ИИ ускоряет кибератаки, требуя от защитников автоматизации и интеграции данных
9 ноября 2026 г. · 3 мин чтения
На конференции по искусственному интеллекту и безопасности, прошедшей в Сеуле, руководитель подразделения Recorded Future заявил, что традиционные методы реагирования на угрозы не справляются с темпом атак, усиленных искусственным интеллектом. Для повышения эффективности защиты необходимо связать доверенные данные об угрозах с системами ИИ и автоматизировать весь цикл безопасности, от расследования до принятия мер.
Основной проблемой является разрыв в скорости между агрессорами и защитниками. Атакующие используют облачные вычисления и ИИ для быстрого поиска уязвимых систем и запуска атак. В то же время защитникам требуются значительные ресурсы времени и средств на внедрение систем, их интеграцию, анализ и получение разрешений. Это создает растущую нагрузку на операционные процессы безопасности.
Искусственный интеллект снижает усилия, необходимые для поиска и эксплуатации уязвимостей. Атакующие могут массово сканировать системы, доступные из интернета, и быстро отбирать цели для атаки. Пока организации проверяют влияние конкретной уязвимости, атака может уже быть в процессе. Пример с уязвимостью в PHP показывает сложность: необходимо не только проверить обновление самого языка, но и найти все приложения, где он используется, чтобы оценить риски. Без точного понимания активов и программного состава организация тратит время на поиск реальных целей для исправления даже после публикации уведомления.
Оценка уязвимостей исключительно по числовым показателям не позволяет эффективно распределять ресурсы. В 2025 году было опубликовано около 50000 идентификаторов уязвимостей, но менее одного процента из них реально эксплуатировалось в атаках. Высокий балл в системе оценки не всегда означает риск, если продукт не используется в организации или атака требует локального доступа. Напротив, уязвимость с низким баллом требует срочных мер, если атакующие уже ее эксплуатируют, а системы организации открыты для внешнего доступа.
Защитникам важно определять не только серьезность уязвимости, но и факт ее текущей эксплуатации атакующими, а также подверженность собственных активов. Именно поэтому данные об угрозах должны связывать информацию об уязвимостях, реальные атакующие действия и состояние экспозиции организации.
Recorded Future внедрила ИИ для создания сигнатур обнаружения уязвимостей. Раньше аналитикам требовалось много времени для исследования и проверки в тестовой среде. Теперь ИИ предварительно оценивает возможность удаленной атаки и потенциальные сбои, помогая в написании сигнатур. Внутренние тесты компании показали, что время от публикации уязвимости до распространения сигнатуры составляет около 31 минуты. Это позволяет клиентам быстро проверять влияние на свои открытые активы для отобранных угроз.
ИИ также применяется в анализе фишинговых сайтов. Система анализирует использование логотипов, поддельных экранов входа и сбор данных пользователей, предлагая необходимость блокировки сайта. Человек проверяет аргументы ИИ и утверждает действие. Аналогичный подход используется для поиска активов, подверженных уязвимостям, и создания правил защиты для веб-файрволов. ИИ-агенты запрашивают данные управления поверхностью атак и результаты проверок, определяя порядок действий.
Для соединения внутренних систем с внешними данными об угрозах используется протокол контекста модели. Recorded Future предоставляет более 80 инструментов для доступа агентов к их интеллекту. Например, можно запросить сравнение IP-адресов из внутренних журналов с данными об угрозах для выявления связей с конкретными группами атакующих.
Качество данных критически важно для автоматизации. Если ИИ дает необоснованные ответы или меняет суждения, на них нельзя опираться при принятии решений. В цепочках, где один агент передает результаты другому, ошибка в данных влияет на все последующие шаги. Поэтому данные должны быть проверены и обработаны. С ростом уровня автономности защитникам необходимо контролировать, на каких основаниях агенты предлагают меры, и управлять процессами утверждения.
В ходе обсуждения было отмечено, что пока не зафиксировано использование ИИ для поиска и эксплуатации неизвестных уязвимостей в реальных атаках. Главная угроза заключается в значительном ускорении поиска и эксплуатации слабых мест даже в рамках известных тактик. Это позволяет атакующим обгонять время, необходимое людям для обнаружения и оценки, что приводит к ущербу. Роль специалистов по безопасности сохраняется: они проверяют корректность автоматизированных процессов, принимают решения и утверждают меры. Интеллект служит инструментом для поддержки принятия решений, а не заменой человеческого контроля.