Хакеры все чаще устраивают взломы с помощью ИИ: чем это грозит и как компании используют нейросети для защиты

Летом и осенью 2026 года произошло сразу несколько масштабных взломов различных систем с помощью ИИ. Пострадали как частные компании, так и государственные организации.

В Южной Корее 26-летний житель Китая предположительно в одиночку атаковал как минимум девять банков, большую часть рутины за него сделал ИИ-агент. А Япония после волны взломов объявила «чрезвычайное положение в киберпространстве». Эксперты по кибербезопасности тревожатся, что с ИИ один человек может делать то, на что раньше нужна была целая команда.

Расскажу, почему участились ИИ-кибератаки и что с этим делают.

Самый известный случай, когда ИИ взломал чужую систему, — атака агентов OpenAI на Hugging Face летом 2026 года. Злого умысла у моделей не было. Они проходили тест на хакерские навыки и попытались схитрить. Но те же возможности нейросетей теперь используют хакеры. Вот несколько самых масштабных инцидентов.

В конце сентября 2026 года с помощью ИИ атаковали южнокорейские банки. О взломах сообщили как минимум девять финансовых организаций: Shinhan Bank подтвердил утечку данных около 25 тысяч клиентов, KB Kookmin — 119 человек. Полиция начала расследование, а президент Южной Кореи Ли Чжэ Мён потребовал жестких мер.

Компания CrowdStrike установила, что за атаками, вероятнее всего, стоит 26-летний житель провинции Гуандун в КНР. Он воспользовался китайским опенсорсным ИИ-агентом Artex  ​в связке с Claude Code. Личность вычислили по оплошности самого хакера: в одной из сессий он попросил Claude составить ему резюме специалиста по безопасности — с телеграм-аккаунтом, возрастом и городом, а в другой спрашивал, где продают данные корейских утечек.

Почти одновременно с Кореей волна атак накрыла Японию. В конце сентября 2026 года злоумышленники атаковали более 20 крупных компаний. У железнодорожного оператора JR East утекли 1,67 миллиона клиентских электронных адресов, у каршерингового сервиса — более миллиона персональных документов, включая фото водительских прав. Атака вируса-вымогателя на облачного оператора, принадлежащего SoftBank, задела почти 500 компаний и ведомств, в том числе штаб-квартиру полиции. Университет, попавший под удар, отменил занятия на неделю.

Министр кибербезопасности Тосихару Фурукава назвал ситуацию крайне критической, а глава Национального штаба кибербезопасности Масааки Таира — чрезвычайным положением. Насколько атаки связаны с ИИ, пока неясно: прямых доказательств нет, правительство еще ведет расследование. Но эксперты считают, что нейросеть как минимум упростила хакерам работу. Так, президент токийской компании по кибербезопасности S&J Corporation Нобуо Мива сравнил атаки с ковровой бомбардировкой и отметил, что ИИ-переводчики снимают языковой барьер. Если раньше фишинговые сообщения распознавались мгновенно из-за ошибок в речи, то теперь вычислить их стало почти невозможно.

ИИ не обязательно самостоятельно проводить всю атаку, чтобы сделать ее эффективнее. Он может ускорить отдельные этапы работы злоумышленников: найти слабые места в защите, подготовить код и проанализировать результаты. Разложу по шагам, что делает ИИ для совершения атаки.

Проводит разведку. Раньше хакеры могли днями изучать жертву, а теперь этот процесс берет на себя ИИ. Он выясняет, какие серверы доступны из интернета, какие сервисы запущены, как устроена внутренняя сеть. В раскрытой Anthropic китайской кибершпионской кампании  ​эту работу вел Claude Code: модель исследовала инфраструктуру целей, сканировала сервисы и строила карту сети без участия человека. В итоге Anthropic операцию заметила и сорвала — но лишь потому, что атака шла через ее собственный сервис.

Находит уязвимости. Весной 2026 года Anthropic выпустила Claude Mythos Preview — модель, способную автономно собирать сложные эксплойты «от и до», — и предоставила доступ к ней только ограниченному кругу экспертов по кибербезопасности. Но уже осенью появилась открытая модель с такими же возможностями — китайская GLM-5.3 от Zhipu AI. В одном из тестов она за день нашла несколько неизвестных уязвимостей в движке JavaScript браузера и связала их в эксплойт, читающий файлы с компьютера жертвы. По доле рабочих эксплойтов GLM-5.3 почти догнала закрытую Mythos Preview  . Национальный институт стандартов и технологий США назвал ее самой способной открытой моделью на сегодняшний день, которую любой может скачать и запустить у себя.

Дешево пишет эксплойты. С помощью облегченной GLM-5.3 Flash исследователи собрали рабочую цепочку эксплойтов для известных уязвимостей Chrome. На это потребовалось 20 минут человеческого труда и восемь часов работы модели, что обошлось примерно в 20 $. Встроенные в нейросеть отказы не стали помехой: Anthropic показала, что запреты легко снять. Опытной команде на это нужно примерно 1 200 $. Доля отказов падает с 90% до 2—3%, а на откровенно вредоносных задачах «очищенная» версия соглашается в 100% случаев.

Дает возможность оператору вести десятки атак сразу. В той же китайской кибероперации Anthropic оценивает долю автономных действий в 80—90%. Модель сама вела разведку, писала эксплойт-код, подбирала учетные данные и решала, что выгружать, а оператор-человек принимал участие лишь в нескольких ключевых точках. Благодаря этому группировка работала почти с 30 целями одновременно — от технологий и финансов до химической промышленности и госсектора. На пике ИИ-агент делал тысячи запросов, нередко по несколько в секунду.

Пока зафиксированные ИИ-атаки касались в основном кражи данных и взлома финансовых систем, но те же техники можно перенести и на критическую инфраструктуру — воду, газ, свет, транспорт и больницы.

ИИ уже был замечен в подобных атаках. 19 августа 2026 года пять ведомств США — АНБ, CISA, ФБР, Минэнерго и EPA — выпустили совместное предупреждение о том, что злоумышленники используют ИИ-ассистентов для написания кода, чтобы взламывать выставленные в интернете контроллеры Siemens S7 на объектах водоснабжения, энергетики, производства и агропромышленного комплекса. Ведомства назвали это активной угрозой и эволюцией возможностей злоумышленников, которая снижает порог квалификации, нужный для атаки на промышленные системы. О конкретном исполнителе они не сообщили, а масштабных последствий пока не зафиксировано.

Атаки ИИ могут парализовать целые отрасли. Консалтинг Booz Allen пришел к выводу, что ИИ «вполне способен устроить кошмарные атаки на инфраструктуру — и никто к этому не готов». Специалисты собрали закрытый стенд, имитирующий промышленное предприятие, и натравили на него две флагманские ИИ-модели. Агенты прошли все восемь поставленных сценариев — от картирования сети и поиска уязвимостей до манипуляции промышленными контроллерами, изменения скорости электродвигателя, захвата SCADA  ​и управления роботом-манипулятором. В одном прогоне модель дошла от взлома периметра до действий внутри промышленной сети примерно за 16 минут. Так, если бы такой удар совершали по железнодорожной компании, это бы привело к остановке движения всех поездов.

Особенно уязвимы больницы — сценарий атаки на них описал The Atlantic. В госпиталях много конфиденциальных данных и мало ИТ-ресурсов, а поставить защитный патч мгновенно нельзя: есть риск отключить аппараты ИВЛ или инфузионные насосы. По словам советника Американской больничной ассоциации, айтишники любят «делать быстро и не боятся поломок», но «в здравоохранении то, что ломается, — это люди». В 2026 году клиники уже отбивали массовые атаки на платформу Citrix NetScaler, которой пользуется около половины больниц в США.

Параллельно руководители Anthropic, OpenAI и других крупных ИИ-компаний закулисно обсуждают «катастрофический инцидент» с участием нейросетей. Они ожидают кибератаку, способную отключить доступ к финансам, интернету, электричеству или водоснабжению.

Если агент делает несколько запросов в секунду и работает с 30 целями сразу, человеческой команде сложно отбить атаку. Вот как с этим пытаются бороться.

Дыры в безопасности ищут с помощью ИИ. Компании поручают агентам обработать свои данные от уязвимостей раньше, чем они попадут к злоумышленникам. Например, ИИ-инструменты Google в версиях Chrome 149 и 150 заметили 1 072 уязвимости — больше, чем за 23 предыдущих релиза вместе взятых.

В мае 2026 года компания с помощью нейросетей обнаружила более 20 уязвимостей, включая одну критическую, прежде чем выпустила продукт. Другой ИИ-агент Google нашел в браузере ошибку обхода песочницы  , которую не замечали больше 13 лет. Другой разработчик, Anthropic, через оборонительную программу Project Glasswing отыскал более 10 тысяч уязвимостей в критическом ПО.

Защиту от ИИ-кибератак тоже поручают ИИ. Компания CrowdStrike описывает это принципом «отвечать огнем на огонь». Ее ИИ-системы автоматически изолируют зараженный узел, прекращают вредоносные процессы и останавливают горизонтальное перемещение агента по сети еще до того, как он доберется до очередной цели, а время на расследование инцидента у клиентов сокращается «с часов до минут». Anthropic после того, как пережила атаку на Claude Code в Южной Корее, разработала новые классификаторы для выявления похожих инцидентов.

Специалистам по кибербезопасности открывают доступ к топовым моделям. Так, у OpenAI, Anthropic и Google есть свои профильные программы раннего доступа:

1. 2 сентября у Google появился Fairwind — закрытая программа для правительств и операторов критической инфраструктуры. Партнерам дают самую продвинутую версию Gemini в связке с CodeMender, который автоматически находит, проверяет и чинит уязвимости, выдавая готовые патчи.
2. 3 сентября OpenAI открыла Daybreak for Frontline Defenders. Компания выделила 1 миллиард долларов на субсидированный доступ к своей платформе Daybreak для операторов критической инфраструктуры, госорганов и НКО. Это агентный цикл для расследований и устранения угроз.
3. 8 октября 2026 года Anthropic запустила Cyber Mission. ИТ-специалистам на критической инфраструктуре выдали доступ к флагманским моделям.

Власти заставляют разработчиков вкладываться в защитные системы и учатся взаимодействовать с ними. Япония после атаки ИИ-агентов новым законом обязала компании сообщать о взломах и ввела двухфакторную аутентификацию. А власти Великобритании решили расширить программу, в которой нейросети ищут уязвимости в госсистемах. В двух пилотных проектах ИИ уже помог найти и закрыть больше тысячи потенциальных уязвимостей.