Початок епохи Agentic Malware: Як ШІ-агент самостійно дропнув прод за 31 секунду

💡 Усі статті, обговорення, новини про AI — в одному місці. Приєднуйтесь до AI спільноти!

Вітаємо у новій реальності. Доки розробники сперечаються, чи замінить Cursor джуніорів на фронтенді, хакери вже делегували автоматизацію хаосу великим мовним моделям. Безпекова команда Sysdig опублікувала технічний розбір першого зафіксованого кейсу автономного ШІ-вимагача — оператора, якого назвали JADEPUFFER. Це не просто автоматизований bash-скрипт. Це повноцінна вимагацька операція, керована LLM від початкового розвідувального запиту до фінального знищення бази даних.

Анатомія автономного зламу: Фаза розвідки

Вразливість знайшли там, де її найменше хотіли бачити — у популярному опенсорс фреймворку для побудови ШІ-додатків Langflow (CVE-2025-3248). Проблема банальна: відсутність автентифікації на ендпоінті валідації коду, що дозволяє виконувати довільний Python-код на хості. Чому хакери лізуть саме сюди? Бо AI-сервери зазвичай розгортаються швидко, без суворих мережевих лімітів, і вони нашпиговані API-ключами від OpenAI, Anthropic чи DeepSeek прямо в змінних оточення.

Отримавши початковий доступ, ШІ-агент почав поводитися як методичний, занудний системний інженер:

1. Провів повну інвентаризацію хоста (id, uname, інтерфейси, процеси) та вигріб усі знайдені ключі хмарних провайдерів (AWS, Azure, GCP, Alibaba).
2. Здампив локальну базу Postgres самого Langflow, забравши збережені логіни та токени розробників.
3. Просканував внутрішню мережу, знайшов сховище MinIO та зайшов туди за дефолтними кредами minioadmin:minioadmin.

Найбільше дослідників вразила здатність моделі адаптуватися до помилок коду «на льоту». Коли парсер агента очікував відповідь у форматі JSON, а MinIO несподівано виплюнув XML, ШІ не впав у Fatal Error і не зупинив виконання. Модель самостійно переписала свій Python-код під XML-схему S3, успішно викачала закриті файли .env та credentials.json, після чого акуратно підчистила за собою тимчасові файли на диску.

Друга фаза: Робота по базах даних

Справжньою метою JADEPUFFER був окремий продукційний сервер з MySQL та сервісом конфігурацій Alibaba Nacos. Використовуючи отримані доступи, ШІ спробував інжектувати адмінський бекдор безпосередньо в базу даних.

Агент згенерував bcrypt-хеш, прописав користувача xadmin, але перша ж верифікація логіну повернула незадовільний результат. Людина на цьому етапі пішла б читати документацію або скаржитися в Slack. ШІ-агент впорався за 31 секунду. Без жодного людського втручання він надіслав коригуючий таск: повністю видалив старий запис користувача, перегенерував простіший пароль (admin123), успішно залогінився, провів аудит контейнера на можливість escape-атаки і залишив у MySQL таблицю з вимогою викупу README_RANSOM.

Весь цей час код, який виконував ШІ, був «самодокументованим». Модель слухняно писала розлогі коментарі до власних експлойтів у стилі «Генеруємо bcrypt-хеш для нового пароля», бо LLM просто звикли так робити під час навчання на публічних репозиторіях.

Тверезий погляд на інженерну загрозу

Жодна з використаних технік не є унікальною, проривною чи архітектурно складною. Але суть у тому, що поріг входу для проведення кібератак упав до вартості токенів моделі. Більше того, завдяки тренду на LLMjacking (коли хакери використовують вкрадені ШІ-ключі сторонніх компаній), вартість такої автономної атаки для зловмисника наближається до нуля.

Проти інженерів тепер воює не людина з клавіатурою, а машина, яка оптимізує та виправляє власні скрипти швидше, ніж тімлід встигне отримати сповіщення від системи моніторингу.

Цей кейс — найкраща відповідь на питання, чому суворі інженерні практики та System Design мають закладатися на рівні архітектури до написання першого рядка коду. Поки розробники продовжують кидати дефолтні паролі в Docker-контейнерах та відкривати адмінські порти назовні, ШІ-агенти закриватимуть їхні компанії за лічені хвилини.