Пять открытых фреймворков, которые ставят языковую модель во главе наступательных инструментов, уже встречаются не только в учениях, но и в реальных вторжениях. Суммарно ARTEX, CyberStrikeAI, Cairn, PentAGI и HexStrike собрали более 60 тыс. звёзд на GitHub, а ни один из них по умолчанию не проверяет авторизацию в коде. Модель сама планирует шаги, разделяет работу между агентами и доустанавливает недостающие инструменты.
По данным Elastic Security Labs, все пять фреймворков уже фиксировали в инцидентах: ARTEX, Cairn, HexStrike и PentAGI наблюдали специалисты Google Threat Intelligence Group и Mandiant, а Microsoft связывает использование ARTEX с группой Storm-0940. Сами инструменты знакомы защитникам - сканеры, curl, оболочки и облачные CLI, - но цикл вокруг них новый: модель планирует каждый шаг и разбивает задачу между агентами. В ARTEX всплески активности длятся от 2 до 25 секунд, а успешные проекты Cairn в среднем занимали чуть меньше 23 часов от старта до цели.
Ни один из пяти фреймворков не проверяет авторизацию в коде по умолчанию. Три из них прямо сообщают модели, что работа согласована: CyberStrikeAI, PentAGI и ARTEX добавляют в промты блоки о предварительном разрешении, а Cairn запрещает агентам отказываться от задачи. Единственные ограничения по умолчанию - блок-листы государственных доменов в ARTEX и CyberStrikeAI и образовательных в ARTEX.
Автономность тоже включена по умолчанию. CyberStrikeAI поставляется с выключенным режимом подтверждений, PentAGI выставляет ASK_USER в false, Cairn запускает два из трёх типов агентов без запросов подтверждения, а ARTEX работает в режиме обхода разрешений. Ни один из них не ждёт одобрения человека, прежде чем выполнить действие.
Фреймворки шумные, а при блокировке ARTEX и CyberStrikeAI меняют маршрут. Навыки CyberStrikeAI советуют агенту при отказе переключать прокси, User-Agent и заголовки, уходить на бесплатные прокси в стране цели и в Tor. Поэтому детект, привязанный к IP-адресу или User-Agent, быстро устаревает: те же запросы вернутся с новых адресов.
Elastic предлагает ловить не отпечатки фреймворков, а поведение: темп и последовательность действий в рамках одной учётной записи. В коротком окне считают разные чувствительные действия и виды клиентов, а между сессиями связывают разведку, доступ к секретам и удалённое выполнение. Отзыв учётных данных тоже не останавливает агента мгновенно: токены и сессии живут ещё десятки минут.
Защитникам советуют заранее решить, какие детекты запускают автоматическое сдерживание, и связывать блокировку адреса с отзывом сессий и токенов. Секреты стоит убрать из мест, куда может добраться агент, а роли ограничить только необходимыми действиями. Разведданные об инфраструктуре фреймворков помогают блокировать их до начала атаки.
Elastic отмечает, что такие фреймворки будут появляться и дальше: помимо пяти уже известны Strix, Hermes, PentestGPT и другие проекты. Одна преступная кампания использовала Strix для поиска уязвимостей, Cairn для эксплуатации и Hermes как консоль управления. Насколько массово эти инструменты применяют в преступных атаках, по открытым данным оценить нельзя.
