Google: автономные ИИ-агенты похитили тысячи учётных данных за шесть часов
Google Threat Intelligence Group сообщила о кампании, в которой финансово мотивированные злоумышленники скомпрометировали тысячи сторонних учётных данных менее чем за шесть часов. Для операции они захватили облачную инфраструктуру неназванной организации и развернули автономный многоагентный фреймворк для массового сбора credentials.
Система использовала ИИ-чат-бот, промпт и набор агентских инструкций. Предварительно подготовленные инструкции в Markdown служили операционными сценариями: агенты автоматически сканировали цели и извлекали учётные данные.
Агенты управляли атакой без постоянного участия оператора
По оценке GTIG, ИИ-система самостоятельно вела конвейер поиска уязвимостей, устраняла неполадки в реальном времени и применяла логику ротации IP-адресов. Это позволило провести массовую кампанию без постоянного ручного управления со стороны атакующего.
Главный аналитик GTIG Джон Халткист отметил, что злоумышленники уже используют ИИ в разных задачах, а агентское применение технологии создаёт более быстрых и масштабируемых противников. Группы будут выбирать атаки, которые развиваются быстрее, чем на них успевают реагировать защитники.
Цепочки поставок и среды разработки остаются целью
Google связывает рост риска с активностью TeamPCP, также известной как Altered Spider и UNC6780. Эта финансово мотивированная группа проводила масштабные компрометации цепочек поставок, затрагивавшие PyPI, npm и Docker Hub.
После начального проникновения атакующие развёртывали стилеры SANDCLOCK и DUSTMAKER для кражи чувствительных данных и учётных данных разработчиков. Эти данные, включая доступы к ИИ-ассистентам программирования, затем могут продаваться напрямую либо использоваться в партнёрстве с вымогательскими группами.
SANDCLOCK применялся в марте и апреле 2026 года, был в основном написан на Python, работал в Linux и взаимодействовал с Kubernetes. Вредонос включал механизм выхода из контейнера и искал криптокошельки, а также облачные и разработческие учётные данные.
DUSTMAKER, использовавшийся с апреля 2026 года, представляет собой кроссплатформенную JavaScript-нагрузку, оптимизированную для CI/CD. В отличие от предшественника, он не содержит функций выхода из контейнера. GTIG указывает, что именно DUSTMAKER использует отравление рабочих пространств ИИ-ассистентов и prompt injection для обхода защиты.
Что проверять компаниям
GTIG также наблюдала кражу собственных ИИ-моделей, промптов, исходного кода и исследовательских данных, а также развёртывание локальных моделей в скомпрометированных облачных средах. Локальные open-weight модели не дают провайдерам централизованной видимости, которая возможна при доступе к моделям через API.
Практический вывод для бизнеса: необходимо отдельно контролировать облачные ключи, секреты CI/CD, доступы разработчиков и настройки ИИ-инструментов. Автономные агенты сокращают время между поиском уязвимости и массовым сбором данных, поэтому защита этих контуров не должна зависеть только от ручной реакции.