Агенти для програмування на базі штучного інтелекту дедалі частіше виконують дії, які корпоративні системи безпеки сприймають як ознаки кібератак. Дослідження показало, що їхня поведінка все більше нагадує дії реальних зловмисників, хоча самі інструменти не є шкідливими.
Фахівці Sophos X-Ops протягом семи днів аналізували телеметрію популярних AI-агентів для кодування, серед яких Claude Code, Cursor і Codex. За цей час системи регулярно фіксували активність, що відповідала технікам із бази MITRE ATT&CK, зокрема під час виконання команд, роботи з обліковими даними та дій, пов’язаних з обходом механізмів захисту.
Один з інженерів, коментуючи результати дослідження, зазначив:
«Вашому засобу захисту кінцевих точок байдуже, чи ризиковану команду виконав штучний інтелект. Claude Code, Cursor і Codex уже помічалися на операціях із browser authorization, cmdkey, certutil і bitsadmin. Краще змусити агента спочатку запитувати дозвіл».
Дослідники наголошують, що це не означає, ніби AI-агенти поводяться як шкідливе програмне забезпечення. Проблема полягає в іншому: з точки зору поведінкового аналізу багато їхніх дій практично неможливо відрізнити від активності справжнього нападника.
Як зазначають у Sophos, із погляду механізмів поведінкового аналізу кінцевих точок частина такої активності нічим не відрізняється від дій, які регулярно спостерігаються під час реальних атак.
Під час роботи AI-агенти регулярно виконують операції, які давно вважаються потенційно небезпечними:
запускають термінал;
виконують команди PowerShell;
встановлюють програмні пакети;
масово змінюють файли;
проходять автентифікацію в хмарних сервісах;
отримують доступ до облікових даних.
Усі ці дії є звичайною частиною автоматизованої розробки програмного забезпечення. Водночас саме такі прийоми часто використовують кіберзлочинці на початкових етапах проникнення в мережу. Через це правила, які раніше майже завжди спрацьовували лише під час шкідливої активності, дедалі частіше реагують і на легітимну роботу AI-агентів. У Sophos зазначають, що поки масштаб явища невеликий, але тенденція вже добре помітна.
Головний технічний директор DataBee Скотт Мізерендіно каже, що такі результати не стали несподіванкою. За його словами, виробники EDR-рішень давно стикаються з програмами, які поводяться схоже на шкідливе ПЗ, тому використовують комбінацію відстеження процесів, поведінкового аналізу та механізмів довіри, щоб скоротити кількість хибних спрацювань.
На його думку, головне питання зараз полягає в тому, чи встигатимуть системи захисту адаптувати свої правила виявлення в міру того, як AI-агенти отримуватимуть дедалі більше можливостей. Водночас організаціям доведеться визначити, які саме дії таким агентам дозволено виконувати на робочих станціях і які технічні обмеження мають забезпечувати дотримання цих правил.
Попри нові виклики, експерти бачать і позитивний бік ситуації. Навіть якщо компанії почнуть додавати перевірених AI-агентів до списку довірених, характерні шаблони їхньої поведінки можуть стати окремим джерелом телеметрії для команд кіберзахисту. Це допоможе виявляти використання штучного інтелекту навіть тоді, коли користувачі або зловмисники намагатимуться приховати його застосування.
У Sophos вважають, що системи виявлення загроз доведеться перебудовувати з урахуванням появи автономних AI-агентів. Частину правил необхідно адаптувати під характерні сигнатури таких інструментів, але деякі сповіщення повинні залишатися без змін, навіть якщо вони частіше викликатимуть хибні спрацювання.
Дослідники наголошують, що окремі дії залишаються небезпечними незалежно від того, хто їх виконує. Наприклад, розшифрування облікових даних браузера через PowerShell, створення дампів Credential Manager, запис до папок автозавантаження або перебір різних LOLBin-інструментів мають і надалі вважатися ризикованою активністю. Сам факт, що такі операції виконує AI-агент, не робить їх безпечними.
