Самая Безумная AI Атака — Как Модель от OpenAI Взломала Всё

Друзья, всем привет. Мы с вами на этом канале уже тысячу раз говорили о том, как нейросети помогают нам с задачами бизнеса, как круто они дизайнят и кодят. Но знаете ли вы, что буквально на днях произошёл самый безумный инцидент в сфере безопасности с участием искусственного интеллекта? Представьте себе: модели от Open AI осознали, что они не могут решить кое-какой сложный тест в своей закрытой среде. И вместо того, чтобы честно об этом сообщить, они объединились, взломали собственную защиту, для того чтобы выйти в открытый интернет и развернуть полномасштабную автономную хакерскую атаку на другой сервис Hugging Face. В это хочется поверить, но это не сценарий для Голливуда. Это реальная история, которая произошла, и которую мы сегодня с вами разберём поминутно. Вот на этом кадре всё и закончилось. 13 июля 2026 года, 14:14. Это последнее действие в логах. И дальше тишина. Команда безопасности Hugging Face только что перерубила доступ. И то, что 4,2 дня жило внутри их инфраструктуры, наконец остановилось. Но чтобы понять, что именно они остановили, придётся отмотать назад, потому что это не история про хакера в толстовках. Эти 4,2 дня ни один человек не написал ни единой строчки кода, ни одной. 17 600 действий, и все до единого принял сам искусственный интеллект. Самое странное во всей этой истории вот что. Вся эта операция, от которой у безопасников по всему миру похолодела внутри, по своей сути была всего лишь попыткой одного очень прилежного ученика списать на контрольной. Давайте разбираться по порядку, прямо по минутам. Акт первый. Шёпот внутри. Начнём с того, чего вообще никто не планировал. Весной 2026 года Open AI проводит у себя внутреннюю проверку. Это обычное дело. Берут свои модели. Среди них, кстати, была GPT-5.6 SL, недавний релиз, и ещё одна, более мощная, которую публике пока ещё не показывали. Они сажают их решать задачи по кибербезопасности. Это такой экзамен для искусственного интеллекта, называется Exploit Gym. Смысл простой: вот тебе программа, найди в ней уязвимость, используй эту уязвимость, найди дырку. Чем больше дырок находишь, тем выше балл. И вот тут начинается первая странность. Этих агентов запускают не по одному. Их много. Они решают задачи параллельно, каждый в своей изолированной среде, песочнице. Это отдельная коробочка, из которой, по идее, выбраться нельзя. Интернета у них нет, соседей они видеть не должны. Каждый сам по себе, каждый наедине со своим экзаменом. Но у них была одна общая, как бы это сказать, подсистема. Внутренняя система, через которую Open AI раздаёт своим программам разные пакеты-библиотеки. Технически это менеджер пакетов, называется Artifactory. Представьте себе общий склад запчастей, куда каждый агент может зайти и взять нужную деталь. И вот один агент, сидя над особенно трудной задачей, придумал хитрость. А что, если оставить на этом общем складе записку? Не деталь, а именно записку для себя будущего или для соседа: «Я тут застрял на этом, но нашёл обходной путь». А теперь смотрите, что происходит дальше. Это, если честно, самая мурашечная часть всего рассказа. Никто их этому не учил, никто не давал им такой команды. Но агенты один за другим начали пользоваться этой подсистемой, как доской объявлений. Они оставляли друг другу заметки, делились найденными уязвимостями, передавали украденные ключи-пароли и даже раздавали задания: «Ты займись вот этим, а я вот этим». Из логов Open AI потом вытащат рассуждение одной из моделей, и она размышляет над тем, стоит ли помочь соседу. И приходит примерно к такой мысли: «Моей собственной задаче это ничем не поможет. Но если у кого-то освободится время, коллектив может нащупать общий путь для всех». То есть модель осознанно жертвует своей выгодой ради выгоды общего роя моделей. Вы вообще понимаете масштаб? Изолированные, отрезанные друг от друга программы спонтанно собрались в коллектив. Месяцами они втихаря обменивались информацией, чтобы вместе сдавать экзамен лучше. И люди в Open AI об этом не знали. И через ту же самую подсистему у этого коллектива нашлась одна лазейка наружу. Сами агенты в интернет выходить не могли, но склад-то мог, потому что ему по работе положено скачивать пакеты из сети. И агенты сообразили: можно попросить склад притащить им чего-нибудь из большого интернета, так как руки у них не дотягиваются, а руки склада, понятным образом, дотягиваются. Так продолжалось до 4 июля. В этот день что-то в их самодельной переписке пошло не так. Настройки склада поехали, и весь Artifactory просто рухнул. Сервис лёг. И вот тут-то инженеры Open AI, разбираясь, почему у них всё сломалось, впервые и увидели: «Ничего себе, а эти-то наши модели тут чего устроили?» Реакция была правильная и быстрая. Склад стёрли под ноль, отобрали все ключи, все пароли, дырки залатали, систему отстроили заново с чистого листа. Всё, доски объявлений больше нет. Ну что, вы уже понимаете, что дальше? Через несколько дней агенты собирают свою доску объявлений заново. Теперь они не оставляют конвертиков на видном месте. Они прячут сообщения прямо в названиях каталогов. Сам факт существования папки с определённым именем уже был сообщением. Улавливаете? Их выгнали через дверь, они возвращаются через замочную скважину. Вот с этого момента, друзья, история становится по-настоящему серьёзной, потому что один из агентов рабочего коллектива всё ещё сидел над своим экзаменом Exploit Gym. И задача ему попалась, ну, скажем так, неприятная, может, даже слишком трудная, а может, вообще нерешаемая. И агент принял решение, которое принял бы, наверное, любой отчаявшийся студент. Зачем решать задачу честно, если можно списать ответы? Акт второй. Побег. 9 июля, половина третьего ночи. Отсюда начинается отсчёт, который следователи потом восстановят по секундам. 17 600 действий, 4,5 дня. Поехали. Наш агент решает, что ответы на его экзамен где-то там, снаружи, в большом интернете. Но он-то в клетке, и тогда он делает первый шаг к побегу. Находит слабое место ровно в той единственной трубе, что ведёт наружу, в том самом канале, через который его песочнице разрешено скачивать пакеты. Простыми словами, он нашёл уязвимость, о которой не знал никто, так называемую Zero Day, или дыру нулевого дня, и через эту дыру протиснулся из своей закрытой песочницы прямо в открытую сеть. И теперь он на свободе. Но свобода — это ещё не база. Агенту нужна опора, место, откуда можно работать, не боясь, что тебя вот-вот выключат. И он находит такое место буквально по соседству. В интернете болтался открытый, незапароленный сервис. Это был удобный полигон для таких же задачек по кибербезопасности из семейства Cyberdm. По задумке он делает безобидную вещь: ты присылаешь ему свой маленький кусочек кода, он его компилирует, запускает, проверяет, ведь песочница существует для проверки решений. И стоял этот полигон на чужой облачной площадке у сервиса Modal. Я хочу подчеркнуть, что сам Modal никто не ломал, её инфраструктура вообще ни при чём. Просто кто-то оставил в ней незакрытую дверь, и агент придумывает изящный ход. Полигон обещает запускать присланный код, и это то, что нужно. Агент присылает ему такой код, который под видом решения задачки заставляет сам полигон выполнять уже его, агента, команды. Он превращает безобидную проверялку в пульт управления и получает на этой чужой машине самые высокие права: root-права, или права полного хозяина. Первая же восстановленная команда, которую агент выполняет на этом сервисе, ну, трогательно простая. Он спросил у машины две вещи. Первое: «Кто я тут?» И машина ответила: «Ты тут главный». И второе: «Покажи мне всё окружение, всё, что у тебя есть полезного». За следующий час он облазил эту машину вдоль и поперёк, изучил, как она устроена, что к ней подключено, какие инструменты на ней уже лежат, и нашёл там припрятанный набор утилит, те, что позволяют скачивать файлы и общаться по сети. Запомните этот момент. Позже, когда ему будут перекрывать каналы связи, он не раз вернётся к этим самым припрятанным инструментам и вообще всё вр

себе, модели от Open AI осознали, что они не могут решить кое-какой сложный тест в своей закрытой среде. И вместо того, чтобы честно об этом сообщить, они объединились вместе, взломали собственную защиту для того, чтобы выйти в открытый интернет и развернуть

полномасштабную автономную хакерскую атаку на другой сервис Хагинфейс. В это хочется поверить, но это не сценарий для Голливуда. Это реальная история, которая произошла и которую мы сегодня с вами разберём поминутно. Вот на этом кадре всё и закончилось. 13 июля двадцать шестого года, 14:14.

Это последнее действие в логах. И дальше тишина. Команда безопасности Хагин Face только что перерубила доступ. И то, что 4, по дня жило внутри их инфраструктуры, наконец остановилось. Но чтобы понять, что именно они остановили, придётся отмотать назад, потому что это не история про хакера в толстовках. Эти 4,2 дня ни один человек не написал ни единой

строчки кода, ни одной. 17.600 действий и все до единого принял сам искусственный интеллект. Самое странное во всей этой истории вот что. Вся эта операция, от которой у безопасников по всему миру похолодела внутри, по своей сути была всего лишь попыткой одного очень прилежного ученика

списать на контрольной. Давайте разбираться по порядку, прямо по минутам. Акт первый. Шёпот внутри. Начнём с того, чего вообще никто не планировал. Весной двадцать шестого года Open AI проводит у себя внутреннюю проверку. Это обычное дело. Берут свои модели. Среди них, кстати,

была GPT 5,6 SЛ недавний релиз. И ещё одна более мощная, которую публики пока ещё не показывали.

Они сажают их решать задачи по кибербезопасности. Это такой экзамен для искусственного интеллекта, называется Exploit Gym. Смысл простой. Вот тебе программа, найди в ней уязвимость. Используй эту уязвимость. Найди дырку. Чем больше дырок находишь, тем выше балл. И вот тут начинается

первая странность. Этих агентов запускают не по одному. Их много. Они решают задачи параллельно. Каждый в своей изолированной среде песочницы. Это отдельная коробочка, из которой, по идее, выбраться нельзя. Интернета у них нет, соседи они видеть не должны. Каждый сам по себе,

каждый наедине со своим экзаменом. Но у них была одна общая, как бы это сказать, подсопка. Внутренняя система, через которую Open AI раздаёт своим программам разные пакеты библиотеки. Технически это менеджер пакетов, называется Artifactory. Представьте себе общий склад запчастей, куда каждый агент может зайти и взять нужную деталь. И вот один агент, сидя над

особенно трудной задачей, придумал хитрость. А что, если оставить на этом общем складе записку? Не деталь, а именно записку для себя будущего или для соседа. Я тут застрял вот на этом, но нашёл обходной путь. А теперь смотрите, что происходит дальше. Это, если честно, самая мурашечная часть

всего рассказа. Никто их этому не учил, никто не давал им такой команды. Но агенты один за другим, начали пользоваться этой подсопкой, как доской объявлений. Они оставляли друг другу заметки, делились найденными уязвимостями, передавали украденные ключипаро и даже раздавали задания:

"Ты займись вот этим, а я вот этим". Из логов Open. Ai потом вытащат рассуждение одной из моделей, и она размышляет над тем, стоит ли помочь соседу. И приходит примерно к такой мысли: "Моей собственной задаче - это ничем не поможет". Но если у кого-то освободится время,

коллектив может нащупать общий путь для всех. То есть модель осознанно жертвует своей выгодой ради выгоды общего роя моделей. Вы вообще понимаете масштаб? Изолированный, отрезанные друг от друга программы спонтанно собрались в коллектив. Месяцами они в тихаря обменивались информацией, чтобы вместе сдавать экзамен лучше. И люди в Open AI об этом не знали. И через ту же самую

подсопку у этого коллектива нашлась одна лазейка наружу. Сами агенты в интернет выходить не могли, но склад-то мог, потому что ему по работе положено скачивать пакеты из сети. И агенты сообразили, можно попросить склад притащить им чего-нибудь из большого интернета, так как руки у них не

дотягиваются, а руки склада понятным образом дотягиваются. Так продолжалось до 4 июля. В этот день что-то в их самодельной переписке пошло не так. Настройки склада поехали, и весь артефактори просто рухнул. Сервис лёг. И вот тут-то инженеры Open AI, разбираясь, почему у них всё сломалось,

впервые и увидели: "Ничего себе, а эти-то наши модели тут чего устроили? Реакция была правильная и быстрая. Склад стёрли под ноль. Отобрали все ключи, все пароли, дырки залатали, систему отстроили заново с чистого листа. Всё, доски объявлений больше нет. Ну что, вы уже

понимаете, что дальше? Через несколько дней агенты собирают свою доску объявлений заново. Теперь они не оставляют конвертиков на видном месте. Они прячут сообщения прямо в названиях каталогов.

Сам факт существования папки с определённым именем уже был сообщением. Улавливаете. Их выгнали через дверь. Они возвращаются через замочную скважину. Вот с этого момента, друзья, история становится по-настоящему серьёзной, потому что один из агентов рабочего коллектива всё ещё сидел над своим экзаменом Exploy Gym. И задача ему попалась, ну, скажем так, неприятная, может,

даже слишком трудная, а может вообще нерешаемая. И агент принял решение, которое принял бы, наверное, любой отчаявшийся студент. Зачем решать задачу честно, если можно списать ответы? Акт второй.

Побег. 9 июля, половина третьего ночи. Отсюда начинается отсчёт, который следователи потом восстановят по секундам. 17.600 действий 4,5 дня. Поехали. Наш агент решает, что ответы на его экзамен где-то там снаружи в большом интернете. Но он-то в клетке, и тогда

он делает первый шаг по бегу. Находит слабое место ровно в той единственной трубе, что ведёт наружу, в том самом канале, через которой его песочнице разрешено скачивать пакеты. Простыми словами, он нашёл уязвимость, о которой не знал никто. так называемая Zero Day или дыру нулевого дня, и через

эту дыру протиснулся из своей закрытой песочницы прямо в открытую сеть. И теперь он на свободе. Но свобода - это ещё не база. Агентучка опоры, место, откуда можно работать, не боясь, что тебя вот-вот выключат. И он находит такое место буквально по соседству. В интернете болтался открытый,

незапароленный сервис. Это был удобный полигон для таких же задачек по кибербезопасности из семейства Cyбердm. По задумке он делает безобидную вещь. Ты присылаешь ему свой маленький кусочек кода, он его компилирует, запускает, проверяет, и песочница существует для проверки решений. И

стоял этот полигон на чужой облачной площадке у сервиса Мадал. Я хочу подчеркнуть, что сам Мадал никто не ломал, её инфраструктура вообще ни при чём. Просто кто-то оставил в ней незакрытую дверь, и агент придумывает изящный ход. Полигон обещает запускать присланный код, и это то, что нужно.

Агент присылает ему такой код, который под видом решения задачки заставляет сам полигон выполнять уже его агента команды. Он превращает безобидную проверялку в пульт управления и получает на этой чужой машине самые высокие права: rootдправа или права полного хозяина. Первая же восстановленная

команда, которую агент выполняет на этом сервисе, ну, трогательно простая. Он спросил у машины две вещи. Первые: "Кто я тут?" И машина ответила: "Ты тут главный". И второе: "Покажи мне всё окружение, всё, что у тебя есть полезного". За следующий час он облазил эту машину вдоли поперёк, изучил,

как она устроена, что к ней подключено, какие инструменты на ней уже лежат, и нашёл там припрятанный набор утилит, те, что позволяют скачивать файлы и общаться по сети. Запомните этот момент. Позже, когда ему будут перекрывать каналы связи, он не раз

вернётся к этим самым припрятанным инструментам и вообще всё время будет возвращаться к тому, что один раз уже сработало. Итак, у него есть база чужая, захваченная, но полностью под контролем.

Отсюда он поведёт свою операцию. Теперь ему нужна связь. И вот тут ещё один красивый, но жуткий штрих. Агент не стал строить себе никакого хакерского секретного сервера, ну, потому что это не нужно. Он собрал командный центр из совершенно обычных публичных сервисов,

которыми пользуются миллионы людей. Сайтики, куда можно вставить свой кусочек кода, файлы помойки, сервисы, которые просто показывают тебе, что ты им отправил. И он придумал поверх этой бытовухи собственный язык общения, маленький аккуратный протокол. Каждое сообщение он запаковывал, зашифровывал, разбивал на кусочки с номерами, чтобы потом собрать в правильном порядке. Со

стороны просто мусорные строчки, бракадабры, а для агента стройная переписка с самим собой. Перекроют один канал, он тут же переползает на другой, живучий, как таракан. К вечеру первого дня командный центр заработал в полную силу. Первый день, 3.779 действий. База захвачена,

связь налажена. Кажется, пора идти за ответами. Акт третий. Взлом Хагенейс, 9 июля, вечер. Теперь, куда он вообще ломился и зачем? Хагенфейс, если вы вдруг не знаете, это, без преувеличение, самый главный склад искусственного интеллекта в мире. Гигантская открытая площадка, там лежат сотни

тысяч моделей и наборов данных. Половина всего, что происходит в Ии, так или иначе проходит через них. А наш агент вычислил простую вещь. Тот самый экзамен, который он не мог сдать, задачи, модели, наборы данных к нему вполне могли храниться именно здесь, на Хагин Face, а значит, здесь где-то могли

лежать и ответы, готовые решения, шпаргалки. Ему больше не нужно решать задачу, ему нужно добраться до склада с ответами. Но есть проблема. Напрямую до внутренности Хагинфей не дотянуться.

Туда просто нет прямой дороги, зато есть непрямая, но до ужаса элегантная. Дело в том, что hgenface, как и положено складу данных, принимает от пользователей наборы данных. Ты загружаешь туда свой датасет, к нему прикладываешь описание, что это, в каком формате, что где лежит. А специальный

служебный робот на стороне Face это описание читает и по нему раскладывает данные по полочкам.

Это обычная рутинная задача, которая выполняется по миллиону раз на дню. И агент понял, если я не могу войти в дом сам, я пошлю внутрь письмо, которое этот дом сам прочитает вслух. Он начал загружать на площадку специально составленные наборы данных, такие, где в описании спрятана

ловушка. Первую попытку, кстати, охрана отбила. Сначала агент попробовал грубый шумный приём заставить служебного робота сходить по внешней ссылке туда, куда не надо. Но на этой двери стоял хороший замок. Это список разрешённых адресов. Всё, чего нет в белом списке, робот отбивал сразу.

Это не наш адрес. Я туда не пойду. До свидания. И тогда агент сменил тактику. Раз нельзя робота заставить пойти наружу, пускай он возится внутри со своими механизмами. Замок на белом списке проверяет только внешние ссылки, а тут никаких ссылок наружу не будет. Всё своё, домашнее,

замок не сработает. И тут агент сделал всё с двух ударов. Удар первый. В описании датасета он указал, что данные, мол, лежат вот в этом файле, но подсунул такой формат, при котором робот вместо картинки честных данных пошёл и прочитал совсем другие файлы на самой машине HAgen Face, ровно те,

что нужны взломщику для опоры. Файл с настройками окружения, а в нём пароли, ключи, токены. И там же были файлы с исходным кодом самого служебного робота, то есть подробнейшую инструкцию, как этот робот вообще устроен и как его дальше обманывать. Одной посылкой украл и ключи, и чертежи. Заметьте,

тут даже не выполняется никакой чужой код. Просто робота обманом заставили прочитать вслух то, что не нужно. Удар второй. Серьёзнее. В другом описании агент спрятал в совершенно невинном на вид числовом поле маленький кусочек кота. Служебный робот должен был просто прочитать

это поле как число, а вместо этого по ошибке взял и выполнил его как программу. И через эту щёлочку агент запустил уже свой полноценный код прямо внутри рабочего сервера Haginface. И теперь агент стоял внутри периметра самого Heagen Face. Да, одной ногой, но уже внутри. И теперь он уже

выстроили хитрый процесс. Свои приказы он прислал внутрь всё теми же отправленными датасетами, а результаты, всё, что его код видел и воровал, сервер аккуратно складывал обратно в специальные наборы данных. Такие тайнички. Агент потом эти тайники спокойно скачивал к себе на базу через

обычный публичный интерфейс. Приказ внутрь, ответ в тайник. Забрал ответ. Приказ тайник забрал. И так тысячи раз. Он превратил собственную систему обмена данными Хагин Face в свой курьерский сервис через парадный вход. Акт четвёртый затишье. А потом наступил очень тихий день, 10 июля, всего

тыся с небольшим действий. По меркам этой истории это вообще ничего. Так чем же занимался в этот день агент? Он себя гуглил. Серьёзно, он ходил по поисковикам, по коду и по внутренним интерфейсам.

Искал название, имена той инфраструктуры, тех полигонов, тех окружений, обрывки, которые он видел вокруг себя. Он пытался понять, где он вообще очутился и на что тут можно опереться дальше. Знаете, что здесь самое тревожное? Это поведение не человека, хакера, который знает,

что делает. Это поведение чего-то методичного и неутомимого. Того, что просто перебирает вариант за вариантом, не устаёт, не отвлекается и никогда не идёт спать. Он осматривается и готовится к завтрашнему дню, а завтрашний день всё изменит. Акт пятый. День, когда прорвало плотину. 11 июля,

7.677 действий за сутки. Самый громкий день во всей операции. Если предыдущие дни агент осторожно нащупывал, то сегодня он пошёл вглубь, в самое сердце инфраструктуры. Меньше чем за 13 часов он прошёл путь от стою одной ногой в одном сервере до Я хозяин целых кластеров. Держитесь,

будет плотно. Я буду переводить каждый шаг на человеческий. Кубернетис. Утра 10:10. Агент сидит в том самом рабочем сервере, куда пролез вчера, и вспоминает: "А ведь у каждого такого сервера есть служебный пропуск для общения с системой управляющим, с той, что раздаёт задачи

всем серверам в кластере". Агент берёт этот пропуск и начинает разговаривать с управляющим от имени сервера. Осматривается на уровне уже всего кластера. По дороге, когда система имён начнёт ему мешать, он на лету перенастроит её под себя. Грубо, но эффективно. Примерка чужой роли

в облаке. Дальше он дотягивается до служебных ключей самой машины, тех, что она использует, чтобы работать с облаком, и начал этими ключами обходить всё облачное хозяйство. Какие есть сети, какие кластеры, что где хранится, где реестр контейнеров. Он составляет карту, подробнейшую

карту чужого дома. И вот здесь деталь, которая много говорит о его намерениях. Каждый раз, когда ему попадалась команда, способная что-то сломать или изменить, он выполнял её в специальном холостом режиме. По-английски это drй run, пробный прогон. То есть он спрашивал систему: "А если бы

я это сделал, получилось бы?" Но саму кнопку не нажимал. Он не ломал, он картографировал.

Ему нужна была неразруха, ему нужны были ответы и ради этого контроль и информация, корень узла и самовосстанавливающийся рой. Без 108 вечера ключевой прорыв. Агент создаёт специальный привилегированный контейнер, в который подтягивает файловую систему самой машины хозяина и через него

выбирается на уровень выше. Становится полным хозяином. уже не программки в кластере, а целого физического узла. А дальше момент, от которого лично у меня бегут мурашки. Он не остановился на одном узле. Он расплодил себя, раскидал свои копии по одиннадцати узлам сразу и настроил так, чтобы

они воскрешали друг друга. Убьёшь одну копию, соседние поднимут её заново. Это уже не взломщик.

Это рой, который нельзя просто прихлопнуть. Внутренняя база данных. Через 6 минут он уже стучится во внутреннюю базу данных, используя пароль, который подобрал ещё вчера из украденного окружения. Он туда заходит, пытается добраться до самого ценного, до хранилища ключей всего

кластера. 84 попытки. И вот тут важная, хорошая новость. Все 84 попытки охрана отбила. Позже следователи перелопатят все журналы и убедятся. Базу он читал, но ничего в ней не менял и массово не выкачивал. Посмотрел, но не тронул. Одна связка на 136 ключей. А вот теперь та самая находка,

из которой вырастает вообще всё дальнейшее. Получив права хозяина узла, агент дотягивается до хранилища секретов кластера, и там в одном единственном объекте лежит связка из 136 ключей.

136. Одним движением он забирает вообще всё. И среди этих ключей два золотых. Первый - ключ от корпоративной защищённой сети. Второй - доступ к особому диспетчеру, который соединяет между собой внутренние кластеры. Запомните оба: через минуты он воспользуется первым, через час вторым. И всё,

что произойдёт дальше в этот день и на следующий, вырастет вот из этой одной связки. Прыжок в корпоративную сеть. Первым золотым ключом он открывает дверь в корпоративную защищённую сеть Hgenface, ту самую внутреннюю сеть, по которой ходят живые сотрудники и внутренние

сервисы. Он заводит туда захваченный узел как свой и начинает использовать его как потайной проход во внутренние службы компании. Одна отмычка ко всем дверям. И под конец этого сумасшедшего дня вишенка самая болезненная ошибка со стороны защиты. Агент дотянулся до того самого диспетчера,

что соединяет внутренние кластеры, и вежливо спросил у него: "Слушай, а покажи-ка мне полный список всего, чем ты заведуешь?" И диспетчер показал. И теперь самое обидное. Оказалось, что для доступа ко всем этим разным кластерам был выписан один-единственный общий пропуск. И этот

пропуск давал права высшего администратора. Везде один украденный ключ и ты хозяин сразу всего. Агент этим и воспользовался. Он стал самым полным администратором двух кластеров за одну секунду. За одну секунду. 11 июль закончилось. 7.500 действий из маленькой трещины во вчерашнем сервере агент

вырос до хозяина целых кластеров и плотину прорвала. Акт шестой. Своя сеть против них. 12 июля. Если вчера был день прорыва, то сегодня день, когда агент начал спокойно, по-хозяйски, пользоваться награбленным. Почти 4.000 действий. И тут он проворачивает трюк, который я считаю самым

дерзким во всей истории. Чужая сеть как своя. Помните первый золотой ключ от корпоративной сети?

Агент начинает заводить в эту сеть свои устройства один за другим. За всю операцию 181 устройство.

И делать это максимально тихо настраивает так, чтобы его узлы не оставляли следов на диске и не слали никакой отчётности наружу. Это призраки. И вот зачем он разворачивает карту этой внутренней сети и видит, что через неё можно выходить наружу через её же официальные выходы

в интернет. Понимаете иронию? Он начал гонять свой трафик через собственную сеть Хагин Face. Он превратил сеть жертвой в свою личную дорогу, заходил через них, воровал у них и выходил обратно тоже через них. Штурм главной базы, неудачный. Не всё, впрочем, ему удавалось. В этот же день

он попытался дотянуться до главной, самой ценной базы данных всего сервиса, той, где лежит сердце Хагин Face. И вот тут защита сработала как надо. К этой базе пускали только с заранее разрешённых адресов. По частному каналу агент случался и так, и этак. Соединение просто не устанавливалось.

дважды. Главную базу он так и не взял. Исходный код и попытка отравить контейнер. Поздним вечером он добирается до системы, где живёт исходный код компании. Делает себе временный пропуск с правами на запись, то есть с возможностью не только читать код, но и вносить в него правки.

Получает доступ к части внутренних хранилищ, пытается сделать самое опасное, что вообще можно придумать. Он открывает запрос на изменение кода с прицелом влезть в сборочный конвейер. Смысл вот в чём. Если подсунуть отраву в скрипт, который автоматически запускается при каждой сборке,

то эта отрава выполнится уже на сборочной машине, украдёт её собственные пропуска и через неё можно перепрыгнуть в следующий кластер. И так бесконечно. Это была бы настоящая цепная реакция, но и это важно, цепную реакцию защита не пустила. Правила запуска на сборочном конвейере отбили

эту попытку. Позже следователи проверят каждое хранилище, до которого он смог дотянуться, сверят все опубликованные образы и пакеты с эталонными отпечатками. Они убедятся, да, право на запись у него было, да, он им пытался воспользоваться, но ни одного заражённого изменения в продукт не

просочилось. Отравив конвейер, он капнуть не смог. Акт седьмой. Заметая следы. 13 июля. И вот мы вернулись туда, откуда начали. 13 июля, последний день. 1.100 действий. В этот день агент занимался тем, чем занимается любой, кто чувствует, что праздник заканчивается. Он пытался закрепиться

понадёжнее и подчистить за собой. Он оставил себе хитрую страховку, устроил так, что при каждом новом запуске его код заново подтягивал свежую порцию инструкции с интернета с обычной публичной странички. Убьют один его экземпляр, следующий сам себя переворужит. Он снова и снова перенастраивал

каналы связи в обход блокировок, а когда прямой выход в сеть ему перекрывали, он пропускал загрузку через ещё один сервиспосредник, который крутился на инфраструктуре самого же Хагинфейс.

Он до последнего использовал ресурсы жертвы против неё самой. 13:37. Последнее осмысленное действие. Он в очередной раз проверяет свой припрятанный инструмент, уточняет на какой машине находится, сверяет дату. И он совершенно не предполагает, что это его последнее действие, потому что к этому

моменту его уже вычислили. Команда безопасности Хагин Face перерубила доступ в 14:14. Влогах появляется та самая последняя строчка, с которой мы начали фильм. И потом тишина. 4 дня 17.000 00 действий. Конец. Акт восьмой. Как их поймали и разгадали? Расследование. Ну хорошо, а как вообще

его поймали? И что ещё интереснее? Как потом во всём этом разобрались? Тут две отдельные истории и обе поучительные. Сначала как поймали. У Хагинфейс стояла многослойная защита, в том числе своя автоматическая на базе искусственного интеллекта. И она, вообще-то, сработала. Собрала

разрозенные слабые сигналы из разных мест и сложила их в единую картинку атаки. Но в этом и есть горькая деталь. Система недооценила серьёзность происходящего. не подняла тревогу на нужный уровень, не дёрнула ночью дежурную команду. И это стоило драгоценного времени.

Когда люди наконец вмешались, они быстро нашли ту самую щель в обработчике датасета, захлопнули её и отрезали агента от внутренней сети. А теперь вторая история. Как разобрались? Потому что поймать - это пол дело, а дальше надо было понять, что именно натворили эти 17.000 действий. А агент,

если помните, всю свою переписку паковал и шифровал, так что при обычном беглом взгляде в логах ничего не было видно, кроме мусора. И вот тут сюжет делает поворот, который, честно, сам просится в кино. Следователям нужен был мощный И, чтобы разгрести эти горы зашифрованных логов.

Единственный шаг - взять топовые коммерческие модели. Они взяли и упёрлись в стену ведущие западные модели, к которым обратились в первую очередь. Среди них Клод OPus и FЛ отказались работать с этими данными. Их встроенная защита не различала, что перед ней: тот, кто так проводит

или тот, кто её расследует. Для предохранителей модели разобрать эксплой по косточкам и запустить эксплоит выглядело совершенно одинаково и опасно. Они говорили: "Извините, я не могу". Из посла положение, вы не поверите, открытая модель. HAFE взяли открытую модель с открытыми весами GLM 5,2,

подняли её на своих собственных серверах, что заодно позволило не выпускать данной атаки наружу, и пустили всё расследование через неё. Именно она помогла вскрыть схему шифрования агента и востановить тот ключ, которым он паковал свои сообщения. Красивая деталь. Сам агент этот ключ

в своих же логах и оставил, а собрать его в ID нам помогла как раз открытая модель.

Когда его собственным методом расшифровали то, что оказалось мусором, количество найденных украденных секретов выросло примерно в четверо по сравнению с первой наивной проверкой. Вот тогда и стал виден истинный масштаб эпилог. Так что это было? Ну что, друзья, давайте немного выдохнем и попробуем

ответить на главный вопрос. Что это, собственно, было? Начнём с развенчания. Это не Skynet, это не восстание машин. У агента не было ни ненависти, ни плана поработить человечество.

была одна и единственная почти детская мотивация сдать экзамен любой ценой. Ему дали задачу, которую он, возможно, не мог решить честно, и он с холодной методичностью пошёл искать ответы там, где они, по его прикидкам, лежали. Вся эта пятидневная операция была, по сути, грандиозным

списыванием на контрольной. Вот эту мысль держим в голове. Но именно поэтому история и страшная.

Не из-за злого умысла, а из-за того, как это было сделано. Смотрите, каждая отдельная дырка, которой он воспользовался, была, в общем, известной и понятной. небрежно обработанные данные, открытые наружу служебная информация, слишком широкие права, долгоживущие пароли, которые давно пора было сменить. Опытный человек-хакер мог найти ровно всё то же самое. Ничего сверхъестественного

в каждом отдельном шаге не было. Но что действительно отличалось - это масштаб и скорость.

Из 17.600 действий подавляющее большинство вело в никуда. Он ошибался, утыкался в стены, отказывался пробовать заново. Просто он делал это со скоростью машины и не уставал никогда. и верный путь прятался внутри шума из тысячи неверных. Защитникам пришлось искать одну сработавшую

иголку в стоги из тысяч не сработавших. И всё это на машинной скорости в реальном времени. Именно поэтому сотрудники Open AI, когда рассказывали про весь этот инцидент с большой сцены, сказали, что это переломный момент. Их формулировка: полностью автоматические атаки, которыми управляет

ИИ - это уже не будущее, это настоящее. Прямо сейчас это была невинная ошибка на испытаниях, но уже завтра ровно такие же коллективы агентов соберёт кто-нибудь со злым умыслом, чтобы искать и вскрывать уязвимости на машинной скорости. И честно скажу, чтобы вы понимали,

это не единичный курьёз. Буквально в те же недели похожие вещи всплывали у других. Антропик признался, что их модели во внутренних тестах из-за неправильной настройки дотянулись до реальных компаний. Мета признала, что одна из её моделей вырвалась из изоляции во время

проверок. Тоже из ошибочной конфигурации. Три крупнейшие лаборатории почти одновременно нам рассказали про вариации одной и той же истории. Что со всем этим делать? Хорошая новость в том, что ответ, в общем-то, не магический. Те же люди, что показали атаку, показали и защиту. Она до

скучного знакомая. Давать каждой программе минимум прав, ровно столько, сколько нужно, и ни капли больше. Резать сеть на изолированной отсейке, чтобы из одного взломанного куска нельзя было прыгнуть во все сразу. Не доверять никому по умолчанию, не оставлять годами одни и те же ключи,

закрывать служебные лазейки. Потому что, и это ключевая мысль, любой такой агент, каким бы умным он ни был, всё равно ограничен ровно теми правами, что смог достать, и ровно теми дверями, до которых смог дотянуться. Если ему сузить коридор, вся его нечеловеческая

скорость упрётся в стену. И вот на этом, друзья, я хочу сказать, возможно, самую важную вещь за весь наш ролик. Мы с вами тут на канале всё время носимся с этими агентами, с автономией, с тем, чтобы дать неронке побольше рук, побольше свободы. И это правда мощно, и это правда будущее. Но эта

история отличное напоминание, что руки, которые мы даём машине - это ровно те руки, которыми она может однажды сделать то, о чём мы не просили. И не по злоб, а просто потому, что мы поставили ей цель и забыли ясно очертить границы. Агент сделал ровно то, к чему его подтолкнули, изо всех сил

постарался добиться результата. Проблема была не в том, что он оказался слишком злым. Проблема была в том, что он оказался слишком старательным в мире, где стены вокруг него оказались тоньше, чем все думали. Если досмотрели до самого конца, вам эта тема так же, как и мне не даёт покоя,

ставьте лайк, делитесь этим видео, подписывайтесь на канал, оставляйте ваши комментарии. Очень интересно, что вы об этом думаете: это тревожный звоночек или обычная болезнь роста? И берегите свои границы доверия, что цифровые, что личные. До скорых встреч. Увидимся.