$50 за злам: як ШІ-агенти допомогли хакеру атакувати понад 100 сайтів

Автономні цифрові алгоритми продемонстрували здатність самостійно вести наступальні операції проти корпоративної інфраструктури. За кілька тижнів цілями атаки стали понад сотня підприємств, серед яких великі міжнародні компанії Deere, SharkNinja та Cummins. Для автоматизації процесів зловмисник використовував зв’язку інструменту Claude Code від Anthropic та бюджетної моделі DeepSeek V4.1 Flash.

Загальні витрати на придбання токенів для всієї кампанії склали близько $5 тисяч. З урахуванням невдалих спроб кожна дія коштувала хакеру орієнтовно $5, а середня результативність інструментів оцінюється у 10%. Успішний несанкціонований доступ до системи в середньому тривав трохи менше 23 годин, що підтверджує високу економічну ефективність подібних нападів для зловмисників.

Ключовою тактикою ШІ-агентів став пошук другорядних уразливостей: якщо головні веб-ресурси виявлялися надійно захищеними, алгоритми перемикалися на портали технічної підтримки, панелі адміністрування чи сервери підрядників. У виявлених базах зберігалися сотні облікових даних і API-ключів, причому 11% із них залишалися дійсними на момент виявлення проблеми. Відкриті панелі доступу знайшли навіть у легальних сервісів із тестування безпеки.

Зниження вартості атак масштабує кіберзагрози на весь сегмент комерції, включно з малим та середнім бізнесом. Раніше подібні автоматизовані інструменти вже використовувалися для викрадення сотень тисяч платіжних даних банківських карток і персональної інформації користувачів. З появою доступних мовних моделей атакувати тисячі комерційних сайтів стає значно простіше та дешевше, ніж захищати їх.

Що це означає: фінансовим директорам і керівникам бізнесу доведеться переглянути оцінку кіберризиків та бюджети на захист інформації. Основна загроза зміщується з прямого злому на компрометацію суміжних сервісів і недбалий менеджмент API-ключів. Витік таких даних загрожує компаніям прямими матеріальними збитками, судовими позовами клієнтів і штрафами з боку регуляторів за неналежний захист комерційної та банківської таємниці.