«Спеллчек для кибербезопасности»: Google раскрыла, как отслеживает ИИ-атаки и чем на них отвечает

Три структурных сдвига вместо домыслов

Джойс начинает с методологической рамки: в периоды технологических сдвигов главный риск для безопасника — предположения, поэтому стратегия ИИ-безопасности должна опираться на проверенную картину, а не на хайп вокруг того, как угрозы могли бы использовать ИИ.

Если убрать шум и смотреть на телеметрию, ландшафт угроз сводится к трём структурным сдвигам: ИИ меняет то, как строится программное обеспечение; ИИ расширяет поверхность атаки; ИИ усиливает возможности самих угроз.

Свою позицию Google описывает как редкое пересечение: компания одновременно передовая ИИ-лаборатория и security-компания с фронтовым обзором глобальных инцидентов, и именно из этой двойной точки зрения получается операционная картина.

Операционные детали Google Threat Intelligence Group (GTIG) вынесла в свежий AI Threat Tracker «From prompting to autonomy», посвящённый враждебному использованию ИИ.

«Спеллчек для кибербезопасности» прямо в редакторе

Первый сдвиг атакующие разворачивают против самих защитников: GTIG считает, что злонамеренное заражение апстрим-пакетов, которые ИИ-ассистенты обучены предлагать и которым они доверяют, вносит вклад в значительный рост крупных компромиссов цепочек поставок открытого ПО, наблюдавшихся в 2025 и начале 2026 года.

Отдельно Google отслеживает атаки на агентов: финансово мотивированный TeamPCP (UNC6780) реализовал больше полудесятка методов эксплуатации ИИ-инструментов и практик разработки открытого ПО — от перехвата ИИ-тулкитов и prompt injection до ослепления ИИ-сканеров «токсичными» промптами, которыми маскируются вредоносные полезные нагрузки.

Ответ, по мнению Google, не в замедлении разработчиков, а во встроенной в ИИ-конвейер безопасности: внутриредакторные ограждения дают реальный «спеллчек для кибербезопасности» — так же, как текстовый редактор подчёркивает опечатки, не заставляя автора останавливаться, а средства контроля мгновенно помечают отравленные пакеты, токсичные промпты и неверно настроенные тулкиты.

Проблема в том, что редактором дело не ограничивается: редакторы кода не видят облачных конфигураций, конвейеры доставки упускают runtime-экспозицию, а продакшен-команды не могут легко исправить корневые блупринты; этот разрыв закрывает интегрированный подход code-to-cloud, где код непрерывно сверяется с живой облачной реальностью.

Google отдельно отказывается от монокультуры одной модели: ни одна модель не обнаруживает все уязвимости, а атакующие уже тестируют входные данные, ослепляющие конкретные фильтры безопасности и сканеры, поэтому компания оркеструет несколько фундаментальных моделей — Gemini, коммерческие и открытые — и кросс-проверяет находки, убирая ложные срабатывания, исправляя код и выявляя сложные логические дефекты, которые одна модель пропускает.

Что атакуют у самих ИИ

Первое направление — вычислительные мощности: преступные и государственные группы охотятся за доступом к GPU, чтобы запускать свои модели и агентные конвейеры. В разобранном Mandiant в апреле вторжении атакующий получил доступ к облаку жертвы через открытый personal access token, развернул несанкционированную ИИ-инфраструктуру и масштабировал высокопроизводительные вычисления — счёт за железо и платформу остался жертве.

Второе направление — сами ИИ-данные, которые Google называет королевскими драгоценностями: в Q2 2026 Mandiant расследовала несколько операций по краже данных с вымогательством, где уводились проприетарные ИИ-активы, включая модели, навыки, промпты, исходный код и связанные исследования.

Спрос на учётные записи ИИ-сервисов растёт и на подпольных форумах: часть продавцов предлагает потребительские аккаунты со скидкой до 99% от розничной цены.

Против этой разрозненности Google предлагает единый динамический граф, который связывает код, модели, происхождение данных и runtime-идентичности в одну живую карту вместо раздельных силуэтов для политик доступа агентов, инвентаря моделей и теневого ИИ.

Подход вырос из Wiz Security Graph и стал контекстным движком платформы Google AI Threat Defense: по описанию продукта, она соединяет рассуждение Gemini и других передовых моделей, контекстную приоритизацию рисков Wiz, возможности CodeMender по сканированию и исправлению кода и фронтовую экспертизу Mandiant, а контекст напрямую питает Google Security Operations.

Машинная скорость против глубокого контекста

Атакующие переходят от одиночных промптов к полностью автоматизированным многоагентным конвейерам: в Q2 2026 GTIG наблюдала, как злоумышленники компрометируют облачный ресурс, а затем планируют, собирают и запускают агентную кампанию массового сбора учётных данных менее чем за шесть часов.

В разборе Mandiant тот же сценарий выглядит конкретнее: атакующий использовал ИИ-чатбот для написания кода, один промпт и набор агентных инструкций, где предварительно настроенные markdown-наборы работали операционными плейбуками; автоматическое сканирование и сбор учётных данных в итоге скомпрометировали тысячи сторонних учётных данных.

Google фиксирует и государственных акторов: PRC-nexus группа с историей атак на госструктуры экспериментировала с инструментом CC Switch, чтобы перебирать несколько аккаунтов и менять модели — Claude, Codex и Gemini, — выбирая лучшую под конкретную задачу вроде написания эксплойтов или черновиков фишинговых приманок.

Джойс настаивает, что у защитников есть асимметричное преимущество: даже вооружённый автономным ИИ атакующий действует извне с ограниченным контекстом и угадывает связи, тогда как защитник знает свой код, облачные конфигурации, идентичности пользователей, реальность развёртывания и внутреннюю архитектуру лучше кого бы то ни было.

Практический вывод из этого — отказ от ручного реагирования на человеческом масштабе: аналитики больше не могут вручную разбирать бесконечные очереди статических алертов, поэтому Google переводит защиту на непрерывную модель машинной скорости.

Что Google делает на уровне экосистемы

Компания перечисляет четыре рычага: отключение вредоносной инфраструктуры — проектов, аккаунтов и активов известных плохих акторов; укрепление собственных моделей и классификаторов через непрерывную обратную связь с разработкой продукта, чтобы модель отказывала в злонамеренных запросах до генерации атаки; автоматизация поиска и патчинга уязвимостей, включая CodeMender, который исправляет критические уязвимости прямо в коде; и специализированные защиты генеративного ИИ, которые строят команды Google DeepMind с мониторингом злоупотреблений в реальном времени.

Финальный тезис выпуска звучит как прямое следствие из трёх сдвигов: от угрозы на базе ИИ можно защититься только защитой на базе ИИ, а разрозненные ручные инструменты прошлого для этого не годятся.

Для более широкого контекста Google отсылает к новому отчёту Mandiant AI Risk and Resilience, а операционные детали о переходе угроз от промптов к автономии собраны в отчёте GTIG.

Что осталось за рамками: в выпуске нет ни измеримых сроков сокращения времени реагирования, ни данных о доле атак, которые удаётся прервать автоматически, — только описание архитектуры и наблюдавшихся инцидентов.