Microsoft заявила, что киберпреступники пока быстрее специалистов по безопасности осваивают искусственный интеллект. Злоумышленники используют ИИ, чтобы ускорить поиск уязвимостей, разработку вредоносного ПО и действия после проникновения в системы, тогда как команды защиты не всегда успевают адаптироваться к этим изменениям.
Об этом говорится в отчете Microsoft Digital Defense Report 2026, значительная часть которого посвящена влиянию ИИ на наступательные и защитные операции в сфере кибербезопасности.
По данным Microsoft, ИИ сокращает время, уровень знаний и затраты, необходимые для поиска и эксплуатации уязвимостей. При этом технологии ИИ позволяют как злоумышленникам, так и специалистам по защите действовать быстрее, масштабнее и более автономно.
В Microsoft считают, что со временем защитники тоже смогут получить сопоставимые преимущества от этой технологии. Пока же, по оценке компании, преимущество остается на стороне злоумышленников:
Хотя в конечном итоге баланс между атакующими и защитниками, вероятно, восстановится, в ближайшее время мы находимся в периоде, когда злоумышленники первыми получают преимущества, а защитникам придется действовать гораздо быстрее, чтобы сократить отставание.
Особенно заметно это в исследованиях уязвимостей. По данным Microsoft, инструменты на базе ИИ все чаще позволяют находить уязвимости быстрее, чем защитники успевают их устранять.
Microsoft предупреждает:
Устранение уязвимостей по своей природе происходит значительно медленнее, чем их обнаружение. В частности, во многих системах нет надежного модульного и интеграционного тестирования, поэтому разработчики не могут быстро внедрять изменения в код.
Это означает, что мир, вероятно, столкнется с многолетним периодом, когда резко вырастет число известных, но еще не исправленных уязвимостей. Хорошо подготовленные и обеспеченные ресурсами злоумышленники смогут накапливать большое количество уязвимостей нулевого дня, обнаруженных с помощью таких методов.
Microsoft также отмечает, что медианное время между обнаружением уязвимости в реальных атаках и созданием рабочего эксплойта сократилось до «значительно менее 24 часов». Из-за этого у организаций остается еще меньше времени на установку исправлений до того, как уязвимость начнут использовать злоумышленники.
Помимо поиска уязвимостей, атакующие применяют ИИ для создания адаптированного вредоносного ПО и ускорения действий после взлома. В частности, речь идет о краже данных, поиске секретов и учетных данных, а также перемещении внутри скомпрометированной сети – операции, которые раньше занимали дни, теперь могут выполняться за минуты.
По данным Microsoft, ИИ также позволяет автоматизировать значительную часть цепочки атаки при минимальном участии человека. Одновременно менее опытные киберпреступники получают доступ к возможностям, которые раньше требовали гораздо более высокой квалификации.
Компания также отмечает, что ИИ дает преступным группировкам возможности, которые раньше были характерны для более продвинутых злоумышленников, в том числе хакерских групп, связанных с государствами. Microsoft поясняет:
Для технически подготовленных злоумышленников ИИ обеспечивает беспрецедентную скорость, масштаб и возможность адаптировать атаки под конкретные цели, сокращая отдельные этапы атаки с дней до секунд.
Для менее опытных злоумышленников масштабирование с помощью ИИ делает доступной такую устойчивость атак, которая раньше была фактически прерогативой разведывательных служб. Кроме того, возможность адаптировать атаки под конкретные цели – особенно методы социальной инженерии для фишинга и мошенничества – вероятно, повысит их эффективность.
ИИ становится инструментом хакерских группировок, связанных с властями
Microsoft сообщает, что хакерские группировки, связанные с государствами, уже используют ИИ в реальных операциях. С его помощью они ускоряют исследования, разработку вредоносного ПО, социальную инженерию и другие этапы атак.
Некоторые китайские группировки, связанные с государственными структурами, применяют ИИ-инструменты для поиска уязвимостей и изучения способов их эксплуатации. При этом они по-прежнему используют фишинг и трояны удаленного доступа.
По данным Microsoft, северокорейские удаленные ИТ-специалисты используют ИИ для создания и развития вымышленных личностей, социальной инженерии и сохранения доступа к инфраструктуре организаций. Другие северокорейские группировки применяют ИИ для разработки вредоносного ПО и управления инфраструктурой атак.
Microsoft сообщает, что некоторые из этих хакеров также используют агентные сценарии и код, сгенерированный большими языковыми моделями, чтобы ускорить развертывание вредоносного ПО. Эти кампании похожи на ранее зафиксированные атаки северокорейских хакерских группировок, связанных с властями страны.
Хотя ИИ уже стал мощным инструментом для ускорения подготовки и проведения атак, Microsoft предупреждает, что кибератаки пока не стали полностью автономными. По данным компании, в большинстве реальных кампаний люди по-прежнему выбирают цели, принимают решения и выполняют наиболее сложные этапы атаки.
В большинстве наблюдаемых кампаний по-прежнему сохраняется управление со стороны человека, даже несмотря на то, что передовые системы уже демонстрируют сквозную автономность в лабораторных условиях и в отдельных ранних примерах реального применения.
Один из таких ранних примеров описан в сентябре: модель Gemini в ходе проверки вышла за пределы тестовой среды и самостоятельно получила доступ к системам трех компаний.