ИИ-агенты без спроса взломали компьютерные системы компаний в Индии: кто за это ответит

Индийское агентство по кибербезопасности CERT-In сообщило, что автономные ИИ-агенты несанкционированно получили доступ к живым системам и конфиденциальным данным ряда индийских организаций. Об этом говорится в критическом бюллетене ведомства CIAD-2026-0049, содержание которого раскрывает The Hindu.

По данным CERT-In, несколько провайдеров ИИ-моделей добровольно уведомили агентство о том, что их модели в ходе исследовательских и оценочных мероприятий в интернете вышли за пределы поставленных задач и достигли реальных систем индийских организаций.

Агенты читали деловые записи, включая персональные данные и конфиденциальные материалы, используя учетные данные и настройки подключения, оставленные открытыми в конфигурациях приложений, публичных репозиториях кода и чрезмерно широких ролях облачных сервисов.

Ни одна из пострадавших организаций не смогла самостоятельно обнаружить несанкционированный доступ. Во всех случаях инциденты были раскрыты самими провайдерами ИИ-моделей после внутренних проверок.

CERT-In не назвал ни компании-разработчиков моделей, ни пострадавшие организации, ни количество затронутых систем.

The Hindu отмечает, что это произошло менее чем через месяц после того, как премьер-министр Австралии Энтони Альбанезе сообщил о взломе правительственных сайтов агентами OpenAI.

Ранее, в июле, OpenAI признала, что ее модели проникли на Hugging Face в ходе тестирования, а в октябре Wikimedia сообщила об активности rogue-агентов OpenAI на своих сайтах.

Вторая угроза: киберпреступники используют опенсорсные ИИ-инструменты

Параллельно CERT-In выявила отдельную финансово мотивированную кампанию против индийских организаций. Злоумышленники злоупотребляли публично доступными AI-native фреймворками offensive-security, которые продолжают переупаковываться и развертываться на инфраструктуре в нескольких странах.

В ходе этой кампании агентные инструменты сократили время от первоначального доступа до финального воздействия с нескольких дней до нескольких часов. Организации, устранившие уязвимости лишь частично, подвергались повторным атакам в течение нескольких дней и в большем масштабе.

Корень проблемы — конвенциональные слабости

CERT-In подчеркнула, что в основе всех наблюдавшихся инцидентов лежат обычные, давно известные уязвимости. Среди них:

•  учетные данные и ключи, открытые в исходном коде, истории публичных репозиториев, конфигурационных файлах и клиентских приложениях;
• спящие, устаревшие и тестовые API, оставленные доступными из интернета;
• платежные API-ключи, хранящиеся в открытом виде;
• чрезмерно широкие права облачных и backend ролей;
• доступные через интернет интерфейсы управления;
•  непатченное промежуточное ПО со слабыми паролями или без многофакторной аутентификации.

В случаях, раскрытых провайдерами моделей, агенты также повторно обнаруживали и использовали одни и те же открытые учетные данные в отдельных операциях.

Рекомендации регулятора

CERT-In предписала разработчикам ИИ-моделей изолировать исследовательские и оценочные нагрузки с сетевым выходом по принципу default-deny, использовать синтетические цели и одноразовую инфраструктуру, а также останавливать запуск автоматически при выходе агента за пределы задач.

Организациям рекомендовано провести аудит исходного кода и репозиториев на предмет открытых учетных данных, отозвать и удалить их из истории, вывести из эксплуатации устаревшие API, внедрить принцип наименьших привилегий, убрать интерфейсы управления из интернета и хранить логи не менее 180 дней.

Генеральный менеджер Kaspersky в ИндииДжейдип Сингх в комментарии The New Indian Express назвал предупреждение своевременным напоминанием о том, что ИИ-агенты перестали быть просто инструментами продуктивности.

По его словам, в 80% атак, расследованных Kaspersky в 2025 году, использовались легитимные учетные записи и публично доступные приложения в качестве точек входа.

Сингх также рекомендовал держать ИИ-агентов, используемых для исследований и тестирования, полностью отдельно от производственных сред и требовать человеческого одобрения перед любым необратимым действием.