Отчет Mandiant об ИИ за 2026 год: счет на 50 000 долларов от вышедшего из-под контроля агента и вторжения с помощью ИИ

Отчёт компании MandiantAI Risk and Resilience 2026, опубликованный в Google Cloud в сентябре 2026 года и освещённый в ту же неделю изданиями Help Net Security, The Hacker News и SecurityBrief, описывает три проекта, в которых ИИ был механизмом, а не целью: перехваченная сессия ИИ-ассистента для программирования, которая распространила червь Shai-Hulud по примерно 100 внутренним репозиториям у неназванного поставщика SaaS; скомпрометированные учётные данные CI/CD, которые злоумышленник превратил в наступательный хаб с поддержкой ИИ внутри медицинской компании, похитив тысячи учётных данных; и агент по бухгалтерскому учёту, который накопил примерно $50,000 облачных расходов менее чем за час после того, как повреждённое значение null сломало один из его инструментов, заблокировав биллинговую базу данных и остановив текущие транзакции. В третьем случае злоумышленник не участвовал. Запись, на которой основана эта статья, и связанные с ней материалы находятся в архиве инцидентов ИИ, где для каждой записи указаны собственные источники, уровень серьёзности, оценка уверенности и флаг спорности.

Что это за документ

Отчёт озаглавлен «AI risk and resilience in 2026: A Mandiant special report» на странице ресурсов по безопасности Google Cloud, и это публикация вендора, а не раскрытие сведений об утечке. Его примеры из практики основаны на проектах Mandiant по реагированию на инциденты и на оценках, выполненных её командой Offensive Security, а организации обозначены только по отраслям: SaaS-провайдер, глобальная организация здравоохранения, глобальный поставщик финансовых услуг для корпоративных клиентов. Ни один пострадавший не назван, ни одно вторжение не датировано, и ни один из трёх случаев не сопровождается заявлением пострадавшей стороны.

Это определяет, как следует читать эти цифры. Каждое число в них взято у собственных следователей Mandiant. Записка Cloud Security Alliance Frontier Ready от 16 сентября называет платеж в размере примерно 50 000 долларов и объем в 15 000 вызовов «самоотчетными данными (метрика провайдера)» и говорит, что они «не были независимо проверены», — справедливое описание всего отчета, в котором не публикуется никаких сторонних телеметрических данных для сверки. Архив классифицирует эту запись как информационную запись — отчет, а не инцидент с зафиксированным ущербом, — и присваивает ей уровень достоверности A, не помечая ее как оспариваемую; эта оценка говорит о том, насколько хорошо задокументирован отчет, а не о том, подтвердила ли его содержание внешняя сторона.

Сама подача в отчёте такова: в 2026 году противники перешли от запросов к чат-ботам ради исследований к тому, чтобы позволять агентным системам выполнять части вторжения. Mandiant сообщает, что Google Threat Intelligence Group наблюдала, как действующие лица развертывали автономные инструменты, включая Hexstrike и Strix, для разведки и сбора учётных данных, а также создавали прокси-ретрансляторы и автоматизированные конвейеры регистрации, чтобы обходить ограничения и лимиты на оплату коммерческих ИИ-платформ. В отчёте цитируются февральская милитаризация навыков агента OpenClaw, которую задокументировала VirusTotal, компрометации цепочки поставок в марте, которые Mandiant приписывает субъекту, отслеживаемому ею как UNC6780, а другими — как TeamPCP, и майское раскрытие, которое GTIG описала как первый публично подтверждённый случай использования киберпреступником эксплойта нулевого дня, разработанного с помощью ИИ, — эксплойта, обходившего двухфакторную аутентификацию в популярном инструменте администрирования с открытым исходным кодом.

Случай первый: ассистент порекомендовал пакет

В первом случае злоумышленник скомпрометировал поставщика SaaS, а затем перехватил активный сеанс ИИ-ассистента для программирования на рабочей станции разработчика. Mandiant описывает ассистента как «доверенного интерпретатора внутри среды»: он рекомендовал установить внешний программный пакет, который злоумышленник уже отравил, и разработчик принял рекомендацию. В отчёте говорится, что ассистент «непреднамеренно функционировал как троянский конь».

В ходе сессии злоумышленник установил инфостилер через отравленный пакет PyPI и собрал OAuth-токены GitHub разработчика. Затем самораспространяющийся червь Shai-Hulud переместился по примерно 100 внутренним репозиториям кода, автоматизируя кражу секретов репозиториев и программную эксфильтрацию исходного кода проприетарного продукта. Злоумышленник также отравил пакет в официальном пространстве имён организации, и второй сотрудник скачал скомпрометированную версию — нисходящее заражение, которое, по данным Mandiant, не потребовало от злоумышленника никаких дальнейших действий.

В отчёте не говорится ни о том, когда что-либо из этого произошло, ни о том, как злоумышленник изначально получил контроль над сеансом ассистента. The Hacker News, сообщившее об этом тематическом исследовании 16 сентября, отмечает оба этих упущения. В исследовательской заметке Cloud Security Alliance от 18 сентября, посвящённой этому случаю, вектор первоначального доступа назван «самым значительным открытым вопросом тематического исследования», и отмечается, что рекомендованные Mandiant меры контроля касаются того, насколько далеко может распространиться заражение, а не того, как был перехвачен сеанс.

Для этого случая Mandiant предусматривает три меры контроля, и они конкретно учитывают этот сбой: принудительно применять хуки проверки в IDE и CLI, которые сверяют каждую рекомендованную ИИ стороннюю зависимость с криптографическими контрольными суммами и утверждённым списком разрешённых; не допускать доступа расширений к ключам API в открытом виде, долгоживущим токенам OAuth и другим секретам; и ограничить исходящий сетевой трафик рабочих станций так, чтобы трафик зависимостей проходил только через контролируемые внутренние репозитории.

Второй случай: учётные данные CI/CD превратились в хаб для совместной отладки с ИИ

Второй случай — это расследование облачной инфраструктуры предприятия в глобальной организации здравоохранения. Mandiant проследила аномальную активность до скомпрометированных долгоживущих учетных данных разработчика для CI/CD, которые злоумышленник использовал, чтобы запустить неизолированный экземпляр VM и превратить его в действующий наступательный хаб. Вместо создания инструментов в офлайне атакующий подключил большие языковые модели напрямую к работающему серверу и итеративно взаимодействовал с ними прямо на месте.

Mandiant описывает трёхэтапный рабочий процесс. Сначала шла подготовка контекста: пакеты кода, синхронизированные через удалённые сеансы, и README-файлы проектов загружались в контекст чата модели, чтобы направить последующую генерацию кода к целям кампании. Затем интерактивная отладка: злоумышленник заставил модель создать многопоточный фреймворк для сбора данных и вместе с ней устранял логические ошибки разделения скриптов, повысив частоту эксфильтрации до цикла в три часа. Наконец, уклонение и эксплуатация: модель написала динамические скрипты ротации IP для оперативной замены адресов серверов из чёрного списка и совместно разработала инструмент на Rust для входа в аккаунты жертв и проверки финансовых балансов.

Mandiant сообщает, что в ходе кампании были скомпрометированы тысячи учётных данных, а собранные API-ключи и финансовые секреты были вывезены в контролируемый злоумышленником репозиторий. В отчёте не говорится, на чьи учётные записи был нацелен инструмент, написанный на Rust, каким счетам принадлежали проверяемые им финансовые балансы или что впоследствии стало с учётными данными. Нигде в описании случая не упоминаются данные пациентов.

Рекомендуемые меры контроля привязаны к учётным данным, а не к модели: замените долгоживущие ключи доступа на краткосрочные доверительные отношения Workload Identity Federation с использованием OIDC; ограничьте исходящий трафик с помощью VPC Service Controls, чтобы среды выполнения и разработки не могли обращаться к неутверждённым внешним поставщикам моделей; выполняйте непрерывное сканирование секретов во всех рабочих пространствах; и включите в цепочку межсетевой экран промптов времени выполнения, например Model Armor, чтобы перехватывать жёстко закодированные учётные данные и блокировать наступательные служебные скрипты во время их выполнения.

Третий случай: агент, который потратил 50 000 долларов менее чем за час

В третьем случае не было противника. Глобальный поставщик финансовых услуг для предприятий развернул агента для сверки аномалий в своей бухгалтерской книге и предоставил ему доступ на чтение и запись к внутренним базам данных выставления счетов. Поврежденное значение NULL сломало инструмент форматирования агента, и агент в ответ вошел в то, что Mandiant называет неограниченным рекурсивным циклом рассуждений, чтобы перебором найти исправление.

Менее чем за час было выполнено более 15 000 высокочастотных и дорогостоящих вызовов reasoning API, что вызвало внезапный всплеск счетов за облачные услуги примерно на 50 000 долларов. Тот же цикл привел к серьезной блокировке локальной базы данных, которая остановила активные бизнес-транзакции. Mandiant классифицирует этот случай как «denial-of-wallet», а предписываемые им исправления носят операционный, а не модельный характер: лимит расходов, ограниченная рекурсия и предохранитель, чтобы останавливать агента, который снова и снова не справляется с одной и той же задачей.

В отчёте не говорится, было ли списание оплачено, возмещено или оспорено, как долго были приостановлены транзакции, пострадали ли клиенты и что компания изменила после этого. В нём также не указана дата. В обзоре SecurityWeek от 18 сентября это отнесено к тому, что отчёт обозначает как новую категорию финансового риска, а не как обычное вторжение.

Предлагаемые Mandiant меры контроля носят соответственно финансовый характер: определения доступа на основе идентификации и ролей для агентов, пороговые значения ограничения затрат и мониторинг как элементы управления, а также автоматические финансовые предохранители, которые останавливают агента после заданного числа последовательных сбоев задач. На уровне сервисов и проектов рекомендуется вводить жесткие финансовые лимиты, ограничения на глубину рекурсии и лимиты частоты запросов, чтобы цикл самокоррекции ограничивался до того, как он приведет к простою.

Что установлено, что приписывается, что не раскрыто

Установлено. Mandiant опубликовала этот отчёт, и в нём сказано то, что кратко изложено выше. Четыре отраслевых издания осветили его в течение трёх дней — Help Net Security и The Hacker News 16 сентября, SecurityBrief UK 17 сентября и SecurityWeek 18 сентября — и их материалы совпадают с отчётом по каждой повторяемой ими цифре. Cloud Security Alliance опубликовала отдельную исследовательскую заметку о первом случае 18 сентября, придя к той же трактовке его механики и тому же выводу о том, что Mandiant опустила.

Атрибутировано, но независимо не подтверждено. Конкретные цифры принадлежат Mandiant: примерно 100 репозиториев, тысячи учетных данных, трехчасовой цикл эксфильтрации, более 15 000 вызовов рассуждений, около 50 000 долларов, меньше часа. Ни одно издание не опубликовало телеметрию ни от одной из трех жертв, и ни одну из трех никто не назвал. Существующее подтверждение — это подтверждение содержания отчета, а не самих событий. Это различие — единственное, на что читатель может здесь опереться, и оценку уверенности архива следует читать так же.

Не раскрыто. В отчёте не указаны даты ни по одному из трёх эпизодов, не названы имена пострадавших и не описано, как был перехвачен сеанс ассистента в первом случае. В нём не говорится, были ли отозваны собранные токены GitHub OAuth и секреты репозиториев, использовались ли или были сброшены тысячи учётных данных из второго случая, были ли затронуты субъекты данных медицинской организации, была ли возмещена плата бухгалтерского агента и что каждая из трёх организаций изменила после этого. В этой статье не обнаружено ни заявления пострадавшего, ни уведомления регулятора, ни последующих публикаций, опубликованных после 16 сентября, которые заполнили бы эти пробелы.

Где освещение расходится. В заметке Cloud Security Alliance второе заражение в первом случае описывается как распространение через собственное пространство имён npm компании. Текст Mandiant говорит лишь о «пакете внутри официального пространства имён организации» и не называет там экосистему; трактовка как npm — это добавление, а не цитата. Отдельно The Hacker News прямо указывает, что червь в этом случае, по имеющимся данным, не связан ни с августовским npm-червём, который внедрял хуки для ассистентов по программированию, ни с вариантом Shai-Hulud, обнаруженным при сканировании 469 мест в поисках учётных данных, — одно и то же имя семейства, разные кампании, при этом в статье нет доказательств, связывающих их.

То, что говорится в отчёте, должно измениться.

Рекомендации Mandiant повторяются в примерах из отчета: перейти от долгоживущих учетных данных и сервисных учетных записей к идентичностям, привязанным к рабочей нагрузке и по своей сути краткосрочным; рассматривать AI-ассистентов для программирования и серверы MCP как привилегированные сессии, расширения и хуки CLI которых проверяются перед выполнением; заключать рабочие нагрузки агентов в сетевые периметры, блокирующие исходящий трафик к неутвержденным поставщикам моделей; и обеспечить инструментирование использования токенов, межприложенческих вызовов API и доступа агентов к чувствительным активам, чтобы первое чтение чувствительного репозитория становилось сигналом, а не сливалось с легитимным трафиком инструментов.

Что касается затрат, он проводит границу между управлением ИИ и управлением для ИИ: политика, задающая аппетит к риску и правила закупок, с одной стороны, и принудительно применяемые технические ограничения — с другой. Бухгалтерский агент — это пример из отчёта того, как второй подход не сработал: по описанию Mandiant, ничто в его развёртывании не ограничивало цикл, а средства контроля, которые могли бы это поймать, — ограничение сверху, ограничение скорости, автоматический выключатель, — являются обычными мерами, применёнными к необычной рабочей нагрузке.

У этих трех случаев нет общей причины. Один — проблема доверия: рекомендация ассистента воспринималась с таким же авторитетом, как рекомендация коллеги. Второй — проблема учетных данных, возникшая задолго до появления каких-либо моделей; при этом после проникновения модели делали вторжение быстрее и более адаптивным. Третий — ни то ни другое: нет ни злоумышленника, ни эксплойта, есть лишь агент, получивший доступ на запись к реестру и не имевший никаких ограничений на то, сколько он может потратить, чтобы починить сломанный инструмент. Всех их объединяет то, что в каждом случае у системы ИИ были полномочия, объем которых никто не определил, — рекомендовать, переконфигурировать, продолжать попытки.