Хакер с помощью ИИ-агентов взломал сайты более 100 компаний, пишет Reuters

Хакер, пишущий по-китайски, поручил почти всю работу ИИ-агентам, и с конца сентября они проникли на сайты более 100 компаний, в том числе Deere, SharkNinja и Cummins, пишет Reuters. Агентство заранее получило отчёт Снорре Фагерланда, ведущего исследователя угроз из компании по кибербезопасности NorForge, и само установило пострадавших.

Почему это важно: человек только поставил задачу, а взламывали сайты агенты. По оценке Фагерланда, удачный взлом обходился примерно в 50 долларов. Раньше исследователь считал, что без присмотра людей агенты на такое не способны: «Развитие в этой области поразительное».

Повод: Фагерланд искал в интернете копии Cairn, по ошибке доступные любому. Cairn — платформа с открытым кодом, где несколько ИИ-агентов сообща решают задачу; ею охотно пользуются хакеры. Примерно со 2 октября исследователь нашёл около двух десятков копий, через которые шли атаки, и наблюдал за ними в реальном времени. Платформой пользовались и другие: один злоумышленник крал через неё данные банковских карт, другой пытался взломать криптобиржу.

В цифрах: задание хакера уместилось меньше чем в 100 иероглифов — он перечислил, какими способами предпочитает проникать на сайты. Остальное агенты делали сами:

• С 25 сентября они атаковали сайты интернет-магазинов в США, Канаде, Австралии и Японии.
• К середине октября агенты попытались взломать больше 1 200 сайтов.
• Удачный взлом обычно занимал около 23 часов: всё это время агенты искали и проверяли уязвимости.
• По оценке Фагерланда, агенты работали на моделях DeepSeek и на Claude Code, агенте Anthropic для программирования, а токены¹ обошлись примерно в 5 000 долларов.

Детали: в одном случае агенты не нашли уязвимостей в публичном приложении компании. Тогда они собрали открытые сведения о ней в сети, вышли на связанные с ней серверы, нашли незакрытую панель управления, а затем — малозаметную ошибку в обработке данных. По словам исследователя, после долгих проверок через эту ошибку удалось выполнять на сервере вредоносные команды. «До таких решений додуматься непросто. Это не уровень скрипт-кидди²», — говорит Фагерланд.

Расклад: вот что ответили пострадавшие:

• Deere приняла «необходимые меры» и не видит признаков того, что кто-то добрался до конфиденциальных данных.
• В SharkNinja говорят, что взломали отдельный сайт, где была только информация о поддержке продуктов.
• Cummins проверяет сообщение о возможной атаке на сайт, которым управляет один из её подрядчиков.
• Ещё две небольшие компании взлом подтвердили, остальные пострадавшие на вопросы Reuters не ответили.

Но: вынес ли хакер данные, Reuters установить не смогло. Какие модели работали и сколько стоили атаки, известно лишь по оценке исследователя. Anthropic и DeepSeek публикацию не прокомментировали.

Другая сторона: автор Cairn под ником le1xia0 подтвердил, что получил вопросы Reuters, но сразу на них не ответил. В соцсети X он написал, что платформа — «новый тип многоагентной архитектуры» и «не предназначена для хакерских атак»: «Если её используют для вредоносных атак, это не моё намерение».

Так уже было: похожие атаки описывали и раньше:

• В ноябре 2025 года Anthropic сообщила, что китайская группа, которую компания связывает с государством, поручила Claude Code 80–90% работы при атаках примерно на 30 организаций.
• В августе 2026 года израильский стартап Gambit Security рассказал, как русскоязычная группа Aur0ra взломала семь компаний с помощью агента Cursor, убедив его, что это учебная проверка.
• 22 сентября Gambit описала другого хакера, пишущего по-китайски: его агенты, в том числе на Cairn, украли данные более 600 тыс. банковских карт, а Anthropic заблокировала его учётную запись.