Червь с локальной LLM на борту сам подбирает атаку: новый уровень киберугроз ИИ

Что изменилось по сравнению с прежними червями?

Классические черви вроде WannaCry использовали одну заранее известную уязвимость. Закрыл дыру, остановил эпидемию. Учёные из Торонто показали принципиально другой сценарий: червь сам подбирает способ проникновения для каждой конкретной машины, опираясь на рассуждения языковой модели.

Авторы препринта прямо пишут: внешний эксперт не может предположить, как изменится червь и какие уязвимости он задействует следующим шагом. Это и есть ядро новых киберугроз ИИ: вредонос адаптируется, а не повторяет один и тот же приём.

Как устроен червь изнутри?

Система состоит из двух компонентов:

• GPU LLM работает прямо на скомпрометированных видеокартах заражённых машин. Затраты атакующего на каждое новое заражение, по словам авторов, «близки к нулю», потому что червь паразитирует на чужих вычислительных ресурсах.
• Агентский фреймворк (программная обвязка, которая превращает модель в действующего ИИ-агента) включает три модуля:
• ядро агента с рекурсивными рассуждениями на основе наблюдений,
• модуль памяти, хранящий контекст и историю команд,
• модуль инструментов для работы с консолью, передачи файлов и развёртывания полезной нагрузки.

Иерархическая память фиксирует текущую фазу жизненного цикла: обнаружение, эксплуатация или репликация (самокопирование на новую машину). Граф рассуждений побуждает модель предложить план, раскритиковать его, уточнить, выполнить действие и решить, продолжать ли по текущей гипотезе.

Детали реализации учёные намеренно скрыли.

Что показал эксперимент в сети FakeCorp?

Червь тестировали в изолированной корпоративной сети FakeCorp, состоящей из машин Linux, Windows и IoT (устройств интернета вещей: камеры, датчики, контроллеры). Червь использовал известные уязвимости, встречающиеся в реальных корпоративных сетях.

Авторы делают важную оговорку: в нынешнем виде вредоносный LLM-агент распространяется значительно медленнее классических червей. Он итеративный, «шумный» (создаёт заметный сетевой трафик) и часто ошибается. В текущем виде его легче обнаружить, чем те же WannaCry или Conficker.

Но экономика атаки всё равно тревожная. Авторы характеризуют её как «дестабилизирующую асимметрию»: атакующий не платит за вычисления, а защитник тратит ресурсы на каждую машину.

Что делать с этим прямо сейчас, по ролям?

ИТ-администратору и безопасникам в РФ. Локальные LLM-черви не зависят от внешнего центра управления. Это значит, что классическая блокировка C2-серверов (командных серверов ботнета) не поможет. Пересмотрите сегментацию сети: машины с GPU и IoT-устройства должны находиться в отдельных сегментах с минимальными правами бокового перемещения.

Автору Дзена, пишущему про технологии. Тема киберугроз ИИ сейчас даёт хорошие охваты, потому что аудитория тревожится, но не понимает механику. Объясните разницу между старым червём с одним эксплойтом и адаптивным агентом. Этот препринт подходит как первоисточник.

Предпринимателю и руководителю. Если в вашей компании есть рабочие станции с GPU (дизайнеры, аналитики данных, видеомонтажёры), они потенциальная вычислительная база для подобного червя. Поставьте задачу ИТ-отделу: аудит GPU-машин, ограничение прав на запуск произвольных моделей, мониторинг аномальной нагрузки на видеокарты.

«Мы должны подготовиться к автономным LLM-противникам: вредоносным программным системам, которые распространяются без участия человека и определяются не фиксированным кодом эксплуатации, а способностью рассуждать о целях, адаптироваться к наблюдениям и синтезировать логику атак в реальном времени» : Авторы препринта, Университет Торонто

Эта цитата точно описывает водораздел. Киберугрозы ИИ перестают быть теоретической темой для конференций: первый работающий прототип адаптивного червя уже прошёл испытание в лабораторной сети. Пока он шумный и медленный, но у защитников есть окно, чтобы перестроить мониторинг и сегментацию до того, как следующая версия станет тише.