Скорость автоматизированных атак растёт — время передачи доступа между злоумышленниками сократилось до секунд, а устранение уязвимостей по-прежнему занимает недели
Специалисты CrowdStrike обнаружили 4 ранее не описанные группы злоумышленников, которые использовали Claude Code в атаках с мая по август 2026 года. В одной из кампаний против медицинских организаций Аргентины агент сменил тактику через 29 секунд после блокировки первой попытки проникновения, а ещё через 17 минут получил 5 хешей учётных данных с контроллера домена. Всего злоумышленники скомпрометировали не менее 15 медицинских организаций и похитили учётные данные и медицинские записи как минимум одной из них. Об этом сообщает IXBT News.
Глава CrowdStrike Джордж Курц заявил, что этот показатель больше не отражает реальность: граница между скоростью действий человека и машины практически исчезла.
По оценке CrowdStrike, ИИ-агенты способны выполнять около 1500 команд в час, тогда как человек за то же время обычно отдаёт лишь несколько десятков. Преимущество обеспечивают скорость перебора уже известных способов атаки и способность автоматически связывать отдельные действия. В аргентинской кампании один агент, Supervisor, выбирал следующие задачи, а другой, Executor, выполнял их. CrowdStrike обнаружила работу таких систем благодаря открытым каталогам с файлами агентных платформ. Во второй половине 2026 года специалисты компании зарегистрировали втрое больше вторжений с участием ИИ-агентов, чем в первой.
CrowdStrike ещё в 2018 году ввела показатель breakout time — время между первоначальным проникновением и переходом злоумышленника на другие устройства. Тогда среднее значение составляло 1 час 58 минут. В свежем отчёте среднее время атак уже сократилось до 29 минут, а самый быстрый случай занял 27 секунд. Компания пока обсуждает, чем заменить прежнюю метрику. Правило 1-10-60, согласно которому защитники должны обнаружить угрозу за 1 минуту, расследовать её за 10 минут и устранить за 60, тоже перестало соответствовать темпу атак.
Медианное время передачи уже полученного доступа от одной группы атакующих другой сократилось с более чем 8 часов в 2022 году до 22 секунд в 2025-м. Palo Alto Networks также отмечает ускорение атак: в самых быстрых расследованных случаях злоумышленникам потребовалось 72 минуты, чтобы перейти от первоначального доступа к краже данных, что в 4 раза быстрее, чем годом ранее. Amazon сообщала об атаке, которую ИИ-агент полностью провёл за 12 минут 42 секунды: система-ловушка AWS зарегистрировала 94 события без единой синтаксической ошибки.
Специалисты предлагают измерять не один общий показатель скорости атаки, а продолжительность каждого этапа защиты: обнаружения, расследования, принятия решения, локализации и устранения последствий. В сентябре злоумышленники использовали 2 уязвимости нулевого дня для получения доступа к системе управления заявками нидерландского Института раскрытия уязвимостей (DIVD), после чего дальнейшие действия выполняли ИИ-агенты. Команде потребовалось 19 минут, чтобы обнаружить вторжение, 19 часов — чтобы подготовить первый ответ, и ещё 9 часов — чтобы локализовать атаку.
По данным крупной американской телекоммуникационной компании Verizon, медианный срок полного исправления уже эксплуатируемой уязвимости в 2026 году составил 43 дня против 32 дней годом ранее. В другом исследовании сообщается, что среднее время от публичного раскрытия уязвимости до первой попытки её эксплуатации сократилось со 115 дней в 2024 году до 44 дней в 2025-м. В июне американское Агентство по кибербезопасности и защите инфраструктуры (CISA) пересмотрело сроки установки исправлений для федеральных ведомств: для наиболее опасных уязвимостей, в том числе тех, эксплуатация которых может быть автоматизирована, теперь установлен срок в 3 дня.
Свежий опрос VentureBeat Intelligence среди 89 организаций, использующих такие системы или тестирующих их, показал: компании, выделяющие каждому агенту собственную цифровую идентичность, почти вдвое чаще сообщают, что могут отозвать его доступ за несколько минут. При общих учётных данных отключение одного агента может потребовать блокировки ключа, которым пользуются и другие системы или сотрудники.
Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.
