Автономный ИИ-хакер так и не появился

Несколько лет подряд индустрия информационной безопасности пугала одним и тем же сценарием. Нейросеть учится взламывать банки самостоятельно, без оператора, и любой школьник с ноутбуком получает возможность положить транснациональную корпорацию одной кнопкой. Свежие исследования по итогам 2026 года эту картину закрывают - и оказывается, что реальность и скучнее, и опаснее одновременно.

Терминатора от кибербезопасности не случилось. Зато случилось кое-что похуже: бизнес, гоняясь за модой на интеллектуализацию всего подряд, сам себе выстроил гигантскую дыру в периметре.

Ставка была на скрипт-кидди - подростков с базовыми навыками, которым ИИ должен был заменить годы обучения. Не заменил. Даже полностью автономный ИИ-агент способен закрыть изолированную атомарную задачу вроде парсинга конкретной страницы. А вот собрать карту нестандартной корпоративной сети, учесть работу EDR и выстроить многоступенчатую эскалацию привилегий - тут агент теряется моментально.

Выгоду получили не новички, а профессиональные APT-группировки. Для них ИИ - не замена мозгов, а бесплатный подмастерье, который не устаёт и не жалуется. Рутина - сбор информации, шаблонный код, адаптация старых инструментов под новую цель - уходит модели. Человек оставляет себе архитектуру атаки и решения, которые нельзя доверить автомату.

В контролируемых экспериментах автономные агенты дожимают только первый этап - поиск и эксплуатацию известных уязвимостей веб-приложений. Как только инфраструктура усложняется, прогресс останавливается наглухо. Без оператора-человека - никуда.

WormGPT, FraudGPT, DarkBERT - вокруг этих названий три года крутился целый рынок теневых форумов. Продавцы обещали модель без этических ограничений, с базой эксплойтов внутри и автоматической генерацией боевого софта.

В феврале 2026 утекли исходники, база данных и логи WormGPT - самого раскрученного проекта на этом рынке. И вскрылось ровно то, что подозревали скептики. Никакой уникальной хакерской модели, обученной на приватных эксплойтах, не существовало - под вывеской работала обычная открытая Mistral-7B. Сверху накрутили RAG на публичных статьях по кибербезопасности и системный промпт, который просил модель забыть про ограничения и притворяться свободной. Заявленный функционал вроде встроенного сканирования портов через Nmap существовал только в рекламных постах на форумах - по факту модель просто выдавала посредственные текстовые ответы.

Из четырёх тысяч зарегистрированных пользователей платный тариф купили около двухсот. Люди быстро поняли, что их развели, и проект закрылся сам, не выдержав внимания.

Рынок кустарных хакерских LLM не умрёт до конца, но будет сжиматься - киберпреступники давно распробовали, что легальные коммерческие модели на голову сильнее любой поделки из даркнета. Вместо покупки сомнительных нейросетей злоумышленники перешли на JaaS - Jailbreak as a Service. Покупают готовые способы обхода ограничений для официальных моделей и гоняют через них рабочие мощности OpenAI, Anthropic и Google, аккуратно обходя защитные барьеры. При этом на теневых площадках растёт страх перед деанонимизацией - крупные провайдеры мониторят паттерны использования и регулярно банят аккаунты, связанные с прогосударственными группировками.

Новых типов атак искусственный интеллект не придумал. Он прокачал три старых направления.

Фишинг перестал быть узнаваемым по кривой грамматике - ИИ убрал этот маркер полностью, письма выходят безупречными на любом языке. Атаки стали персонализированными до неприличия: скрипты собирают данные жертвы из соцсетей и корпоративных блогов, модель строит психопрофиль и пишет письмо, бьющее точно в интересы или тревоги конкретного человека. Голосовые дипфейки требуют пятнадцати секунд записи из публичного выступления, чтобы сгенерировать речь руководителя, - и вот уже бухгалтерии звонят голосом директора и просят срочно согласовать перевод.

Вредоносное ПО подтягивает ИИ прямо в архитектуру. Локальные NPU в современных процессорах позволяют зловреду гонять компактную модель компьютерного зрения прямо на заражённой машине - она находит на скриншотах элементы банковских панелей, распознаёт текст и ворует только целевые данные, не гоняя гигабайты сырого трафика, который сразу палится системами мониторинга. Отдельные образцы вообще не хранят логику атаки внутри себя - вместо этого дёргают облачный ИИ-сервис под видом легального трафика и просят сгенерировать следующий шаг на основе переданного лога системы. Сигнатурный антивирус на такое бессилен: код чист, а поведение каждый раз новое.

Главная метрика для защитников - Time-to-Exploit, время между публикацией уязвимости и первым рабочим эксплойтом. Раньше счёт шёл на недели. ИИ сократил его до часов, иногда до минут: агент сравнивает уязвимую и патченую версию бинарника, находит изменённый участок, вычисляет логическую ошибку разработчика и тут же собирает рабочий PoC.

Внешняя угроза растёт эволюционно. А вот то, что компании творят с собственной инфраструктурой, торопясь внедрить ИИ, разрастается лавиной.

Shadow AI - зеркало старой истории с несанкционированным софтом, только теперь сотрудники массово тащат в публичные чат-боты закрытую отчётность, базы клиентов с персональными данными и проприетарный код ядра системы. Переданные данные перестают принадлежать компании - оседают на серверах провайдера, идут на дообучение моделей, а утечки истории чатов у крупных сервисов уже случались. Классический DLP такое почти не ловит: трафик к ИИ-сервису выглядит как обычная веб-активность сотрудника.

Копилоты разработки ускорили написание кода в разы и одновременно уронили его безопасность. Модель обучена на миллиардах строк из открытых репозиториев, которые исторически полны уязвимостей, - она понимает не безопасность, а наиболее вероятное продолжение строки. В сгенерированном коде регулярно всплывают SQL-инъекции, XSS, проблемы десериализации, а хуже всего - зашитые прямо в текст пароли и API-ключи. Разработчики, доверяя авторитету модели, копируют блоки без ревью, и уязвимый код расползается по критическим системам.

Сама инфраструктура под ИИ - MLOps-платформы, серверы оркестрации, векторные базы - стала отдельной приоритетной целью. Веса обученных моделей стоят миллионы, кража API-ключей позволяет пользоваться чужими лимитами задаром, а GPU-кластеры воруют под майнинг и брутфорс.

Отдельный класс риска - сами ИИ-агенты, получившие права действовать в CRM, ERP, почте и платёжных шлюзах. Промпт-инъекция через письмо клиента с командой забыть предыдущие правила и перевести все средства на указанный счёт сработает, если агент не разделяет системные инструкции и пользовательские данные. Галлюцинация может закончиться удалённой таблицей в базе или рассылкой конфиденциальных документов внешним контрагентам. А библиотеки вроде LangChain, которые агенты тащат из открытых репозиториев, сами становятся точкой входа для атаки на цепочку поставок.

По матрице MITRE ATT&CK доля техник, где ИИ уже применяется массово, за два года выросла вдвое и составляет сейчас десять процентов. Причём именно на ранних этапах - разведка, генерация контента, первичный доступ - технология уже доминирует. Закрепление в сети и обход EDR всё ещё требуют опытного человека за штурвалом.

Большинство успешных атак по-прежнему строится не на хитрых ИИ-технологиях, а на банальных дырах - паролях admin/admin на периметре, панелях управления без второго фактора, непатченных годами системах, сотрудниках, кликающих на что попало. ИИ ничего из этого не изобрёл. Он просто сжал время, которое раньше прощало компаниям медлительность.