Тёмное чародейство: отравленные веб-страницы, 374 бренда и ответы, которые никто не проверял

23 сентября 2026 года компания по кибербезопасности Vigilance Security опубликовала исследование, описывающее активную кампанию, которую она называет Dark Sourcery: злоумышленники наводняют открытый интернет оптимизированными публикациями, PDF-файлами, отзывами и поддельными страницами поддержки, чтобы ChatGPT, Google Gemini и Google AI Overviews выдавали мошеннические номера телефонов, адреса электронной почты и страницы входа за официальные контактные данные компании. Dark Reading сообщил об исследовании в тот же день, назвав Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb и TripAdvisor среди как минимум 374 компаний, затронутых этим, с десятками тысяч вредоносных страниц за ними. Ни одну модель не взломали — отравленные страницы были просто тем, что читали модели, и мошенничество приходило, неся на себе доверие самого ассистента. Эта запись — одна из записей в the OrcaRouter AI Incident Archive, где отслеживаются инциденты ИИ и результаты исследований с теми же полями, что используются здесь: серьёзность, степень уверенности, оспоренный статус и реальный ущерб.

Что на самом деле опубликовала Vigilance Security

Это исследование — публикация в Medium за авторством Ариэля Саймона, вице-президента по исследованиям в Vigilance, под названием «Dark Sourcery: How Hackers Manipulate AI to Scam You», опубликованная 23 сентября 2026 года. Материал Dark Reading, подготовленный приглашённым автором Элизабет Монтальбано и имеющий отметку времени 14:47 UTC того дня, напрямую ссылается на неё и на протяжении всего текста цитирует Саймона. В публикации описывается контентная операция, а не эксплуатация уязвимости: никакая уязвимость не эксплуатируется, никакие учётные данные не похищаются напрямую атакующим, и в модель не отправляется ничего такого, что модель могла бы научиться отклонять.

Vigilance сообщает, что выявила «десятки тысяч вредоносных страниц», содержащих поддельные номера поддержки, адреса электронной почты, страницы входа, информацию об обновлениях программного обеспечения и другие мошеннические данные, созданных для того, чтобы влиять на то, что говорят чат-боты. По её данным, число вовлечённых компаний составляет «как минимум 374»; среди них, как указано, организации из Fortune 100, крупные авиакомпании, банки, туристические компании и поставщики программного обеспечения. В отчёте Dark Reading названы такие бренды, как Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb и TripAdvisor.

Ни в исследовательской публикации, ни в последующих материалах не приводится разбивка по брендам — какой поддельный номер принадлежал какой компании, сколько отравленных страниц было нацелено на каждую из них или когда появилась какая-либо отдельная страница. Цифра 374 представлена как общая, и в записи она приводится так же.

Саймон также ссылается на исследование Exploding Topics, опубликованное в августе 2026 года, согласно которому 91% людей, использующих чат-боты с ИИ, не проверяют предоставленные ответы. Это число — исходная предпосылка кампании, а не результат её собственных измерений: оно цитируется в исследовании и повторяется Dark Reading и IANS, а его собственная методология не описана ни в одном из рассмотренных здесь материалов. По формулировке Саймона, «если злоумышленники контролируют ИИ, а мы слепо ему доверяем, то по сути они контролируют нас».

Как строится отравление

Этот механизм состоит из трёх частей, и только первая в каком-либо привычном смысле принадлежит злоумышленнику. Во-первых, засеять веб страницами, на которых указаны ложные контактные данные. Во-вторых, сделать так, чтобы эти страницы выглядели как исходящие из источника, которому система извлечения должна доверять. В-третьих, позволить ассистенту заниматься цитированием.

Второй этап — это то, на чём Vigilance делает основной акцент. «Мы подозреваем, что домены с высоким авторитетом (университеты, государственные структуры) в сочетании с источниками общественного мнения (социальные сети, форумы, пользовательские отзывы) добились высокого успеха в отравлении ответов ИИ», — сказал Саймон изданию Dark Reading. «В зависимости от модели ИИ смотрит на источник и доверяет контенту больше, если он исходит от авторитетной организации». Это описание заимствованной репутации: скомпрометированная или используемая злонамеренно страница университета обеспечивает авторитет, а разрозненные сообщения на форумах и отзывы создают видимость того, что это утверждение подтверждается где-то ещё.

Ground Truth, издание, которое сверяет утверждения ИИ с их источниками, обобщило тактики посева, перечисленные в посте Саймона: одни и те же или похожие ложные контактные данные, распространяемые через пользовательские посты, PDF-файлы, размещённые страницы, отзывы, платформы для сбора средств и поиска работы, а также контент в формате «вопрос — ответ»; детали, оптимизированные для извлечения с помощью повторяющегося форматирования и фраз вроде «24/7» и «updated 2026»; и один и тот же номер телефона, записанный с пробелами, точками, эмодзи, похожими символами Unicode или словами прописью. Последняя техника выполняет двойную функцию: она обходит обнаружение повторяющихся строк, при этом модель всё равно считывает один номер. Ground Truth точно описывает цель: не одна вирусная страница, а «видимость независимого подтверждения».

В материале GIGAZINE об этом исследовании приводится одна конкретная иллюстрация: сфабрикованный пост в поддержку принтеров HP и изображение с номером телефона, который не принадлежал HP. Это пример общей схемы, а не проверенный на практике случай, и издание приписывает его исследованию Vigilance, а не собственной проверке.

Это не внедрение промпта — но классифицировано именно так.

Различие имеет значение, и Саймон прямо его проводит. Dark Reading цитирует его слова о том, что эта кампания отличается от prompt injection «тем, что она не предполагает, чтобы атакующий давал ИИ явные инструкции или промпты, которые могли бы быть сорваны защитными механизмами ИИ». Его более точная формулировка: «Здесь дезинформация, выдаваемая за факты, заставляет ИИ отвечать пользователю ложной информацией, при этом никогда не следуя никакой инструкции/промпту атакующего, по сути обходя все защиты».

Это также отличается от отравления обучающих данных, которое портит то, чему модель научилась до развёртывания. Всё здесь происходит во время извлечения данных из живого веба, после выпуска модели — поэтому никакое переобучение это не исправит и поэтому отравленную страницу можно удалить, а ответ при этом не обязательно изменится.

Архив относит эту запись к IPI — своему тегу indirect-prompt-injection. Читайте внимательно: тег и исследование описывают смежные вещи. IPI охватывает контент, который попадает к модели косвенно, внутри материала, который модели предлагается обработать, а не набран её пользователем. Dark Sourcery — это тот же канал с удалённой инструкцией: полезная нагрузка здесь — факт, а не команда. Тег — это решение о том, как классифицировать канал; утверждение Саймона — это заявление о полезной нагрузке, и они не противоречат друг другу. Тег не следует читать как утверждение, что был доставлен промпт злоумышленника, потому что, согласно самому исследованию, такого не было.

Что подтверждают материалы дела, а что — нет

Архив оценивает эту запись как B — задокументирована, но по единственному или вторичному источнику — и эта оценка — самое полезное в ней. Ничто в рассмотренном здесь материале не противоречит исследованию. Проблема не в противоречии; она в том, что цепочка доказательств шириной всего в один документ.

• Установлено: Vigilance Security опубликовала исследование 23 сентября 2026 года под именем Саймона, и в нём содержатся описанные выше утверждения — 374 компании, десятки тысяч страниц, названные бренды, механизм, тактика заимствования авторитета.

• {{1}}Установлено{{/1}}: исследование было освещено в тот же день в {{2}}Dark Reading{{/2}}, а в течение пяти дней — в {{3}}IANS{{/3}} ({{4}}24 сентября{{/4}}), {{5}}GIGAZINE{{/5}} и {{6}}Ground Truth{{/6}} ({{7}}25 сентября{{/7}}), {{8}}NEWSru.co.il{{/8}} со ссылкой на израильское издание {{9}}Israel Defense{{/9}} ({{10}}27 сентября{{/10}}), а также на страницах исследований вендоров {{11}}Aviatrix{{/11}} ({{12}}23 сентября{{/12}}) и {{13}}Kronus Intelligence Group{{/13}} ({{14}}28 сентября{{/14}}).

• Этим не подтверждается независимая проверка. Каждая из этих публикаций восходит к посту Саймона или к материалу Dark Reading о нём, поэтому они распространяют утверждения, а не проверяют их. Второй URL, процитированный самим архивом, bestsec.net, — это ежедневно обновляемый дайджест новостей о кибербезопасности; 26 октября 2026 года на его главной странице не было материала Dark Sourcery, поэтому публикация Dark Reading остаётся долговечным источником для ссылки.

• Не установлено: масштаб. Ground Truth прямо заявляет, что «утверждения из раскрытия информации о 374 пострадавших компаниях и десятках тысяч страниц не были независимо проверены», и что не было опубликовано ни публичного набора данных, ни корпуса вредоносных страниц, ни воспроизводимого журнала запросов. Анализ Kronus Intelligence Group от 28 сентября приходит к тому же выводу и предлагает полезную формулировку: описывать механизм как установленный, а масштаб — как «заявленный, но непроверенный».

• Не установлено: воспроизводимость — по признанию самих исследователей. Ground Truth сообщает, что Саймон охарактеризовал результаты как статистические и сказал, что они не воспроизводились при каждом выполнении запроса. Это обычное свойство систем, дополненных поиском, — рейтинги, версии моделей, местоположение, время и формулировки меняются, — и именно поэтому этот результат нельзя было продемонстрировать по требованию.

• Не установлено: масштаб ущерба. В архиве реальный ущерб фиксируется как имевший место, но основание для этого узкое. Саймон рассказал Dark Reading, что Vigilance наблюдала «несколько случаев», когда люди жаловались, что их обманом вынудили сообщить платёжные сведения или данные платёжной карты мошенническим номерам, указанным в ответах чат-бота. Исследователи также сами позвонили на некоторые из поддельных номеров и дозвонились до представителя, который предложил «перенести наш рейс» или «разблокировать наш банковский счёт», а затем попросил данные карты. Не назван ни один потерпевший, не оценён количественно ни один убыток, и не упоминается ни одна жалоба и ни одна мера правоприменения.

• Не оспаривается: архив фиксирует эту запись как неоспоренную, и это подтверждается — открытые вопросы в освещении представляют собой пробелы в раскрытии информации, а не разногласия с ним.

Что сказали обе платформы

Согласно NEWSru.co.il со ссылкой на Israel Defense, исследователи сообщили о таком поведении обоим поставщикам. Согласно сообщениям, позиция Google заключалась в том, что подобная дезинформация выходит за рамки её программы раскрытия уязвимостей. OpenAI, как сообщается, закрыла отчёт на том основании, что результаты не удалось надёжно воспроизвести с учётом вариативности ответов языковых моделей. Оба резюме являются пересказом: в статье не назван ни один представитель ни одной из компаний, не приводится прямых цитат и не указаны даты ответов.

Ни один из ответов не отрицает, что отравленные ответы существуют. Если рассматривать их как решения по триажу, а не как опровержения, оба по крайней мере внутренне непротиворечивы: программа bug bounty предназначена для вознаграждения за воспроизводимый дефект в коде, а это и не воспроизводится по запросу, и не является дефектом кода. Отравленная страница находится на чужом веб-сайте. Что этот обмен действительно демонстрирует, так это пробел: вред достаточно реален, чтобы порождать жертв, а поведение достаточно непостоянно, чтобы провалить тест на воспроизводимость, поэтому оно оказывается в промежутке между «уязвимостью безопасности» и «проблемой контента», где его не ждёт ни один канал раскрытия.

Ни OpenAI, ни Google публично не подтвердили и не опровергли цифру в 374 компании по состоянию на анализ Kronus от 28 сентября, и ни в одном из рассмотренных здесь материалов не встречается заявление ни одной из этих компаний.

Что изменилось после этого

В ответ не было объявлено об изменениях на платформе. Кампания была описана как продолжающаяся на момент публикации 23 сентября, а по собственной оценке Саймона, подсчёт ещё не завершён: «Мы считаем, что реальное воздействие этих мошеннических схем происходит сейчас, и мы всё ещё не можем в полной мере осознать или измерить полное воздействие».

Вместо этого есть лишь советы. Рекомендации Саймона, о которых сообщает Dark Reading, идут в трёх направлениях. Пользователям: проверяйте то, что говорит вам ассистент, а не считайте это непогрешимым. Брендам: серьёзно относитесь к жалобам клиентов на мошенничество, отслеживайте ответы ИИ, которые клиенты фактически получают, и источники, на которые эти ответы ссылаются, а также уделяйте приоритетное внимание категориям, где неверный номер может дорого обойтись, — поддержка, восстановление аккаунта, возвраты, платежи и загрузка ПО. Организациям, использующим агентов: отслеживайте работу в режиме реального времени, проверяйте каждый источник и каждый фрагмент контента, попадающий в контекст модели, и проверяйте критически важные данные — номера телефонов, ссылки, программные пакеты, командные строки — прежде чем действовать на их основе. Предлагаемый им этап сравнения намеренно выполняется вручную: «Сравнивайте полученные номера телефонов, адреса электронной почты и URL с проверенными данными компании, затем изучайте незнакомые детали и повторяющиеся признаки на не связанных между собой сайтах».

IANS провел те же рекомендации через экспертную проверку своего совета: Josh More вписал эту кампанию в череду аналогичных случаев — «Мы годами наблюдаем это в поисковых системах» — а George Gerchow сжал механизм до фразы, которую стоит запомнить: «Никто не взламывал модель. Они засеяли источники, которым она доверяет, и позволили ей говорить. Чат-бота не взломали; его накормили». Рекомендации экспертов IANS добавляют к советам по проверке мониторинг бренда и ограничения автономности агентов, и ни одна из них не является исправлением.

Почему эту запись стоит сохранить

Отравление поисковой выдачи — старая история. Эта запись описывает момент, когда результат поиска перестал быть тем, что видит пользователь. В традиционном варианте жертва попадает на страницу, и страница служит доказательством — с ошибками, на странном хостинге, явно не банк. Здесь страница вообще не отрисовывается. Модель читает её, соглашается с ней и пишет предложение, которое начинается с названия бренда и заканчивается номером злоумышленника. Ссылка на источник может присутствовать, но суждение, которое обычно подкрепляет ссылка, уже вынесено чем-то, что не устаёт и не испытывает подозрений.

Вот почему оценка достоверности записи выполняет реальную работу, а не просто наводит порядок. Сам механизм не вызывает серьёзных сомнений — именно так строятся системы с дополнением на основе поиска, и отраслевые аналитики, писавшие об этом, сочли его правдоподобным с первого взгляда. Масштаб же вызывает сомнения и будет вызывать их до тех пор, пока кто-нибудь не опубликует корпус или журнал запросов. Измерение одной фирмы, растиражированное изданиями, которые все ссылаются на один и тот же пост, — это причина зафиксировать инцидент и причина не повторять число так, будто его посчитали дважды.

Собственная формулировка архива относит это к высокой степени серьёзности: участие ИИ подтверждено, реальный ущерб зафиксирован, а возражений не приложено. На самом деле запись документирует передачу доверия: репутация бренда — это сырьё, беглость ассистента — механизм доставки, а этап проверки, который мог бы это поймать, — тот самый, который, как утверждается, пропускают 91% пользователей.