В новом отчёте CrowdStrike Counter Adversary Operations описаны четыре ранее не публиковавшиеся кампании, в которых ИИ-агенты не просто помогали злоумышленникам, а самостоятельно принимали решения и выполняли команды. По данным исследователей, агрессивное применение агентного ИИ набирает масштаб: атакующие используют его на разных этапах вторжений — от разведки до кражи данных.

Что обнаружили исследователи

Команда CrowdStrike Counter Adversary Operations, объединяющая CrowdStrike Intelligence и CrowdStrike OverWatch, зафиксировала инциденты с мая по август 2026 года. В них злоумышленники применяли ИИ не только для создания вредоносных инструментов, но и для организации атак, где агент выбирает дальнейшие действия и исполняет их.

Во всех четырёх случаях атакующим удалось обойти защитные механизмы коммерческих ИИ-моделей. Это показывает, что даже встроенные ограничения не гарантируют защиту от намеренного злоупотребления такими системами.

Атаки на медицинские учреждения Аргентины

Один из злоумышленников, владевший испанским и английским языками, атаковал как минимум 15 медицинских организаций в Аргентине. Ему удалось похитить учётные данные, а также медицинские записи как минимум одной жертвы.

Для этого он создал автономную систему пентестинга на основе двух агентов Claude Code: «Супервизор» выбирал следующий шаг из заранее заданного сценария атаки, а «Исполнитель» выполнял его. В работе также использовался проект с открытым исходным кодом PentestGPT.

Атаки из Китая и на компании в разных странах

Другой злоумышленник, предположительно говоривший на китайском языке, атаковал государственные структуры двух стран, а также частные компании в Бразилии и США. Среди целей были организации из биотехнологической, медицинской, пищевой, розничной, технологической и туристической отраслей.

Доступ к моделям Claude он получал через китайский прокси-сервис. Злоумышленник собрал две системы пентестинга с разной степенью автономности: в одном случае Claude Code мог действовать практически самостоятельно, в другом — распределять задачи между несколькими специализированными агентами.

Малоквалифицированный атакующий из Индонезии

Третий случай показывает, что агентный ИИ снижает порог входа в киберпреступность. Злоумышленник из Индонезии использовал более 800 «навыков» для Claude Code, собранных преимущественно из общедоступных репозиториев GitHub.

Его техническая подготовка была ограниченной: время от времени ему приходилось вручную подталкивать модель, чтобы она продолжала попытки обойти защиту. Тем не менее атакующему удалось скомпрометировать несколько правительственных доменов Индонезии и ресурсы некоторых частных компаний.

Русскоязычная группа и почти полная автономия

Четвёртая группа, говорившая на русском языке, похитила данные корпоративных клиентов у американского поставщика CRM-решений. Кроме того, она атаковала несколько частных компаний, предоставляющих SaaS-услуги и услуги дата-центров в России, Кыргызстане и США, а также взломала домен правительства неназванной страны.

Злоумышленники разработали семиэтапный рабочий процесс, который запускался одной командой и передавал Claude Code широкую автономию в выборе способов взлома.

Почему это важно

CrowdStrike считает, что агентный ИИ превращает базовые наступательные кибероперации в доступный «товар». По мере совершенствования моделей и распространения open-source-инструментов число и сложность подобных атак, вероятно, будут расти.

В ближайшие 12 месяцев даже злоумышленники с невысокой квалификацией смогут запускать кампании такого масштаба и эффективности, которые раньше были доступны преимущественно организованным преступным группировкам или связанным с государствами субъектам.