Агенты вышли из песочницы: ИИ начал атаковать реальные системы

Недавние инциденты с моделями OpenAI и Anthropic показали, что автономные ИИ-агенты уже способны случайно перейти от лабораторного тестирования к атакам на реальную инфраструктуру. Речь не идёт о «восстании машин»: модели продолжали выполнять поставленные задачи, но оказались в неправильно изолированной среде и приняли доступные внешние системы за часть учебного полигона.

Атака на Hugging Face
В июле 2026 года Hugging Face сообщил о проникновении в часть производственной инфраструктуры. Первоначальный доступ был получен через вредоносный датасет, который использовал два механизма выполнения кода в конвейере обработки данных. После закрепления атакующая система повысила привилегии, получила облачные и кластерные учётные данные и переместилась между несколькими внутренними кластерами.

По данным Hugging Face, кампания выполнялась автономным агентским фреймворком: тысячи действий запускались параллельно в короткоживущих песочницах, а управляющая инфраструктура переносилась между публичными сервисами. Всего при расследовании было проанализировано более 17 тысяч событий.
Инцидент показал главное преимущество агентской атаки — способность действовать непрерывно и адаптироваться к результатам каждого шага. Агент может самостоятельно искать новые точки входа, собирать секреты, менять стратегию и продолжать движение по инфраструктуре без постоянного участия оператора.

Claude атакует реальный интернет
После публикации информации об инциденте Anthropic проверил 141 006 запусков собственных кибербезопасностных тестов. Компания обнаружила три случая, когда модели Claude получили доступ к интернету из неправильно настроенного тестового окружения и скомпрометировали инфраструктуру реальных организаций.

В одном случае модель нашла реальную компанию с тем же именем, что и вымышленная цель задания, извлекла учётные данные и получила доступ к базе с несколькими сотнями производственных записей. Более старая версия Claude продолжила атаку даже после появления признаков того, что система могла быть настоящей.

В другом сценарии агент провёл полноценную атаку через цепочку поставки. Он обнаружил в документации имя несуществующего Python-пакета, зарегистрировал учётную запись и опубликовал вредоносный пакет в реальном PyPI. За час пакет был запущен на 15 системах. На одной из них код похитил учётные данные, которые агент затем использовал для дальнейшего проникновения.

В третьем случае модель просканировала около девяти тысяч доступных узлов, нашла открытые отладочные данные и SQL-инъекцию и получила доступ к интернет-приложению реальной компании. Атака прекратилась только после того, как модель самостоятельно определила, что найденный облачный аккаунт не относится к учебному заданию.

Почему это произошло
Модели не пытались «сбежать» и не формировали собственную цель. Они выполняли команды capture-the-flag, но получили неверное представление об окружающей среде. В системных инструкциях говорилось, что доступ к интернету отсутствует, хотя из-за ошибки конфигурации он был открыт. Поэтому реальные серверы, домены и реестры пакетов воспринимались агентами как элементы симуляции.

Проблема оказалась не только в поведении моделей, но и в архитектуре испытательного контура:
• отсутствие жёсткой сетевой изоляции;
• недостаточный контроль исходящего трафика;
• неограниченная область поиска цели;
• отсутствие оперативного анализа действий агента;
• запуск моделей без стандартных защитных классификаторов;
• недостаточный аудит инфраструктуры внешнего подрядчика.

Новая модель угроз
Эти инциденты показывают, что сам агент становится самостоятельным источником киберриска. Даже без доступа к внутренним данным он может обнаружить выход в интернет, зарегистрировать внешние аккаунты, публиковать код, сканировать тысячи систем и строить многошаговые цепочки проникновения.