то, что какой-то сайт проверяли на прочность. Она раскрывает всё, что агент успел узнать по дороге, плюс то, что человек-оператор подбросил на доску руками, — а подбрасывают туда и пароли, добытые где-то ещё. NorForge прогнали собранные данные через сканер секретов: нашлись сотни ключей и паролей разного калибра, и 11% из них сканер подтвердил как действующие. Остальные не обязательно мертвы — их просто не удалось проверить.
Дальше хуже: панели выглядят полностью незащищёнными, то есть доступны, судя по всему, и административные функции — управление проектами, вмешательство в идущие операции, перенаправление агентов. Проверять это на практике NorForge отказались по понятным этическим причинам и в отчёте прямо пишут, что отошли от этой мысли. Вывод формулируют безжалостно: какими бы навыками атаки эти операторы ни обладали, защита собственной инфраструктуры в их число не входит.
Забавно, что с другой стороны баррикад картина зеркальная: в разборе доклада про фишинговые платформы исследователь попал внутрь мошеннического сервиса ровно потому, что его собрали наспех и не проверили. Кто атакует, тот, похоже, реже всего смотрит на себя.
И есть пострадавшие, о которых не думаешь сразу. Среди найденных панелей попались и, похоже, легальные команды: настоящие проверки настоящих клиентов, выложенные на незащищённый сервер. NorForge их не называют — и правильно. Но суть от этого не меняется: собрать уязвимости и пароли клиента, чтобы затем опубликовать их в интернете, — это, пожалуй, худший сценарий, который можно придумать для подрядчика по безопасности. Адреса панелей исследователи не раскрывают до тех пор, пока их не удастся закрыть, и работают с Reuters над тем, чтобы предупредить пострадавших. Тот случай, когда сдержанность в публикации — часть работы.
Как защитить своего ИИ-агента: чеклист
Присмотритесь к механике провала: мощный автономный агент, веб-интерфейс, сервер в интернете, пароля нет. Похожий риск возникает всегда, когда интерфейс самостоятельно поднятого агента открывают наружу без контроля доступа, — неважно, что за агент. У операторов из отчёта утекли чужие пароли и журнал операций. В вашем случае утечёт переписка, память агента, ключи к подключённым сервисам и возможность давать агенту команды от вашего имени.
Что проверить сегодня, если у вас есть свой агент на сервере:
- дашборд и API-порт не слушают наружу: только
127.0.0.1, а доступ — через SSH-туннель или VPN. Если нужен вход из браузера, то через реверс-прокси с авторизацией, и он должен быть единственной внешней дверью: открытый напрямую API сводит прокси на нет; - файрвол закрывает всё, кроме того, что вы осознанно открыли. Проверять не настройками, а снаружи: просканировать свой же адрес и посмотреть, что видно;
- у агента нет ключей, которые ему не нужны, а те, что есть, выданы с минимальными правами и ограниченным сроком. Утечёт то, что лежит рядом, а не то, что вы планировали отдать;
- у провайдера модели выставлены жёсткие лимиты расходов, а не только уведомления о превышении. Открытый пульт — это ещё и чужие траты за ваш счёт;
- в памяти и истории агента не копится лишнее: что не нужно для работы — не сохраняется, остальное имеет срок хранения. Про то, что именно агент успевает запомнить из переписки, я отдельно писал в материале об агенте в групповых чатах;
- если утечка всё-таки случилась, закрыть панель недостаточно: нужно отозвать ключи и завершить активные сессии, иначе доступ останется.
Подробнее про порты, файрвол и безопасное открытие дашборда — в статье про безопасный старт Hermes. А о том, как такой агент принимает решения внутри, я писал в материале как работает автономный ИИ-агент.
Как защитить сайт от автоматических атак
Защитные выводы у Gambit получились скучные и правильные, и скучность тут достоинство.
Главное — исходить из того, что восстановление важнее идеальной обороны. Нужно заранее знать минимальный набор систем, без которого бизнес не принимает деньги, и согласовать этот список между теми, кто отвечает за приложение, за инфраструктуру и за подрядчиков. И потом доказать, что этот набор поднимается в условиях атаки: план, который заканчивается словами «база восстановлена», планом не является. Проверяемый результат — тестовый заказ, который проходит в восстановленной среде целиком.
Из того, что видно по находкам, я бы добавил несколько пунктов:
- бэкапы защищены от удаления и перезаписи той же учётной записью, из-под которой работает сайт. У одной из жертв кампании автоматика снесла в том числе бэкап-таблицы;
- страницы оплаты и подключённые к ним скрипты под наблюдением: неожиданное изменение файла или новый скрипт с незнакомого домена должны давать сигнал;
- после удаления вредоносного кода проверяется, не появляется ли он снова. Закрепиться в планировщике задач — стандартный приём, и выкладка новой версии от него не спасает;
- сроки установки обновлений заданы заранее и зависят от критичности, с отдельным порядком для срочных исправлений вне графика. Разрыв между выходом патча и его установкой — это и есть то окно, в которое заезжают.
Отдельный пункт для тех, у кого сайт или сервис собран с помощью ИИ: прогоните свой же код на предмет дыр до того, как это сделает кто-то другой. Как встроить такую проверку в работу с агентом — в статье от вайбкодинга к инженерии.
Что из этого останется
Конкретное окно, в которое мы заглянули, скорее всего закроется: NorForge добиваются отключения панелей, часть и так ушла в тень с начала исследования. Получится или нет — зависит от того, как отреагируют хостеры.
Останется другое. Низкая стоимость попытки позволяет атаковать больше сайтов, в том числе небольшие, — аргумент «кому мы нужны» держался на дороговизне чужого времени, а теперь это время не чужое и не дорогое.
И останется наблюдение, которое мне кажется самым полезным. Группа, которая ломает платёжную инфраструктуру на трёх континентах, при этом держала собственный пульт открытым. Ровно та же ошибка — у человека, который за вечер собрал себе агента и выставил его наружу. Разница в масштабе, а не в природе. И пока базовая гигиена остаётся решающим фактором, она доступна любому — защищающемуся в том числе.
Статья написана по исследованию NorForge «Inside Cairn» (19.10.2026) и отчёту Gambit Security (22.09.2026).
