Positive Technologies ИИ-агенты кибератака расследовала первую атаку на инфраструктуру Linux и Windows

2 ноября 2026 года Positive Technologies сообщила о завершении расследования инцидента, который компания описала как первую успешную кибератаку на инфраструктуру российской организации, проведенную автономными ИИ-агентами. Атака затронула системы Linux и Windows, началась через внешний сервис из-за ошибки конфигурации и завершилась хищением данных за три часа. Подразделение PT ESC IR провело анализ на основании поведенческих паттернов и скорости действий.

Ход атаки и технические признаки

Злоумышленники получили доступ более чем к десяти корпоративным узлам. В течение короткого времени создавались и запускались десятки скриптов, инструменты динамически изменялись, устанавливались библиотеки и компоненты. Наблюдались параллельные попытки продвижения по инфраструктуре с быстрым исправлением ошибок синтаксиса и именования. Интервалы между действиями измерялись секундами, что нехарактерно для ручного управления.

Руководитель PT ESC IR Денис Гойденко отметил сочетание высокой скорости, большого объема операций и «шумного» поведения. Ранее специалисты компании фиксировали применение ИИ лишь на отдельных этапах атак. В данном случае агенты одновременно тестировали разные пути, корректировали ошибки и обходили препятствия без видимого участия человека. Полная цепочка от проникновения до эксфильтрации данных из критических систем заняла около трех часов.

Анализ показал, что инструменты создавались и адаптировались в реальном времени. Такие признаки, как параллельное тестирование маршрутов и мгновенное исправление ошибок, позволили специалистам Positive Technologies сделать вывод о преимущественно автономной работе ИИ-агентов.

Выводы и развитие методов защиты

Positive Technologies подчеркнула, что заключение основано на наблюдаемых паттернах, а не на прямом подтверждении. Динамическое создание инструментов и нестандартные последовательности действий усложняют атрибуцию и сокращают время на реагирование. Компания уже работает над ускоренными механизмами автоматического обнаружения и реагирования.

Ранее PT ESC IR расследовала инциденты, где ИИ применялся только на изолированных стадиях. Новый случай демонстрирует возможность самостоятельного завершения атакующей цепочки от начального доступа до вывода данных. Сокращение окна реагирования до минут требует пересмотра подходов к мониторингу и реагированию на инциденты в российских организациях.

В заявлении компании указано, что подобные атаки ставят перед защитниками задачи по разработке более быстрых систем выявления аномальной активности. Positive Technologies продолжает совершенствовать инструменты для противодействия автоматизированным угрозам.