ИИ-агенты атаковали госучреждения 10 стран: как утечка 2 431 файла раскрыла угрозу безопасности

Исследование стало возможным из-за ошибки самих атакующих: один из серверов в гонконгском кластере отдавал открытый каталог с 2 431 файлом. Среди них оказались исходный код жертв, журналы операций, веб-шеллы (скрипты для удалённого управления сервером), эксплойты и клоны страниц входа. Отчёт опубликовала Hunt.io, компания, занимающаяся анализом угроз. Атрибуция «китайские операторы» основана на языке заметок и кода, инфраструктуре в Гонконге и профиле целей; Hunt.io оценивает эту связь как умеренно вероятную, не как доказанную.

Что именно нашли исследователи?

Отправной точкой стал кластер серверов управления TencShell. Исследователи искали серверы с одинаковым SHA-256-хешем (цифровым отпечатком) HTTP-заголовка на специфичном порту и нашли 13 адресов. Несколько хостов также использовали общий SSH-ключ и TLS-сертификат, что усилило связь внутри кластера.

На одном из серверов обнаружили инструменты ARL, DeepAudit и Vshell. Сами по себе они применяются в легитимном тестировании безопасности. Но рядом лежал чужой исходный код, дампы баз данных, артефакты фишинга и журналы действий. Именно содержимое каталога, а не наличие инструментов, указывает на вторжение.

Hunt.io отдельно оговаривает: обнаруженные Linux-бинарники с общим криптографическим ключом указывают на общую кодовую базу, но пока не подтверждают, что это именно Linux-версии TencShell. Такая осторожность в атрибуции характерна для качественных отчётов и отличает рабочую гипотезу от доказанного факта.

Как атаковали: три вектора первоначального доступа

Операторы не использовали один универсальный эксплойт. Hunt.io описывает как минимум три разных сценария.

• Тайваньская химическая компания. SQL-инъекция (внедрение вредоносного запроса в базу данных через форму на сайте), после которой извлечены данные и исходный код среды разработки.
• Тайваньский производитель телеком-оборудования. В публично доступных JavaScript-файлах нашлись ключи облачных сервисов Supabase и токены Azure Logic Apps. Через них, по версии Hunt.io, перечислили облачные учётные записи и скомпрометировали часть из них.
• Тайский государственный сервис. SQL-инъекция через утилиту SQLMap, обход аутентификации и доступ к административной панели. Внутри обнаружен GIF-polyglot (файл, который выглядит как картинка, но выполняет команды на сервере).

Третий случай показывает типичную ошибку в оценке рисков: SQL-инъекцию часто воспринимают только как способ прочитать базу, но здесь она открыла путь к полному удалённому управлению сервером.

Отдельный кейс: афганское приложение на устаревшем фреймворке Laravel 5.8.38. Операторы получили исходный код и ключи шифрования, а затем написали скрипт для эксплуатации механизма десериализации (процесса, при котором данные превращаются обратно в объекты программы, и если этот процесс не защищён, злоумышленник может подсунуть вредоносный объект). Ключевой момент: утечка репозитория и конфигурации делает успешной эксплуатацию даже давно известной уязвимости.

Какую роль сыграли ИИ-агенты?

В оставленных логах Hunt.io обнаружила постоянные сессии Claude Code версии 2.1.165 за период с 8 по 12 июня 2026 года. Роли между моделями были распределены так:

• Человек-оператор определял цель и одобрял рискованные переходы.
• Claude Code выполнял агентные задачи: запускал команды в терминале, сохранял контекст сессий, вёл параллельные задачи и работал с файлами.
• DeepSeek-v4-pro использовался для рассуждений, доработки скриптов и выбора следующего шага атаки.

Производители моделей (Anthropic и DeepSeek) к атаке не причастны. Речь о том, что операторы применяли их продукты как инструменты, так же как применяли бы любую доступную утилиту.

Тема ИИ-агентов и безопасности здесь выходит за рамки теоретических предупреждений. Логи показывают конкретный рабочий процесс: ИИ-агент не просто генерировал код по запросу, а вёл сессию, помнил контекст предыдущих шагов и координировался со второй моделью.

Что делать с этим прямо сейчас?

Если вы отвечаете за ИТ-инфраструктуру (госсектор, компании РФ и СНГ). Три вектора из отчёта напрямую применимы к отечественным реалиям:

• SQL-инъекции в государственных веб-сервисах. Проверьте формы ввода и API на устойчивость, особенно в системах на устаревших фреймворках.
• Утечки ключей в публичных файлах. Прогоните JavaScript-файлы ваших сервисов через сканер секретов: ключи от облачных хранилищ и токены API не должны лежать в открытом доступе.
• Открытые Jira, GitLab, панели администрирования и VPN-шлюзы. В отчёте именно эти сервисы были приоритетными целями разведки. Они не второстепенные активы, а первая линия обороны.

Если вы автор или маркетолог на Дзене. Тема ИИ-агентов и безопасности сейчас на пике интереса. Этот отчёт даёт конкретный сюжет с фактурой: не абстрактные страхи про «ИИ нас захватит», а реальный кейс с двумя моделями, распределением ролей и логами. Для контента это редкий материал, где можно объяснять сложное через понятную историю.

Если вы предприниматель. Проверьте, не используют ли ваши подрядчики устаревшие версии Laravel, Django или других фреймворков на боевых серверах. Утечка конфигурационного файла с ключами шифрования превращает «теоретическую уязвимость» в практический взлом за один скрипт.

Кампания из отчёта Hunt.io затронула госструктуры десяти стран и показала, что ИИ-агенты уже встроены в реальные цепочки атак не как эксперимент, а как рабочий инструмент с распределением ролей. Для тех, кто отвечает за безопасность в РФ, конкретные техники из этого отчёта (SQL-инъекции в госсервисах, утечки облачных ключей, открытые панели) стоит использовать как чек-лист для аудита прямо сегодня.

По данным Hunt.io