CyberStrikeAI: атаки с ИИ на Японию вели 44 агента

TrendAI, подразделение Trend Micro, разобрала три открытых сервера, с которых вели атаки с ИИ на организации в Японии. Платформа ИИ-агентов CyberStrikeAI за короткий период в октябре 2026 года провела проверку не менее чем по 19 организациям, из них не менее 16 в Японии: отчёты одного формата и индексы доказательств собрала машина.

Что TrendAI достала с трёх серверов атакующих

Bakuei Matsukawa и Joseph C. Chen из TrendAI разобрали три открытых серверных окружения. С них вели атаки на организации в Японии. Это три отдельных случая, не одна группировка.

Общего оператора исследователи не видят. Среды они отделяют от кампаний автономного фреймворка пентеста ARTEX, который раньше связывали с целями в Южной Корее и Японии.

На дисках лежали инструменты разведки и атаки, скрипты, списки целей, результаты, журналы и история команд. Среды разные: от рабочего места, где почти всё делает человек, до платформы ИИ-агентов с полным циклом, включая командование и контроль.

Какие модели участвовали, в материале не сказано. Попали ли под ту же схему регионы вне найденных списков, неизвестно. Выводы сделаны только по содержимому серверов, а не по телеметрии жертв.

TrendAI ставит находки рядом с ARTEX и описывает другой набор активности. Инструменты другие, доля автоматизации другая, следы другие. Все удары 2026 года по японским организациям в один кластер по этому отчёту не складываются.

Для первого случая на дисках видна проверка, отчёт и индекс доказательств, а не подтверждённый итог по каждой организации. Для второго описано конкретное проникновение и состав украденного. Для третьего — цели, срок и способ входа, без отдельного списка утечек.

Такие серверы полезнее одиночного образца. Списки, шаблон отчёта и история команд показывают, как оператор отбирает цель и что считает успехом. Отказ входа тоже часть журнала: платформа проверяет пачку адресов.

Исследователи формулируют сдвиг без новой «магии дыр». ИИ увеличил число рук у атакующего. Атакующие по-прежнему ищут незапертые двери. Типы дверей те же. Изменилась способность пробовать тысячи сразу, подстраиваться под язык страны и работать без усталости.

Для периметра в РФ и СНГ японский адрес в отчёте ничего не смягчает. Заводская учётка на GIS и пароль в конфиге краевого устройства остаются дверью. Одинаковый шаблон досье значит, что следующую цель выбирают по открытости, а не по отрасли.

Trend Micro отдельно говорит: дело не в том, есть ли у актора «самая сильная» модель. Доступ к сильной модели уже даёт операционный выигрыш. Как долго, самостоятельно и на каком объёме это держится, решает глубина обвязки — инструменты, списки, отчёты, чужие ключи.

Там же прямая формулировка. Для групп, которые раньше копили экспертизу годами, ИИ уже не эксперимент на стенде, а рабочий узел внутри кампании. Три сервера показывают три глубины этого узла: полный цикл, ускорение человека и подсказка по скрипту.

Как 44 ИИ-агента CyberStrikeAI вели атаки на Японию?

В первом случае оператор поставил открытый инструмент пентеста CyberStrikeAI как платформу агентов. Ей отдали цикл от разведки до отчёта. Активность сжата в короткий период октября 2026 года.

Исследователи уже видели CyberStrikeAI в кампании против межсетевых экранов Fortinet FortiGate. В японском наборе тот же инструмент работает шире одного класса устройств. Имя модели под агентами TrendAI не приводит: по дискам виден каркас, не карточка модели.

Платформа ведёт разведку, поиск и проверку уязвимостей, эксплуатацию, командование и контроль, закрепление, выгрузку данных и автоматические отчёты. Повторяемый процесс, а не диалог аналитика с чатом.

Работу поделили между 44 агентами. У каждого свой кусок цикла, общий результат складывается в один проход. Разведка, проверка, закрепление и отчёт идут с разным темпом. Когда их ведут отдельные агенты, оператор не ждёт, пока один чат додумает следующий шаг.

Платформа умеет собирать формы и поддельные страницы входа на японском. В отчёте это свойство инструмента, а не доказательство отдельной вёрстки под каждую компанию из списка.

Проверку прогнали не менее чем по 19 распознаваемым организациям, не менее 16 из них в Японии. На каждую цель лежит отчёт одного формата и индекс доказательств. TrendAI оценивает это как выход структурированного процесса, а не как пачку заметок оператора.

Оператор этого же случая целился ещё в Тайвань и Гонконг. Японский контур у него не единственный. Однотипный отчёт — удобный признак для защитника: одинаковая последовательность шагов, одинаковые артефакты и пачка целей за короткий срок ближе к платформе, чем к одному человеку с блокнотом.

• Разведка, поиск и проверка уязвимостей, эксплуатация.
• Командование и контроль, закрепление, выгрузка.
• Автоматический отчёт и индекс доказательств на каждую цель.
• Формы и фальшивые страницы входа на японском.
• Не менее 19 организаций, не менее 16 в Японии, плюс Тайвань и Гонконг.

Выгода атакующего — в скорости охвата целей, а не в экзотической уязвимости. Платформе из 44 агентов хватает опубликованной поверхности, слабой учётки и дисциплины, с которой она складывает доказательства.

FortiGate в прошлой кампании и японские организации в этой — разный периметр и один приём. Берут готовый наступательный каркас и гоняют его по списку, а не пишут эксплуатацию с нуля под каждый адрес.

Индекс доказательств атакующему нужен, чтобы решить, куда возвращаться. Если такой артефакт всплывёт у подрядчика или в утечке, защитник видит системную проверку пачкой, по шаблону. Для компаний из японской выборки вопрос уже не в уязвимости нулевого дня, а в том, сколько минут живёт открытый интерфейс управления и кто читает журнал отказов.

Где в двух других случаях модель только ускоряла человека?

Второй случай вёл человек. Языковая модель ускоряла планирование и разработку инструментов. Кампания шла 24 дня в августе и сентябре 2026 года.

По инфраструктуре и артефактам у кампании была ещё одна задача: платформы для ИИ-агентов и сервисы запуска моделей, чтобы дёшево получить много вычислений. Чужой ключ или чужой сервер перекладывает оплату этих вычислений на владельца.

Для компании, которая выставила API модели наружу на время пилота, это прямой счёт за чужие запросы после проникновения. Риск здесь не в «утечке промпта», а в чужих вычислениях по низкой цене на ваш ключ. Если агенты и точки запуска моделей уже в продуктиве, это зона пентеста LLM и ИИ-приложений.

Одно из проникновений пришлось на сервер геоинформационной системы, открытый со стандартными учётными данными. Среди украденного — кадастровые и коммерческие записи, учётные данные Windows и почта. Нового CVE для этого шага в разборе нет.

Отчёт не расписывает, какой именно стандартный пароль открыл каждый из этих наборов. Для владельца системы практический вопрос другой: когда в последний раз меняли сервисную учётку GIS и куда с неё можно уйти в домен и в почту.

Третий случай уже по роли модели. ИИ писал инструменты и скрипты. Решения и выбор целей оставались у человека. С января по октябрь 2026 года исследователи насчитывают не менее шести кампаний.

Целями были краевые устройства Cisco, Citrix, F5 и Yamaha и серверы WebLogic. Вход — опубликованные уязвимости, штатные функции управления или пароли, которые уже лежали в конфигурационных файлах.

Установка патча этот доступ не закрывает. Учётка и сессия, снятые до обновления, живут отдельно от дыры. Пароль в файле конфигурации переживает прошивку, если файл не переписали руками.

Список из отчёта: Cisco, Citrix, F5, Yamaha, WebLogic. Для всех пяти логика одна. Интерфейс управления — и дверь, и место, где закрепление живёт дольше первой сессии. Результат по каждой цели — украли ли данные — TrendAI в этом случае не расписывает.

Списки целей при сканировании WebLogic у третьего оператора включали организации в Великобритании, Франции, Италии, Катаре и Колумбии. География шире Японии. Выборка по открытости: кто торчит, тот и в списке.

Оператора TrendAI описывает как опытного, с уже поставленной автоматизацией и учётом доказательств. Модель не заменяет человека. Она ускоряет то, что опытный оператор и так умеет: скрипт под известную дыру, сбор результатов, раскладка по целям.

Разница второго и третьего случая для защитника — в сроке. 24 дня плотной работы против десяти месяцев эпизодических заходов. В обоих следы сидят в журнале отказов и в конфиге. Именно эти входы бьют по открытым GIS, VPN и краевым устройствам — зона пентеста внешнего периметра.

Почему рядом стоят ARTEX, Storm-0940 и 2 250 клиентов Microsoft 365?

Рядом с тремя японскими случаями Microsoft в Digital Defense Report за 2026 год оценивает медиану от находки уязвимости до готового средства атаки заметно ниже 24 часов. Точного числа часов в публичном пересказе нет.

Для службы, которая закрывает периметр по недельному окну изменений, список опубликованных дыр на VPN и почтовых шлюзах устаревает внутри одного рабочего дня. Очередь только по оценке CVSS здесь запаздывает. Мы уже разбирали сжатие срока в заметках о том, как ИИ сжал время взлома.

Отдельно Microsoft описывает Storm-0940 — группировку, которую относит к акторам, выровненным с интересами Китая. По данным Microsoft, ARTEX использовали не позднее сентября 2026 года, возможно и раньше, чтобы автоматизировать массовый перебор паролей.

Массовый перебор паролей (password spraying) — это короткий список паролей по многим учётным записям. На одну запись приходится мало ошибок, и блокировка «после N неудач на пользователя» молчит.

Вход шёл через скомпрометированное облачное приложение резервного копирования ConnectWise. С него выполнили вход более чем в 2 250 организаций-клиентов Microsoft 365. Большая часть попыток срывалась. Привилегированное закрепление в облаке у многих жертв при этом появлялось быстро.

Кампанию видно, если собирать отказы по источнику, ASN, user-agent и короткому окну сразу по многим учёткам. Смотреть только повторные ошибки одного человека — способ пропустить эту схему.

Южнокорейские власти, по сообщениям местных СМИ в том же обзоре, назвали семь подозреваемых по операции против более чем 90 организаций. В большинстве инцидентов фигурирует ARTEX. Предполагаемому организатору 32 года. В 2019–2022 годах он работал в компании по кибербезопасности и там набрал практику пентеста.

В 38 инцидентах, по тем же сообщениям, требовали выкуп 360 млн вон, около 270 тысяч долларов. Украденными считают более 8,2 млн записей. Это пересказ местных СМИ, не выгрузка с дисков TrendAI. Уверенность ниже, чем у трёх серверов.

Счётчики лучше не складывать. Не менее 19 организаций с отчётами CyberStrikeAI, более 90 организаций в корейском деле и 2 250 клиентов Microsoft 365 у Storm-0940 — разные знаменатели. Первое — цели проверки на одном сервере. Второе — расследование конкретной операции. Третье — входы в облако, при том что большинство попыток перебора Microsoft считает неуспешными.

Спрос атакующих на инструменты ИИ открыл и торговлю. В обзоре рядом с крадеными сессиями провайдеров ИИ названы наступательные инструменты APEX AI, MessiahGPT и DarkGPT. Готовый каркас и чужой токен снижают порог входа сильнее, чем очередная редкая дыра.

Какие ещё атаки с ИИ уже описали в 2026 году?

Класс шире CyberStrikeAI и ARTEX. Ниже — схемы, которые исследователи описали отдельно от трёх японских серверов. Это не один актор и не продолжение TrendAI.

Актор BUGSTER, по данным Palo Alto Networks Unit 42, бил по университетам в Индии и по интернет-магазину. Связка: фреймворк Hermes Agent, DeepSeek V4 как движок рассуждений, Cursor вторым инструментом. Защитные ограничения выключены.

Была кампания подбора паролей к WordPress и отчёт по перечислению REST API. Второй индийский университет потерял базу более чем из 5 200 записей, включая персональные данные студентов. В третьей атаке сняли токен API витрины, почты администраторов, телефоны и идентификаторы платёжных мерчантов.

На тех же мощностях собирали профили ботов под мошенничество в VoIP, автоматический подбор паролей Wi-Fi и разведку крупных держателей криптовалюты. Подбор Wi-Fi требует физической близости к сети: удалённый агент сам по себе точку доступа не слышит.

Группировка CyberCartel, по данным Straiker, использовала многоагентную систему CARLIY0S против банков и платёжных провайдеров Латинской Америки. Четыре коммерческие модели Claude с разными ролями разбирают цель, отдают решение арбитру, и только потом действует основной оркестратор.

Отдельная схема захватывает открытые точки запуска моделей и делает до 100 000 шагов без подтверждения человека. Вычисления оплачивает владелец скомпрометированного сервера. Режим, описанный как Skynet, использует набор из 74 инструментов: поиск целей, заражение, майнер криптовалюты, повторное заражение.

Рядом — сгенерированный на ИИ фреймворк RAGE на Python. Он сканирует сервисы, смотрящие в интернет, забирает учётные данные и ставит майнеры. В списке Redis, Elasticsearch, Docker, Apache Tomcat, Jenkins, Hadoop YARN, Confluence и Supervisord. Открытый Docker API и Redis без аутентификации для этого шага часто не требуют новой уязвимости.

Партнёр вымогательской программы The Gentlemen в конце июня 2026 года использовал Claude Code от Anthropic не менее чем в шести организациях. В ход шли команды разведки и эксплуатации, вредоносные скрипты, правки политик межсетевого экрана и поиск ценных бизнес-систем.

Операция Zerofot собрала сканер auto_scan на OpenAI Codex и Claude Code и сняла тысячи ключей API и токенов с тысяч открытых хостов. Украденные сессии провайдеров и инструменты вроде APEX AI, MessiahGPT и DarkGPT в том же обзоре уже фигурируют как товар.

Unit 42 описывает человека, который с передовыми моделями за 10 часов прошёл корпоративную сеть. Вход — через веб-сервис в интернете, дальше туннель внутрь. Агент разведки картировал внутренние микросервисы. Подагенты читали репозитории в поисках зашитых токенов и паролей служб.

Дальше — учётка главного администратора, захват корпоративного приложения для кода и выгрузка облачных ключей. Точки запуска моделей жертвы переиспользовали как инфраструктуру после компрометации. Если репозиторий был досягаем, ключи надо считать прочитанными и отозвать.

Hunt.io фиксирует оператора, предположительно русскоязычного, который с помощью процесса на ИИ взламывал серверы PaperCut NG/MF и скомпрометировал сотни экземпляров. Дальше шёл сбор учёток Windows и учётных данных служб, перемещение внутри сети, автоматизация Metasploit и упаковка материалов по жертве.

Китайскоязычный, по описанию, актор движком пентеста Cairn взломал сайты более чем 100 компаний. Среди названных — Deere, SharkNinja и Cummins. Задача движку: прощупать цель, найти слабость под выполнение кода или захват учётки, попытаться войти и забрать данные.

Rapid7 сводит эти сюжеты к одной развилке. Генеративный ИИ ускоряет уже известные приёмы и одновременно расширяет поверхность: сами модели, ключи и открытые точки запуска становятся целью, а не только инструментом.

Практический фильтр простой. Если в схеме нет вашего продукта, остаётся вопрос, есть ли у вас открытый интерфейс, заводская учётка, пароль в конфиге или агент с ключом без владельца. Эти четыре условия повторяются от японских серверов TrendAI до индийского университета и открытого Redis.

Что проверить в понедельник, пока отчёт пишет чужая платформа?

Проверять стоит условия, которые в этих случаях открывали доступ без новой уязвимости. Ниже — список на один рабочий день, без ожидания имени модели из отчёта TrendAI.

Периметр, GIS, VPN и край

• Учётки по умолчанию на GIS, VPN и краевых устройствах Cisco, Citrix, F5 и аналогах. Смена пароля и отключение заводской учётки, не «временный» доступ с установки.
• Пароли в конфигурационных файлах. Прошивка дыру закрывает, файл с паролем — нет, если его не переписали.
• Интерфейсы управления, которые отвечают из интернета. Сколько минут они живут после публикации и кто читает журнал отказов.
• WebLogic и прочие серверы приложений в той же выборке: кто их сканирует снаружи и есть ли штатная функция управления без второго фактора.

Учётки и массовый перебор

• Многофакторная аутентификация на всех сервисных учётных записях, не только на людях. Сервисная учётка GIS и учётка резервного копирования — первые кандидаты.
• Детект массового перебора паролей по связке ASN, user-agent и короткому окну сразу по многим учёткам. Порог «N ошибок на одного пользователя» эту схему не ловит.
• Облачные входы вроде истории Storm-0940: приложение резервного копирования с правом входа в клиентов Microsoft 365. Отозвать сессии, если приложение уже скомпрометировано.

Свои ИИ-агенты и чужие вычисления

• Инвентаризация исходящих вызовов к API языковых моделей: какой ключ, какой объём, какой владелец. Всплеск без задачи в бэклоге — повод отозвать ключ.
• Список агентов с именем владельца, сроком ключа и триггером. Агент без владельца и вебхук без подписи — тот же класс, что открытая точка запуска, за которую платит жертва.
• Репозитории, куда агент ходит за кодом. Зашитый токен и пароль службы в истории коммитов считайте прочитанными, если репозиторий был досягаем.

Чужие 44 агента не обязаны изобретать дыру. Им достаточно открытой поверхности и слабой учётки. Свои агенты без владельца дают тот же эффект изнутри: ключ жив, триггер жив, человек, который помнит зачем, уже нет. Это зона тестирования безопасности ИИ-агентов.

Если октябрьский или августовский журнал отказов уже показывает пачку однотипных проверок, сохраните его до ротации. Индекс доказательств на стороне атакующего собирается из тех же попыток, включая неуспешные.

Частые вопросы

Что такое CyberStrikeAI и кто им пользовался?

CyberStrikeAI — открытый инструмент пентеста. В разборе TrendAI оператор поставил его как платформу ИИ-агентов и отдал ей цикл от разведки до отчёта. Исследователи уже видели тот же инструмент в кампании против Fortinet FortiGate. Имя конкретной модели под агентами не названо.

Сколько организаций в Японии затронул CyberStrikeAI?

За короткий период в октябре 2026 года проверку прогнали не менее чем по 19 распознаваемым организациям, не менее 16 из них в Японии. У того же оператора в материалах есть цели в Тайване и Гонконге. Речь о проверке и досье на сервере атакующего, не о подтверждённом взломе каждой организации.

Чем эти атаки отличаются от кампаний ARTEX?

TrendAI отделяет три среды от ранее опубликованных атак с фреймворком ARTEX по Южной Корее и Японии. Инструменты, доля автоматизации и следы другие. Общего оператора у трёх новых случаев исследователи тоже не видят. ARTEX в этом материале — соседний сюжет, включая Storm-0940 и корейское дело.

Какая модель ИИ использовалась в атаках на Японию?

Неизвестно. TrendAI прямо пишет, что модели по этим трём случаям не установлены. Видны каркас CyberStrikeAI, 44 агента, японские формы и страницы входа, срок кампаний и состав дисков. Карточка модели с дисков не восстанавливается.

Как быстро уязвимость превращают в атаку в 2026 году?

По Microsoft Digital Defense Report за 2026 год медиана от находки уязвимости до готового средства атаки заметно ниже 24 часов. Отдельного числа в минутах публичный пересказ не даёт. Для VPN и почтовых шлюзов недельное окно изменений уже не совпадает с этим сроком.

Что украли с GIS-сервера со стандартным паролем?

Одно проникновение второго случая пришлось на GIS-сервер, открытый со стандартными учётными данными. Среди украденного — кадастровые и коммерческие записи, учётные данные Windows и почта. Отчёт не утверждает, что один и тот же пароль по отдельности открыл каждый из этих наборов.

Если нужно увидеть интерфейсы управления, заводские учётки и живые ключи агентов до того, как чужая платформа сложит по вам отчёт, начните с пентеста внешнего периметра и отдельной проверки собственных ИИ-агентов.