SecurityLab.ru

ИИ-агенты взломали больше 100 компаний почти без участия человека

ИИ-агенты атаковали более 1200 интернет-магазинов в США, Канаде, Австралии и Японии. По оценке исследователей NorForge, злоумышленнику удалось проникнуть более чем в 100 компаний. Среди подтверждённых пострадавших оказались Deere и SharkNinja.

Для запуска кампании оператору хватило инструкции менее чем из 100 китайских иероглифов. После этого агенты часами самостоятельно проверяли сайты, искали SQL-инъекции, обходы прав доступа и ошибки загрузки файлов, меняли тактику после неудач и продолжали атаку без постоянного участия человека. Успешная операция занимала в среднем около 23 часов, отдельные атаки продолжались больше пяти суток.

По данным исследователей, в связке работали DeepSeek V4.1 Flash и Claude Code. Вся кампания могла обойтись примерно в $5000, то есть около $50 за успешный взлом. При этом часть панелей самих атакующих была открыта в интернете и раскрывала пароли, ключи и данные о целях.

#ИИ #Кибербезопасность #Хакеры
@SecLabNews

Владение ИИ в ИБ — больше не «плюс в резюме», а базовое требование

Навык работы с ИИ в кибербезопасности постепенно становится таким же обычным требованием, как владение Microsoft Office. Но есть разница в цене ошибки: кривой документ отнимет лишь время, а неумелый ИИ-агент быстро потратит лимиты и деньги компании. При переполнении контекста он может забыть ранние инструкции, а в обычной работе уверенно выдать несуществующую уязвимость или предложить запустить опасный скрипт.

В статье разбираем, как устроены агенты и как использовать их без лишнего риска для инфраструктуры. Чем модель отличается от агента, зачем нужны AGENTS.md и другие файлы инструкций, как работают скиллы, MCP и субагенты, как автоматизировать разбор CVE и почему агента лучше запускать в виртуальной машине, контейнере или на отдельном компьютере.

А тем, кто хочет не только разобраться в терминах, но и попробовать всё на практике, пригодится «Инженерный октябрь». В подборке есть четыре воркшопа по применению ИИ в информационной безопасности, от использования ИИ как рабочего инструмента до безопасности самих агентов.

#ИИ #ИнформационнаяБезопасность #Кибербезопасность
@SecLabNews

Долг платежом страшен: москвичке слали «голые» фото с её лицом и требовали деньги

Долг по кредиту теперь может обернуться не только звонками и сообщениями. В Москве женщине начали ежедневно присылать интимные фото с её лицом, созданные нейросетью, и требовать деньги. Отправители называли себя коллекторами, но действительно ли они имели отношение к кредиторам, пока неизвестно.

Настоящие интимные снимки для такого шантажа вообще не нужны. Достаточно обычной фотографии из соцсетей, нейросеть дорисует остальное, а дальше жертве остаётся угрожать рассылкой знакомым и родственникам. Москвичка уже обратилась в полицию.

И случай далеко не первый. В Оренбурге коллекторов уже штрафовали на 300 тысяч рублей за угрозы распространить похожий ИИ-фейк, а МВД отдельно предупреждало о такой схеме. Если подобное приходит в сообщения, платить не стоит. Лучше сохранить переписку, изображения, номера и реквизиты и передать всё полиции.

#дипфейк #нейросети #мошенничество
@SecLabNews

ИИ обещал заменить программистов, но вынудил Bank of America экстренно нанять тысячу разработчиков

Крупные корпорации очень любят рассказывать инвесторам, как внедрение нейросетей вот-вот принесет им сотни миллионов чистой выгоды. В Bank of America тоже запустили 130 внутренних ИИ-проектов и рассчитывали сэкономить до 300 миллионов долларов уже в 2026 году. Однако знакомство с новыми аналитическими моделями вроде Claude Mythos быстро вернуло руководство на землю. Вместо красивых графиков оптимизации банк получил суровый аудит собственной инфраструктуры, который потребовал немедленных и очень дорогих вложений.

Оказалось, что умные алгоритмы идеально находят многолетние просчеты в архитектуре, закрывать глаза на которые после обнаружения уже нельзя. Чтобы залатать дыры в своем и чужом софте, банку пришлось увеличить команду исправления ошибок на треть, экстренно привлекая тысячу человек со стороны. В результате за один только третий квартал затраты на доработку программного обеспечения и устранение претензий по линии финансового мониторинга перевалили за пару сотен миллионов долларов. А сверху еще и регуляторы из FinCEN и OCC выписали штраф на 1,2 миллиарда за слабый контроль транзакций.

Бизнес воспринимал нейросети исключительно как инструмент сокращения издержек, а получил безжалостного ревизора. Прежде чем искусственный интеллект принесет те самые расчетные 700 миллионов долларов эффекта к концу 2027 года, компаниям придется потратить сопоставимые суммы на расчистку старых авгиевых конюшен в своем коде. Иначе любая экономия сгорит на первом же серьезном инциденте или проверке.

#BankOfAmerica, #ИИ, #кибербезопасность
@SecLabNews