ИИ-агент прошёл от плагина до диска топ-менеджера: защита поймала 14 шагов из 15

⚡ Главное за 5 секунд

• Positive Technologies прогнала RedTeam ИИ-агента по корпоративной сети: он дошёл от уязвимого плагина на веб-сервере до диска топ-менеджера.
• Комплекс ML/AI-защиты на базе MaxPatrol SIEM заметил 14 шагов из 15 — без правил, написанных под конкретные инструменты.
• Автор теста сам предупреждает: один сценарий, одна лаборатория, за её пределами выводы не работают.

🔍 Что случилось

Ведущий эксперт PT ESC Алексей Потапов описал эксперимент в лаборатории. ИИ-агент RedTeam получил задачу — добраться до документов топ-менеджера небольшой компании через корпоративную сеть. Маршрут: уязвимый плагин на веб-сервере, потом почтовый сервер, контроллер домена, хост руководителя. На последнем шаге агент посмотрел содержимое диска. Весь путь занял несколько часов, шёл по подсказкам оператора, а на трёх захваченных серверах агент поднял туннели и дальше двигался через них.

Защита выглядела так. Модуль MaxPatrol BAD (Behavioral Anomaly Detection) собирает, нормализует и отбирает аномалии — отклонения от обычного поведения процессов и пользователей. Это индикаторы поведения, IoB. Дальше в дело вступает HackTracker: ML-классификатор поверх BAD, он выдаёт True или False. Конкретных инструментов классификатор не знает, объяснений к вердикту не даёт — модель намеренно оптимизировали под точность. Объяснять вердикт помогает ИИ-помощник PT Naira: аналитик выбирает цепочку процессов, а Naira сводит события в разбор. Всего в тесте участвовали четыре компонента, четвёртый в доступном фрагменте статьи не назван.

Главная мысль автора: правила под конкретный инструмент, технику или строку в логе больше не спасают. Агент меняет инструменты, имена файлов, порты и обфускацию на лету. А поведенческий след остаётся почти на каждом шаге. Отдельно Потапов оговаривает, что LLM не тянет сырой поток событий SIEM — ей нужен префильтр, который сузит контекст. И что не каждая аномалия означает атаку: администрирование, изменения в инфраструктуре и редкие легитимные сценарии выглядят похоже.

🧠 Наш разбор

Мне этот тест интересен не цифрой 14 из 15, а сменой логики. Раньше SOC жил на правилах: вот инструмент, вот его строка в логе, вот детект. Против агента такая схема разваливается — пока аналитик пишет правило, агент уже взял другой инструмент. Похоже на попытку перевести обнаружение с примет на повадки. Наша оценка: направление верное, потому что приметы ИИ-агент подделывает быстрее, чем повадки.

Что это меняет для людей. Нагрузка на аналитика первого уровня вырастет: поток событий никуда не денется, а разбирать вердикты ML-модели без объяснений — навык другой. Именно поэтому в схеме есть Naira: не чтобы заменить человека, а чтобы дать ему текст вместо True/False.

Кто выигрывает. Вендоры, у которых есть и SIEM, и ML-слой внутри одного продукта — им проще показать такую связку в демо. Проигрывают, по нашей оценке, команды, которые держат детект на самописных правилах и SigMA-подобных наборах: их придётся перестраивать. Но честная оговорка: тест ставил вендор на своём продукте, и это меняет цену вопроса.

⚠️ Чего мы не знаем

Нет главного для практики: доли ложных срабатываний, числа событий до и после префильтра, времени реакции на шаг. Автор сам пишет, что это один сценарий в одной лаборатории, и в конце статьи объясняет, чего результат не доказывает — этот кусок в доступном фрагменте не раскрыт. Ещё нюанс: агент шёл по подсказкам оператора. Насколько автономной была атака — вопрос открытый, и без ответа на него «ИИ против ИИ» легко превращается в «человек с продвинутым скриптом против ML-модели». Проверять стоит на независимых тестах, а не на вендорских.

Прогноз: в течение квартала выйдет минимум один публичный отчёт другого вендора SIEM с похожим сценарием «ИИ-агент против ML-защиты». Метрики ложных срабатываний раскроют не все — по лентам ИБ это будет видно.

Источник: Habr / Positive Technologies