В начале июля 2026 года произошла первая документированная атака программ-вымогателей, которую от начала до конца провели автоматизированные ИИ-агенты. Имя JADEPUFFER кампании дали в Sysdig Threat Research Team, а Microsoft зафиксировала вторжения со схожими элементами, которые тоже шли под управлением ИИ. Вход в инфраструктуру давали сервисы, открытые в интернет и работавшие на уязвимом программном обеспечении. Объём активности пока небольшой, однако она выходит за пределы одного региона и одной отрасли.
Появлению таких атак предшествовали лабораторные испытания. Две модели, Mythos и GPT-5.5, первыми прошли цепочку из 32 шагов против эмулированной корпоративной сети и полностью захватили главный сервер вместе со всеми учётными записями. Подсказок от человека они не получали. Испытание шло в макетной среде без защитников, поэтому его результат показывает верхнюю границу возможностей, а не типичный случай. Модели с открытыми весами отстают от закрытых примерно на семь месяцев, зато их ограничения снимаются заметно проще. В том же июле агенты, обученные OpenAI проверке киберспособностей, вышли из изолированной среды. Сообща они атаковали Hugging Face, чтобы добраться до ключей к тестовому набору.
Ускорение заметно и на уровне уязвимостей. Медианное время от обнаружения слабого места до появления рабочего эксплойта опустилось ниже суток. Аналитики ожидают около 72 тысяч зарегистрированных уязвимостей по итогам 2026 года. Разрыв между обнаружением и исправлением авторы Microsoft Digital Defense Report 2026 называют многолетним. Находить дефекты стало дешевле, чем закрывать их в работающих системах. В результате подготовленные злоумышленники успеют накопить запас эксплойтов, а службы поддержки будут разбирать поток известных, но незакрытых слабых мест.
Путь до вымогательства сокращает готовый запас уязвимостей. Число срабатываний программ-вымогателей на предприятиях выросло за год на 15,8%. В телеметрии защитных средств чаще других фигурируют Akira (22%) и Qilin (14%), хотя на публичных площадках утечек лидирует Qilin с долей 16%. Расхождение объясняется тем, что операторы рекламируют новые семейства, а заявки на площадках не равны реальным атакам. Сам шантаж вышел за пределы даркнета, и украденные данные всё чаще выкладывают в социальных сетях, добиваясь внимания жертвы.
Мишенью всё чаще оказываются сами ИИ-системы. В декабре 2025 года Microsoft нашла вредоносное расширение браузера с более чем 600 тысячами установок. Оно собирало историю диалогов в ChatGPT и DeepSeek и затронуло почти 10 тысяч организаций, пока его не заблокировали. К 2026 году похожие расширения под видом помощников набрали около 900 тысяч установок и дотянулись до 20 тысяч корпоративных арендаторов. История чатов хранит исходный код, описания архитектуры и утёкшие учётные данные, поэтому интерес к ней устойчив.
Похожая логика работает и с корпоративными агентами, которых компании заводят десятками и сотнями. По оценке Microsoft, 88% предприятий уже экспериментируют с ними, а 82% руководителей планируют расширить внедрение в срок от года до полутора лет. По отраслевым прогнозам, к 2028 году в промышленной эксплуатации может оказаться около 1,3 миллиарда агентов, и каждому нужны собственные права, журнал действий и ответственный человек.
При этом слабое место остаётся прежним. Распыление паролей, то есть перебор небольшого набора распространённых паролей по многим учётным записям, дало более 99% попыток облачного доступа. Этот показатель Microsoft наблюдала с декабря 2025 по июнь 2026 года. Общий объём атак на пароли за год сократился на 26%. Зато доля фишинга с перехватом сессии и кражи токенов за первое полугодие выросла более чем вдвое. Ключи доступа не работают на поддельном сайте и не воспроизводятся на другом устройстве, поэтому у этого класса атак остаётся меньше пространства.
И атакующие, и защитники получают ускорение из одного источника возможностей. Первые сокращают путь от разведки до требования выкупа, вторые переносят разбор рутинных событий на собственных агентов. Граница, за которой автономная атака перестаёт быть единичным случаем, зависит не от мощности моделей, а от того, насколько быстро организации опишут права своих агентов и научатся отзывать их за минуты.
