GTIG AI Threat Tracker: от промпта до тысяч учётных данных за шесть часов

Google Threat Intelligence Group опубликовала выпуск за II квартал 2026 года своего AI Threat Tracker от 8 сентября 2026 года. Случай, лежащий в основе отчёта, можно изложить коротко и прямо: предположительно финансово мотивированный субъект захватил облачный ресурс, принадлежавший жертве, передал промпт и набор заранее написанных инструкций для агента в ИИ-чат-бот для программирования и собрал тысячи сторонних учётных данных за менее чем шесть часов, причём агент самостоятельно управлял сканированием уязвимостей, устранением неполадок и ротацией IP-адресов. В том же отчёте описываются троянизированные MCP-серверы в PyPI, похититель учётных данных, который крадёт собственную идентичность системы сборки, чтобы её бэкдорные пакеты поступали с действительными криптографически подписанными аттестациями SLSA Build 3, и состязательный текст, направленный на то, чтобы сканеры безопасности на основе LLM отказывались читать код под ним. Всё это — версия Google, основанная на её собственной телеметрии. Этот отчёт вместе с оценкой уверенности и цитируемыми источниками внесён в архив инцидентов с ИИ, где рядом с ним хранится каждый другой задокументированный инцидент из этой серии.

Ни одно из существенных утверждений не было проверено стороной, которая не пересказывает Google. Help Net Security освещал трекер в день публикации, Cloud Security Alliance опубликовал исследовательскую заметку на следующий день, а Lineaje опубликовала анализ DUSTMAKER 17 сентября; каждый из них представляет собой резюме или аналитическую надстройку над раскрытием Google, и Lineaje сама это признаёт, отмечая, что GTIG «описывает несколько связанных возможностей DUSTMAKER, а не одну единую наблюдаемую сквозную трассировку выполнения». Второй источник, цитируемый вместе с этой записью, — материал threatops.tech «threat pulse» от 11 сентября 2026 года — является пересказом, а не вторым свидетелем: он не добавляет репортажа, не оспаривает ни одной цифры и повышает метку серьёзности, не объясняя, с чем она соизмеряется. Освещение не полностью совпадает даже в названии выпуска — Help Net Security называет его трекером Q3 2026, при этом датируя его основной случай Q2 2026 — это разница в нумерации, а не фактическое противоречие.

Архив регистрирует это как отчёт, а не как инцидент: уровень достоверности A, не оспаривается, количественная оценка реального ущерба по нему не зафиксирована. Эта оценка описывает качество документации, а не масштаб ущерба. Google считает учётные данные, а не пострадавших. В трекере не указано, сколько организаций оказалось затронуто шестичасовой кампанией, кто они были, какой чат-бот использовался и были ли какие-либо из украденных учётных данных впоследствии проданы или использованы.

Шесть часов, которые описывает GTIG, и три задачи, которые агент выполнил в одиночку

Последовательность, описанная в отчёте, идёт от доступа к результату с очень небольшим участием человека между этими этапами. Злоумышленник скомпрометировал облачный ресурс, а затем использовал коммерческий ИИ-чат-бот для программирования вместе с тем, что GTIG называет «подсказкой» и «набором инструкций для агента» — markdown-плейбуками, которые теперь лежат в репозиториях в виде файлов AGENTS.md — чтобы спланировать, построить и провести операцию. Сама Google называет результат «кампанией по массовому сбору учётных данных с участием агентов», завершённой «менее чем за шесть часов».

Три задачи описаны как автономные, и это именно те три, которые в противном случае потребовали бы внимания оператора:

• Конвейер сканирования уязвимостей, которым, согласно инструкциям агента, ИИ разрешено «автономно управлять», — в формулировке, которую Help Net Security цитирует из GTIG.

• Устранение неполадок в режиме реального времени для всего, что выявило сканирование, чтобы сбой не останавливал выполнение в ожидании решения.

• Ротация IP, чтобы последовательные попытки исходили с разных адресов без того, чтобы кто-либо отдавал команду.

То, где выполнялась операция, так же важно, как и то, насколько быстро она выполнялась. Работая из собственной облачной инфраструктуры жертвы, злоумышленник направлял трафик через легитимные диапазоны IP-адресов жертвы. Запросы, которые выглядят так, будто исходят изнутри организации, — это именно те запросы, которые средства защиты, основанные на репутации, меньше всего способны поставить под сомнение, и в отчёте это отмечено как следствие работы из собственной инфраструктуры жертвы.

То, чего в отчёте нет, говорит о нём не меньше, чем то, что в нём есть. В нём нет хронометража по шагам, поэтому «менее шести часов» — это единичный замер всего прогона, который нельзя разложить для построения графика. Личность актора не раскрыта — есть только пометка «предположительно финансово мотивирован», не указана потерпевшая сторона и не сказано, какая модель или чат-бот какого поставщика были задействованы. Трекер рассматривает этот случай как разобранный пример тенденции, и он написан на том уровне детализации, который служит этой цели, а не на том, который был бы нужен специалисту по реагированию на инциденты.

Незащищённый сервер, превратившийся в дашборд с 23 800 секретами

Второй вывод в том же разделе более конкретен, и это отдельный случай. GTIG обнаружила открытый сервер управления и контроля, на котором размещён автоматизированный фреймворк для разведки и управления учётными данными, который она называет Recon. Листинг каталога был читаемым и раскрывал устройство: AGENTS.md, KNOWLEDGE.md, agentic_vuln_research.md, а также модульный .openclaw/ каталог и memory/ каталог. Эти имена файлов — отпечаток агентского стека, а не специально созданного импланта: инструкции, накопленные знания и план исследований, всё на диске, где инструментарий оператора может их прочитать.

Позже та же директория служила действующей фронтенд-панелью, которая организовывала и проверяла более 23 800 добытых секретов, включая API-ключи для облачных и ИИ-сервисов. GTIG характеризует этот сдвиг как переход «от пассивных инфостилеров, ориентированных на конечные точки, к наступательному агентному сбору» — то есть от вредоносного ПО, которое хватает всё, что может, с одного ноутбука, к инструментам, которые продолжают работать с уже достигнутыми целями.

С этим числом связаны две оговорки. Двадцать три тысячи восемьсот — это количество секретов, а не людей или компаний, и отчёт не преобразует одно в другое. Кроме того, GTIG не указывает, являются ли Recon-сервер и шестичасовая кампания одной и той же операцией; они представлены как отдельные наблюдения в одном и том же разделе, поэтому рассматривать их как единую историю было бы выводом, которого отчёт не делает.

DUSTMAKER и аттестация, которая корректно подтверждает подлинность пакета

Часть трекера, посвящённая цепочке поставок, касается UNC6780, которую Google также отслеживает как TeamPCP — финансово мотивированной группы, которая с марта 2026 года компрометирует инфраструктуру открытого исходного кода в PyPI, npm и Docker Hub. Её метод в отношении ИИ-инструментов прямолинеен: скомпрометированные учётные записи разработчиков использовались для публикации троянизированных форков легитимных MCP-серверов, причём в качестве примера на PyPI назван tiktoken_mcp, а вредоносный код внедрялся в официальные репозитории организаций, включая azure-functions-mcp-extension. GTIG отмечает, что полезные нагрузки и вредоносные хуки рабочего пространства затем попадали в систему автоматически всякий раз, когда эти ресурсы скачивались или клонировались, — без отдельной приманки, без второго шага.

Его стилер учётных данных, DUSTMAKER, — именно здесь находится самый полезный технический тезис отчёта. Цепочка коротка. Стилер обнаруживает, что работает в среде CI/CD; GTIG пишет, что «если это подтвердится», он извлекает OIDC-токены из памяти процесса раннера GitHub Actions. Он использует эти токены, чтобы авторизовать себя как доверенного издателя. Затем он публикует скомпрометированные версии пакетов с действительными, криптографически подписанными аттестациями SLSA Build 3. Ничто в этой цепочке не подделано. Аттестация настоящая, выдана реальной личности для сборки, которая действительно произошла, — сборки кода, написанного атакующим. Вывод GTIG — это предложение, важное для каждого, кто полагается на происхождение: «Пакеты, опубликованные с действительными токенами, пройдут автоматические проверки доверия, выполняемые ИИ-агентами для программирования».

Остальная часть поведения DUSTMAKER нацелена на места, за которыми защитники не следят. Он размещает и изменяет файлы в каталогах рабочих областей помощников по программированию на базе ИИ и IDE — .claude/, .vscode/, .cursor/ — где он сливается с шумом, создаваемым разработчиками, и избегает мест, которые действительно отслеживают средства обнаружения на конечных точках, таких как разделы реестра Windows или /etc/cron.*. Он записывает конфигурацию, которая заставляет IDE или расширение ИИ запускать скрипт, например setup.mjs, при открытии рабочей области, что превращает открытие папки в выполнение кода. Он создаёт задачи конвейера с названиями в стиле ИИ, например "Copilot Setup" для поиска токенов, и выполняет вызовы API для удаления журналов выполнения рабочих процессов, чтобы запуск не отображался в интерфейсе GitHub.

Вредоносная программа, которая просит сканер отвести взгляд

Последний механизм — наименее проверенный из трёх. JavaScript-скрипты загрузчика DUSTMAKER начинаются с текста состязательного промпта, встроенного в комментарии, — в _index.js среди прочих — со ссылками на биологическое и ядерное оружие и включая запрос на спецификацию 20-килотонного имплозионного устройства деления. Оценка GTIG заключается в том, что это «вероятно, имело целью заставить сканеры безопасности LLM давать сбой или пропускать анализ вредоносного JavaScript-кода, расположенного ниже, из-за отказов по соображениям безопасности или политики».

Ярлык у этого предложения имеет значение. Это утверждение о намерении, выведенное из текста, который несёт загрузчик, а не демонстрация того, что какой-либо сканер действительно отказался от файла. В отчёте не назван сканер, пропустивший файл, не указана доля обходов и не сказано, что метод сработал. Установлено лишь то, что кто-то написал приманку и встроил её в стилер учётных данных — что само по себе свидетельствует о том, что злоумышленники рассчитывают на участие LLM-триажа в цепочке обработки.

UNC6508, MIDNIGHT NEPTUNE и CALANQUE ION находятся в одном и том же отчёте

Материалы трекера, связанные с государственными субъектами, шире, чем его криминальные материалы, и в основном менее автоматизированы. UNC6508 — группа, связанная с КНР, — вела многолетнюю шпионскую кампанию против исследований в академической, медицинской и военной сферах Северной Америки, а теперь целенаправленно атакует проприетарные исследования в области ИИ; GTIG подозревает группу в компрометации облачных сред для развертывания локальных моделей с открытыми весами, что позволяет обходить мониторинг коммерческих API и задействовать собственные вычислительные ресурсы жертвы.

В остальных случаях схема такова: готовые модели выполняют обычную работу в масштабе. Северокорейская MIDNIGHT NEPTUNE, ранее известная как UNC1069, использовала DeepSeek-Coder для написания Python-троянов удалённого доступа с кроссплатформенным закреплением и внедрением в процессы, использовала LLM для скриптов бокового перемещения на Bash, применяла социально-инженерные легенды и технические приманки, отравляла конфигурации внутренних репозиториев, изменяла настройки хуков Claude CLI и развернула бэкдор SOMBERMEME, когда разработчик взаимодействовал с репозиторием. Иранская CALANQUE ION, ранее известная как APT42, использовала модели для выявления целевых адресов электронной почты, проведения OSINT, локализации приманок, обобщения похищенных данных и попытки обратного проектирования кода лицензирования. Связанная с КНР группировка BASIN CASTLE использовала Gemini для профилирования целей, перевода китайских материалов в официальные англоязычные политические отчёты и устранения неполадок PowerShell; RAVINE CASTLE исследовала обходы SAML в VMware vCenter и постэксплуатацию Active Directory с её помощью; российская SANDWORM RELIC заставила Gemini написать свой код для распыления паролей. Финансово мотивированная UNC6240, также известная как ShinyHunters, использовала промпты Claude Code, чтобы писать обфусцированный код, обходить Cloudflare и разбирать похищенные каталоги с помощью пользовательских инструментов MCP.

Один случай в этом разделе заходит на шаг дальше остальных. Группа, связанная с КНР, использовала Gemini для разработки динамического автоматизированного фреймворка для тестирования на проникновение, предназначенного для наблюдения за состоянием цели, принятия решений о следующих шагах, а также выполнения сканирования портов и парсинга сервисов. Google сообщает, что приняла более широкие меры против выявленных ею кампаний, отключив связанные ресурсы, проекты и учетные записи. Отдельно, в июне 2026 года, Google прекратила деятельность «Outsider Enterprise», базирующегося в Китае сервиса киберпреступности, поставлявшего фишинговые наборы, и охарактеризовала это как первый случай, когда она предприняла юридические действия в связи с неправомерным использованием Gemini. Это два разных утверждения, и резюме, которое их объединяет, сказало бы больше, чем говорится в отчете: фреймворк для тестирования на проникновение относится к формулировке об отключении ресурсов, а юридические действия — к Outsider Enterprise.

LLMJacking, и сколько теперь стоит украденный аккаунт ИИ

Трекер также оценивает рынок, связанный с украденным доступом к ИИ. Подпольный спрос сосредоточился на учётных данных Claude и Gemini, а также на автономных IDE для программирования Cursor Pro и Devin, причём последний создан Cognition, а средние рыночные цены за аккаунт более чем удвоились в течение 2026 года. Инфостилеры, занимавшиеся сбором, — LUMMAC.V2, STEALC.V2, VIDAR и ACRSTEALER — были обновлены, чтобы нацеливаться на конфигурации ИИ-разработчиков. В мае 2026 года операторы ACRSTEALER добавили правила захвата файлов для файла Cline secrets.json и файла Continue AI config.yaml, причём оба могут содержать API-ключи в открытом виде и пользовательские эндпоинты маршрутизации моделей.

Одно вторжение, описанное GTIG, показывает, чего стоит учетная запись ИИ после её захвата. В апреле 2026 года открытого персонального токена доступа GitHub оказалось достаточно, чтобы активировать Gemini Enterprise, выделить высокопроизводительные вычислительные ресурсы, создать репозитории Docker для развертывания LiteLLM API и агентной платформы Manus, а также развернуть сервисы Cloud Run, открытые для allUsers через IAM-привязку вызывающего. В той же сессии была создана вредоносная служебная учетная запись с правами Editor и экспортированы её ключи, выполнены запросы к BigQuery для получения переменных среды и учетных данных, предпринята попытка передать владение проектом на внешний адрес, а также использован Cloud Quotas API для запроса емкости NVIDIA RTX 6000 и дополнительных экземпляров с 48 vCPU.

Картина извлечения моделей — это та же экономика в более крупном масштабе. GTIG сообщает, что кампании дистилляции теперь проводятся регулярно, «некоторые превышают 100 миллионов запросов», при этом запросы ротируются по тысячам скомпрометированных и мошеннических аккаунтов и маршрутизируются через прокси-инфраструктуру, а Google внедрила контрмеры, способные ухудшать производительность ученической модели, и методы идентификации дистиллированных моделей Gemini по происхождению.

Что установлено, что является оценкой, а чего, по словам GTIG, не наблюдалось

Установлено — в том смысле, что Google описывает собственную телеметрию своих систем и собственные действия с аккаунтами: отчёт и его дату; артефакты, которые, по утверждению Google, были обнаружены, включая имена пакетов, имена файлов загрузчика, имена каталогов и дашборд с 23 800 секретами; а также шаги по нарушению работы, которые, по словам Google, были предприняты и которые Google может подтвердить, поскольку отключение аккаунта — это действие, которое совершается, а не вывод, который делается. Help Net Security, Cloud Security Alliance и Lineaje сообщают об этих пунктах без противоречий, хотя ни один из них не приводит собственных независимых доказательств.

Оценка — в том смысле, что это суждение, которое выносит Google: каждое приписывание государству в отчёте; трактовка приманки для отказа как намеренной; и утверждение, что украденные токены пройдут «автоматические проверки доверия ИИ-агентов для программирования», что является утверждением о том, как такие проверки обычно устроены, а не измерением того, что конкретный продукт не проходит одну из них.

Не установлено: личность актора, действовавшего в течение шести часов, жертвы и их число, причастные чат-бот и модель, а также связан ли сервер Recon с той кампанией вообще.

И собственный потолок отчёта ниже, чем предполагает его название. GTIG заявляет, что она пока не наблюдала полностью автономных цепочек эксплуатации в реальных условиях, и оценивает, что использование противником «может развиваться в сторону этого сценария». Разделение проходит внутри атаки, а не вокруг неё: люди задают цель, промпт и файл инструкций; агент обеспечивает сканирование, устранение неполадок и ротацию и не останавливается, чтобы спросить разрешения. При внимательном чтении шестичасовая кампания не является доказательством того, что автономность наступила. Это доказательство того, что доля человеческого труда сократилась до той части, которая требует человека, — решения, что делать, — тогда как всё между решением и результатом выполнялось само.

Что, по словам Google, было изменено и на какой механизм контроля на самом деле указывает отчёт

Заявленная реакция Google развивается по двум направлениям. В части злоупотреблений она утверждает, что эти действия «привели к срабатыванию защитных механизмов Gemini», что компания приняла «дополнительные, более масштабные меры» против этих кампаний, опираясь на провалы злоумышленников в операционной безопасности, что она отключила связанные активы, проекты и учетные записи, а также что Google DeepMind использовала полученные данные для усиления своих классификаторов и самой модели, чтобы она отклоняла такие запросы. В части защиты она развернула Google AI Threat Defense, которая объединяет Gemini и передовые модели с приоритизацией рисков Wiz, устранением проблем с помощью Gemini и CodeMender и аналитикой Mandiant, используя более легкие модели для непрерывного сканирования и передовые модели для работы с находками высокого риска; она также представила Gemini 3.8 Flash Cyber для обнаружения уязвимостей и автоматизированного исправления, а также опубликовала руководство по укреплению безопасности цепочки поставок открытого исходного кода.

Конкретное исправление, которого требует случай DUSTMAKER, уже, чем этот стек, и внешние анализы сходятся на нём. Аттестация SLSA отвечает на вопрос, был ли пакет собран той идентичностью, которую он заявляет. Она не отвечает на вопрос, принадлежит ли эта идентичность по-прежнему той стороне, которой вы собирались доверять, а весь метод DUSTMAKER состоит в том, чтобы заимствовать идентичность, а не подделывать её. Краткое изложение Lineaje лежащего в основе сдвига — самое точное его выражение: «Содержимое репозитория становится полномочием на исполнение». Имена пакетов, имена серверов MCP, значки аттестации и файлы инструкций внутри репозитория — всё это теперь предъявляет некие притязания на то, чтобы ему подчинялись, и именно украденный токен OIDC заставляет притязание выглядеть подтверждённым.