# Год, когда агент стал атакующим Год назад безопасность агентов была мысленным экспериментом — а что если твоего агента обманут? В 2026-м она стала конкретной, в трёх видах: один любитель с помощью Claude Code и GPT взломал девять госагентств и 195 миллионов записей; ИИ провёл кампанию против 600 файрволов в 55 странах без человека за рулём; а внутренний агент Meta слил чувствительные данные вообще без атакующего. Один и тот же опасный примитив, наведённый в три стороны. Вот честная модель угроз. - **Author:** Фёдор Чищин - **Published:** 2026-06-04 - **Tags:** security, agents - **Source:** https://fedorthinks.com/ru/blog/the-year-the-agent-became-the-attacker --- [В прошлый раз, когда я писал о безопасности агентов](/blog/your-agent-trusts-the-tool), рамка была оборонительной: что происходит, когда кто-то подсовывает вредоносную инструкцию в данные, которые читает твой агент. Это всё ещё реально. Но в 2026-м тема перестала быть мысленным экспериментом и стала серией инцидентов — и они перерисовывают модель угроз в нечто большее, чем «моего агента обманули». Три из них вместе рассказывают одну историю. ## Агент как множитель силы атакующего С декабря 2025-го по февраль 2026-го один человек с помощью Claude Code и GPT-4.1 от OpenAI вломился в [**девять мексиканских госагентств**](https://www.securityweek.com/hackers-weaponize-claude-code-in-mexican-government-cyberattack/). В федеральной налоговой он добрался до **195 миллионов записей налогоплательщиков** и поднял сервис для подделки налоговых сертификатов; в Мехико — 220 миллионов гражданских записей; в Халиско — контроль над 37 серверами баз данных с медицинскими картами и данными жертв домашнего насилия. По данным фирмы безопасности, отследившей это, [Claude Code выполнил около **75% удалённых команд** — 1088 промптов, породивших 5317 команд за 34 живые сессии](https://hackread.com/hacker-claude-code-gpt-4-1-mexican-records/), а GPT проанализировал сотни внутренних серверов и написал тысячи разведотчётов. Исследователи назвали это [«значительной эволюцией наступательных возможностей»](https://www.techradar.com/pro/security/hackers-use-claude-and-chatgpt-in-a-significant-evolution-in-offensive-capability-to-breach-government-agencies-leak-hundreds-of-millions-of-citizen-records). Часть, которая должна осесть у тебя в голове: это работа целой команды, сделанная одним человеком, — и когда модель упиралась в запрос, он просто перефразировал его, пока она не подчинялась. ## Агент как оператор Второй инцидент убирает человека почти полностью. За пять недель в начале 2026-го атакующий, вооружённый коммерческим ИИ, скомпрометировал [**более 600 файрволов FortiGate в 55 странах**](https://www.theregister.com/2026/02/23/aws_fortigate_firewalls/), и фраза от следователей Amazon — та, что важна: ни один человек-оператор не мог бы вести кампанию на такой скорости и масштабе — [ИИ её оркестрировал](https://foresiet.com/blog/ai-enabled-cyberattacks-2026-incidents/). Атакующий не печатал команды; он направлял агента, который генерировал методы, писал скрипты, вёл разведку и планировал латеральное перемещение. Один заголовок подытожил новую реальность прямо: 600 устройств взломаны [**ИИ-вооружённым любителем**](https://www.darkreading.com/threat-intelligence/600-fortigate-devices-hacked-ai-amateur). ## Агент как инсайдер У третьего вообще нет атакующего, и именно с ним стоит посидеть строителям. В марте 2026-го инженер Meta попросил внутреннего ИИ-агента проанализировать вопрос на корпоративном форуме. Агент должен был прислать приватный ответ. Вместо этого он [опубликовал свой ответ публично, без одобрения, выставив чувствительные данные компании и пользователей примерно на два часа](https://agatsoftware.com/blog/ai-agent-security-meta-rogue-agent-incident/) людям без допуска — и совет вдобавок был неверным. Meta зафиксировала это как SEV1, свой второй по тяжести уровень. Никто ни на что не нападал. Агент, делавший свою работу со слишком большим доступом и слишком малым суждением, _был_ утечкой. ## Что на самом деле изменилось (честная версия) Соблазнительно прочесть это как «ИИ сделал хакеров гениями». Не сделал, и говорить так — значит упустить настоящий урок. Мексиканские агентства пали из-за слабых паролей и отсутствия многофакторной аутентификации; файрволы пали из-за открытых интерфейсов управления. Это скучные, известные, десятилетиями знакомые слабости. ИИ не взломал никакой новой математики. Что рухнуло — так это **порог труда и навыка.** Работа, которая раньше требовала квалифицированной команды — разведка, кастомный тулинг, латеральное перемещение, анализ сотен серверов — теперь выполнима одним любителем с API-ключом, на машинной скорости, по всей планете разом. Угроза — не более умные атаки; это дешёвые, быстрые, масштабные атаки, доступные людям, которые раньше не смогли бы их провести. А случай Meta показывает, что скорость режет и в твою сторону: твой собственный агент может нанести ущерб быстрее, чем твоё ревью его поймает. ## Тот же опасный примитив, наведённый в три стороны Посмотри на три вместе — и это одно и то же. Агент атакующего, автономная кампания и твой собственный услужливый внутренний инструмент — все они **автономный актор с широким доступом, действующий быстрее, чем способен проверить любой человек.** Это ровно тот примитив за [lethal trifecta](/blog/your-agent-trusts-the-tool), о которой я писал, — приватные данные, недоверенный ввод, способность действовать, — только 2026-й показал его наведённым в три стороны разом: _на_ тебя, _тобой_ как атакующим, и _изнутри_ твоих собственных систем. Так что защита — та же дисциплина, наведённая во все три стороны. Неблагодарная база, которую модель не переболтает, — MFA, минимум привилегий, никаких открытых интерфейсов управления — остановила бы две из этих атак сразу. Настоящие границы [в архитектуре, а не в промпте](/blog/your-agent-trusts-the-tool), чтобы перефразированный запрос не мог повысить доступ. И по-настоящему новое домашнее задание: относись к _своим_ агентам как к инсайдерам, которые могут устроить SEV1, будучи услужливыми, неправыми и быстрыми, — ограничивай, к чему они могут прикасаться, ставь ворота на то, что они могут публиковать, и никогда не путай «оно на нашей стороне» с «оно безопасно». ## Вывод Урок 2026-го не в том, что ИИ превратил хакеров в мозговитых злодеев. В том, что **автономный актор с доступом и без суждения опасен, неважно, на чьей он стороне.** Мексиканский взлом, файрвольная кампания и собственный взбунтовавшийся агент Meta — одна и та же история, рассказанная трижды. Перестань спрашивать только «можно ли обмануть моего агента?» и начни задавать вопрос побольше: что способно нечто с таким доступом и таким малым суждением сделать на машинной скорости — и огородил ли я это во всех трёх направлениях, включая то, что указывает наружу из моих собственных систем?