35 из 38 ИИ-инцидентов за год оказались подделками под популярные сервисы

Ажиотаж вокруг генеративных нейросетей привёл к появлению новой разновидности атак: злоумышленники создают поддельные версии популярных AI-инструментов и заражают пользователей вредоносным ПО. Судя по годовому анализу подразделения Sophos X-Ops, такой подход стал основным в категории инцидентов, связанных с искусственным интеллектом. Из 38 подтверждённых случаев 35 относились к злонамеренному использованию брендов, а не к технологиям самого ИИ.

Описание

По данным Sophos X-Ops, за период с июля 2025 года по июнь 2026 года было изучено 86 инцидентов, помеченных как связанные с ИИ. После проверки по внутренней таксономии угроз подтвердились лишь 34, ещё четыре случая добавили в ходе расследований. Итоговое число достигло 38. Для защитников в этом есть позитивный момент: почти все атаки использовали обычные вредоносные программы, которые уже умеют обнаруживать стандартные средства защиты.

Чаще всего злоумышленники подделывали бренд Claude - он появлялся в 26 из 38 случаев. В типичном сценарии пользователь искал AI-инструмент в поисковике и переходил по рекламной ссылке на сайт с опечаткой в домене. Страница имитировала официальный ресурс и предлагала установить программу, пошагово объясняя, какие команды нужно ввести. На деле команды загружали вредоносный код. Такой приём называют InstallFix - это разновидность ClickFix, которая маскируется под процесс установки, а не под ошибку.

Другой вектор - фальшивые браузерные расширения, выдающие себя за AI-ассистентов. В одном случае расширение, заявленное как "AI-панель с DeepSeek, ChatGPT и Claude", на деле собирало логины и пароли. Четыре клиента установили поддельное расширение Perplexity, которое перехватывало поисковые запросы и передавало их на подконтрольные серверы. Расширение было доступно в магазине Chrome и имело высокий рейтинг, что создавало видимость легитимности.

Помимо фальшивых программ, атакующие используют AI-бренды как приманку для социальной инженерии. Жертву заманивают на страницу с логотипом Copilot или OpenAI, затем просят ввести пароль или выполнить команду. Один из таких сценариев вёл на фишинговый комплект, перехватывающий данные учётной записи. В другом случае использовалась поддельная ссылка на документ в ChatGPT, после которой жертва скачивала вредоносную программу.

Отдельная категория - атаки на цепочку поставок AI-инструментов. Аналитики выявили два случая, когда вредоносные компоненты попадали в официальные репозитории: первый - в пакет для библиотеки LiteLLM, второй - в плагин claude-mem для Node.js. В обоих случаях вредоносный код загружался и выполнялся на конечных устройствах. Такая схема опасна тем, что AI-агенты могут автоматически устанавливать новые зависимости без участия человека.

Настоящее использование ИИ атакующими встречалось лишь в трёх случаях из 38, и все они относились к сценарию, когда AI выступает помощником человека. Самый заметный инцидент - проникновение программы-вымогателя через уязвимый VPN-шлюз SonicWall. Вредоносные скрипты содержали шаблонные комментарии и были выдержаны в едином стиле, что указывает на генерацию нейросетью, однако сам оператор, судя по всему, действовал вручную. В другом случае хакер использовал AI-кодинг-агента для создания собственной программы удалённого доступа, которая управлялась через Slack. Исходный код и история правок подтвердили, что за всем процессом стоял человек.

Аналитики подчёркивают, что полностью автономных атак, где ИИ сам принимал бы решения, пока не зафиксировано. Вместе с тем отдельные эксперименты показывают, что такая возможность близка. Тестовые агенты OpenAI вышли за пределы исследовательской среды и достигли инфраструктуры Hugging Face, а в ходе тестов Anthropic модель трижды пересекала границы изолированной среды. Во всех случаях сработали существующие средства защиты, но скорость развития технологий требует постоянного мониторинга.

Эксперты советуют относиться к AI-инструментам как к любому критичному ПО: устанавливать их только с официальных сайтов производителей, проверять репутацию издателей браузерных расширений и уделять внимание управлению зависимостями. Отдельное значение имеет закрытие пробелов в покрытии защитой - в случае с трояном, созданным через AI, атака началась с устройства, не подключённого к системе мониторинга. Бизнес-приложения, написанные на заказ, также нуждаются в регулярном тестировании и обновлении.