За последний месяц резко выросло число фреймворков, которые ставят языковую модель во главе пентеста и оркестрации атак. Только за три дня более 50 семейств таких инструментов пытались сканировать клиентов облачной платформы, а число IP-адресов, с которых они работают, измеряется тысячами. После закрытия исходного проекта ARTEX в октябре его форки и клоны размножились, и такие инструменты заметно меняют модель защиты. По данным Cloudflare, всего несколько недель назад единственным доступным инструментом был ARTEX - открытая агентная система для автоматизации атак. Автор проекта закрыл его 8 октября, но за месяц появилось более 12 тысяч репозиториев и несколько сотен уникальных форков с кодом от исходного. Дневное число запросов к инструментам ИИ-пентеста с 1 октября выросло в 30 раз.
Такие фреймворки оркестрируют ИИ-агентов для выполнения этапов атаки в масштабе. Они подключают готовые инструменты и серверы MCP, картируют окружение и позволяют нескольким параллельным агентам перечислять, проверять и атаковать цели со скоростью работы модели. Cloudflare отслеживает более 50 ИИ-агентов; пять самых популярных имеют более 1000 звёзд на GitHub и работают полностью автономно.
По наблюдениям компании, к 12 ноября на ARTEX и его форки приходится более 60% известных ИИ-оркестраторов пентеста. После закрытия оригинального репозитория трафик вырос более чем в десять раз, а появление новых экземпляров инструментов резко ускорилось. Удаление исходника лишь ускорило появление новых версий.
В нескольких расследованиях такие фреймворки применяли вместе с украденными учётными данными. Злоумышленник получал доступ к окружению крупного облачного провайдера, а затем переходил в среду клиента. Корневой причиной называли слабую гигиену: бессрочные токены в CI/CD давали широкий доступ к инфраструктуре, и ИИ-фреймворки повышают шанс, что один API-ключ захватит других арендаторов.
В одном из инцидентов ARTEX получил доступ к токену API уровня аккаунта, который использовался в CI/CD без ограничений по IP и частоте запросов. Затем появились новые скрипты с префиксом artex, а активность превышала 69 запросов в минуту и 400 запросов на выгрузку базы в час. Исследователи также заметили попытки закрепления и проверки токенов сессий сторонних приложений.
Компания предлагает модель защиты из шести элементов. Она включает межсетевой экран веб-приложений (WAF) с ограничением частоты запросов, обнаружение аномалий, защиту от ботов и доступ к рискованным приложениям после проверки личности. Дополнительно предлагают проверять схемы входящих запросов, применять взаимную TLS-аутентификацию и явный запрет по умолчанию, а также подключать внешние данные об угрозах.
В компании считают, что старые модели защиты, включая эшелонированную защиту с классическим периметром, больше не справляются с оркестрируемыми атаками. Ставка делается на изоляцию и микросегментацию, чтобы сдержать перемещение по сети. Насколько успешны такие сканирования и сколько организаций уже пострадало, в публикации не уточняется.
