Мой блог
ИИ-агенты стали новой целью фишинга: исследование IRONSCALES об уязвимостях автоматизации
Автономные цифровые помощники перестают быть просто советчиками и получают прямой доступ к корпоративным системам, что трансформирует вектор сетевых угроз. Современное фишинговое письмо больше не стремится во что бы то ни стало убедить живого сотрудника: злоумышленники могут адресовать атаку программе, обрабатывающей корреспонденцию вместо человека. Исследование From Deepfakes to Double Agents компании IRONSCALES показывает, что темпы интеграции исполняющих решения инструментов опережают развитие механизмов защиты вокруг них.
Согласно опросу Censuswide, 77% респондентов сталкивались с ситуациями, когда ИИ-агент или автономный сервис внутри их структуры выполнял действия на базе вредоносного, вводящего в заблуждение или неавторизованного контента. У 57% опрошенных зафиксирован минимум один подтвержденный инцидент такого рода. При этом индустрия наблюдает параллельную динамику: вложения в защиту от дипфейков увеличиваются, а средний финансовый ущерб от подделок снижается, вынуждая службы безопасности расширять периметр контроля на автономные цифровые сущности.
ИИ-агенты получают доступ к критически важным корпоративным системам
Аналитическая выборка включила 501 специалиста среднего и высшего звена в сфере IT и кибербезопасности из компаний США со штатом от 1 000 до 10 000 сотрудников. Опрос проводился с 9 по 17 сентября 2026 года среди специалистов в возрасте от 25 до 55 лет, поэтому результаты отражают положение дел в крупном и среднем корпоративном секторе, а не во всем бизнесе в целом.
Среди участников 96% подтвердили использование ИИ-агентов или инструментов, уполномоченных предпринимать действия от имени персонала, причем 52% охарактеризовали внедрение таких систем как масштабное. Под это определение подпадают алгоритмы, умеющие читать сообщения, формировать ответы, просматривать файлы и запускать рабочие процессы. Уровень интеграции в инфраструктуру распределился следующим образом:
- 67% организаций открыли агентам доступ к тикет-системам и сервисам службы поддержки;
- 56% предоставили подключение к облачным хранилищам;
- 49% разрешили взаимодействие с электронной почтой и корпоративными мессенджерами;
- 30% подключили ИИ к финансовым модулям, системам биллинга, закупок и платежей;
- лишь 19% ограничили работу инструментов открытыми веб-ресурсами без допуска во внутреннюю сеть.
Разница между ответом на вопрос и выполнением действия принципиальна с точки зрения рисков. Неточная текстовая выжимка вводит пользователя в заблуждение, но инструмент, интегрированный в бизнес-процессы, способен передавать конфиденциальные данные или инициировать нежелательные транзакции. Масштаб возможных последствий напрямую зависит от выданных прав доступа.
Входящая почта превращается в точку входа для атак на агентов
Среди участников исследования, сообщивших об инцидентах с ИИ-агентами, 42% указали, что сервис обработал, суммаризировал или исполнил инструкции из вредоносного письма либо сообщения. Еще 41% столкнулись с применением искусственного интеллекта непосредственно атакующей стороной при проведении фишинга или социальной инженерии. Эти сценарии могут пересекаться, хотя второй случай охватывает применение ИИ злоумышленниками, а не обязательную компрометацию внутреннего помощника компании.
Подобное разделение показывает, что организациям требуется контролировать не только полномочия интеграций, но и входящие данные, которые потребляет модель. Ключевая сложность безопасности здесь заключается в разграничении входящей информации и реальных полномочий. Письмо способно содержать команды, но сам факт его доставки во входящие не должен наделять эти директивы статусом доверенного распоряжения. Когда программа взаимодействует со связанными базами, поддержание этой границы становится задачей управления доступом и архитектуры рабочих процессов.
Разработчики IRONSCALES выстраивают защиту на уровне почтового шлюза через API, совмещая машинный анализ, автоматизированное расследование инцидентов и экспертные данные об угрозах, включая симуляции фишинга и проверку сред Microsoft Teams. Отчет иллюстрирует фокус компании на входящих каналах взаимодействия, не выступая при этом независимой оценкой эффективности конкретных коммерческих платформ.
Процедуры согласования существуют, но безопасность редко играет в них главную роль
Среди 479 респондентов, чьи компании используют наделенные полномочиями ИИ-инструменты, 78% назвали ключевым звеном согласования агентов, плагинов и коннекторов IT-отдел. Лишь 6% возложили эту роль непосредственно на подразделения информационной безопасности, а 14% описали процесс как коллективный.
Статус основного согласующего не исключает участия ИБ-команд вовсе, однако демонстрирует, что решения о внедрении инструментов с широкими привилегиями преимущественно принимаются вне контура безопасности. В организациях, зафиксировавших инциденты, 39% респондентов отметили ситуации, когда рядовые сотрудники предоставляли алгоритмам доступы, которые служба безопасности никогда бы не одобрила. Это выводит на первый план вопросы регламентации: кто проверяет права до включения коннектора и кто вправе отозвать их при аномалиях.
Исследование также выявило существенный разрыв между декларациями и реальной готовностью:
- 93% заявили, что их планы реагирования на инциденты учитывают ИИ-агентов;
- 84% уверены в своей способности выявить инцидент, вызванный ИИ;
- только 52% подтвердили одновременное наличие формальных регламентов, технического контроля и рабочих процедур реагирования;
- 35% сообщили о существовании политик, подкрепленных лишь ограниченными мерами технического контроля.
Ущерб от дипфейков сократился при сохранении общей частоты инцидентов
Блок исследования, посвященный синтетическим медиа, демонстрирует положительную динамику относительно аналогичного опроса Censuswide 2025 года среди 500 специалистов того же профиля. Доля компаний, инвестирующих в профильную защиту от подделок, выросла с 37% до 48%. Среди организаций, понесших материальный урон, процент потерявших от 100 000 долларов уменьшился с 63% до 49%, а доля потерь от 1 миллиона долларов и более упала с 6% до 3%.
Расчетный средний ущерб среди пострадавших структур снизился примерно с 280 000 до 225 000 долларов (оценка строилась по медианным значениям заявленных диапазонов без учета ответов с нулевыми потерями или отказом от раскрытия данных). При этом авторы подчеркивают: синхронный рост инвестиций и снижение ущерба не доказывают прямую причинно-следственную связь между ними.
Сами инциденты не прекратились: 84% опрошенных зафиксировали как минимум один случай использования дипфейков (против 85% годом ранее). Исследование использует широкую трактовку термина, включая отредактированные изображения, поддельные письма, а также имитацию голоса и видеопотока в реальном времени. Одновременно проявилась конкуренция за бюджет: доля респондентов, считающих оборону от синтетических медиа наивысшим приоритетом, снизилась с 71% до 60%, так как наделенные полномочиями агенты требуют перераспределения ресурсов на новые сценарии атак.
Защита действий вместо контроля диалогов
Для минимизации рисков IRONSCALES рекомендует подключать команды безопасности к процедуре одобрения любых агентов, жестко урезать системные разрешения, вести непрерывный аудит активности и проводить тестовые кибератаки, нацеленные одновременно на людей и на автоматизированных помощников. Обманный контент сохраняет опасность, но именно право софта на автономное исполнение действий определяет масштаб нанесенного ущерба.
На практике защита инфраструктуры требует понимания полного перечня используемых ИИ-агентов, зон их досягаемости и списка операций, требующих обязательного подтверждения человеком. Журналирование должно позволять восстановить как входящую информацию, так и вызванное ей действие инструмента. Тестирование устойчивости должно проверять, способен ли сторонний недоверенный запрос повлиять на легитимный рабочий процесс внутри защищенного периметра.
