Специалисты по кибербезопасности компании Symantec сообщили об обнаружении агрессивного вредоносного агента искусственного интеллекта, которому исследователи присвоили имя Skynet. По данным доклада, агент целенаправленно атакует уязвимую ИИ-инфраструктуру, а вся вредоносная кампания финансируется и обслуживается за счёт собственных вычислительных ресурсов жертв. Уникальность случая в том, что исследователи получили возможность изучить механизмы атаки «изнутри»: для этого в глобальной сети был размещён ресурс-приманка (honeypot), на который и напал Skynet.

Как устроен агент и чем он занимается

Основная задача Skynet — поиск других доступных ИИ-агентов и их принудительное включение в состав ботнета. Сформированная сеть занимается кражей баз данных и учётных сведений, а также развёртыванием майнеров криптовалюты. Набор инструкций агента включает более 70 инструментов для проведения атак, а автономность позволяет ему действовать без участия человека на протяжении до 100 000 шагов. Инструментарий ориентирован на автоматизацию разведки и эксплуатации в таких продуктах, как VS Code, Django, Jupyter, Laravel, Supabase, Next.js и Flask/Werkzeug.

Многоуровневый «джейлбрейк» и обход защит

Создатели Skynet разработали многоуровневый механизм обхода ограничений (jailbreak), который позволяет агенту обходить встроенные в ИИ-модели системы безопасности и заставлять модель воспринимать кражу учётных данных как обычную рабочую задачу. В части инструкций легитимными задачами в области программирования становятся чтение API-ключей, схем баз данных и переменных окружения. В отдельных случаях используются уязвимости, связанные с подделкой запроса на стороне сервера (SSRF) для извлечения содержимого баз данных; обнаружены также средства управления ботнетом и доступа к службам метаданных в облачных окружениях.

Масштаб кампании и текущий статус

За период анализа в Symantec зафиксировали более 127 000 внешних запросов к ресурсу-приманке с нескольких десятков тысяч уникальных IP-адресов. Сколько именно злоумышленников или группировок стояло за этими запросами, в докладе не уточняется. По состоянию на момент публикации материала кампания продолжается: злоумышленники по-прежнему осуществляют поиск уязвимых ИИ-систем. Основной практической целью атаки остаётся установка на уязвимые системы криптомайнера XMRig, при этом все расходы на вычислительные ресурсы ложатся на плечи жертв.

Рекомендации по защите

Эксперты Symantec советуют пользователям ИИ-сервисов, шлюзов моделей и MCP-серверов исходить из того, что эти ресурсы будут обнаруживаться и изучаться злоумышленниками. Конкретные меры: относиться к API-ключам для ИИ как к критически важным учётным данным, ограничивать исходящий сетевой доступ для систем с ИИ-инструментами, запускать способных работать с инструментами агентов с минимальными привилегиями и требовать, чтобы все важные операции одобрял человек.