# ИИ-агент прошёл от плагина до диска топ-менеджера: защита поймала 14 шагов из 15

> 2026-11-12 · AI Release · @ai_release1

> #ИИ-агенты #кибербезопасность #SIEM #RedTeam #AI #Агенты #PromptInjection #ИИ

### ⚡ Главное за 5 секунд - Positive Technologies прогнала RedTeam ИИ-агента по корпоративной сети: он дошёл от уязвимого плагина на веб-сервере до диска топ-менеджера. - Комплекс ML/AI-защиты на базе MaxPatrol SIEM заметил 14 шагов из 15 — без правил, написанных под конкретные инструменты. - Автор теста сам предупреждает: один сценарий, одна лаборатория, за её пределами выводы не работают. ### 🔍 Что случилось Ведущий эксперт PT ESC Алексей Потапов описал эксперимент в лаборатории. ИИ-агент RedTeam получил задачу — добраться до документов топ-менеджера небольшой компании через корпоративную сеть. Маршрут: уязвимый плагин на веб-сервере, потом почтовый сервер, контроллер домена, хост руководителя. На последнем шаге агент посмотрел содержимое диска. Весь путь занял несколько часов, шёл по подсказкам оператора, а на трёх захваченных серверах агент поднял туннели и дальше двигался через них. Защита выглядела так. Модуль MaxPatrol BAD (Behavioral Anomaly Detection) собирает, нормализует и отбирает аномалии — отклонения от обычного поведения процессов и пользователей. Это индикаторы поведения, IoB. Дальше в дело вступает HackTracker: ML-классификатор поверх BAD, он выдаёт True или False. Конкретных инструментов классификатор не знает, объяснений к вердикту не даёт — модель намеренно оптимизировали под точность. Объяснять вердикт помогает ИИ-помощник PT Naira: аналитик выбирает цепочку процессов, а Naira сводит события в разбор. Всего в тесте участвовали четыре компонента, четвёртый в доступном фрагменте статьи не назван. Главная мысль автора: правила под конкретный инструмент, технику или строку в логе больше не спасают. Агент меняет инструменты, имена файлов, порты и обфускацию на лету. А поведенческий след остаётся почти на каждом шаге. Отдельно Потапов оговаривает, что LLM не тянет сырой поток событий SIEM — ей нужен префильтр, который сузит контекст. И что не каждая аномалия означает атаку: администрирование, изменения в инфраструктуре и редкие легитимные сценарии выглядят похоже. ### 🧠 Наш разбор Мне этот тест интересен не цифрой 14 из 15, а сменой логики. Раньше SOC жил на правилах: вот инструмент, вот его строка в логе, вот детект. Против агента такая схема разваливается — пока аналитик пишет правило, агент уже взял другой инструмент. Похоже на попытку перевести обнаружение с примет на повадки. Наша оценка: направление верное, потому что приметы ИИ-агент подделывает быстрее, чем повадки. Что это меняет для людей. Нагрузка на аналитика первого уровня вырастет: поток событий никуда не денется, а разбирать вердикты ML-модели без объяснений — навык другой. Именно поэтому в схеме есть Naira: не чтобы заменить человека, а чтобы дать ему текст вместо True/False. Кто выигрывает. Вендоры, у которых есть и SIEM, и ML-слой внутри одного продукта — им проще показать такую связку в демо. Проигрывают, по нашей оценке, команды, которые держат детект на самописных правилах и SigMA-подобных наборах: их придётся перестраивать. Но честная оговорка: тест ставил вендор на своём продукте, и это меняет цену вопроса. ### ⚠️ Чего мы не знаем Нет главного для практики: доли ложных срабатываний, числа событий до и после префильтра, времени реакции на шаг. Автор сам пишет, что это один сценарий в одной лаборатории, и в конце статьи объясняет, чего результат не доказывает — этот кусок в доступном фрагменте не раскрыт. Ещё нюанс: агент шёл по подсказкам оператора. Насколько автономной была атака — вопрос открытый, и без ответа на него «ИИ против ИИ» легко превращается в «человек с продвинутым скриптом против ML-модели». Проверять стоит на независимых тестах, а не на вендорских. ### 💬 О чём спорить - Тест в лаборатории вендора на своём же продукте — это доказательство работоспособности подхода или демонстрация для презентации? - Агент шёл по подсказкам оператора. С какого момента такую атаку честно называть автономной — и меняет ли это выводы? - Для SOC важнее точность классификатора или объяснимость вердикта: быстрый True без причины или медленный разбор с текстом? **Прогноз:** в течение квартала выйдет минимум один публичный отчёт другого вендора SIEM с похожим сценарием «ИИ-агент против ML-защиты». Метрики ложных срабатываний раскроют не все — по лентам ИБ это будет видно. **Источник:** Habr / Positive Technologies

[Источник](https://habr.com/ru/companies/pt/articles/1099820/)