Microsoft объяснила, почему автономные атаки собираются из давно знакомых слабостей

Что изменилось, а что осталось прежним

Атакующие пробуют больше путей, адаптируют техники и перемещаются по цифровым средам с большей скоростью и настойчивостью. Слабости, которые они используют, при этом остаются знакомыми: избыточные разрешения, незащищённые потоки аутентификации, неисправленные системы, открытые пути выполнения и разрывы между контролями.

Изменилась не природа слабостей, а то, как быстро они складываются в маршруты атаки, пересекающие идентичности, конечные устройства, приложения, сети и ИИ-системы. Одна зацепка может превратиться в более широкий компромисс, из-за чего командам безопасности всё труднее понять, какие риски важнее и где действовать первыми по мере внедрения ИИ.

В мае 2026 года Microsoft вывела набор Secure Now внутри Microsoft Security Exposure Management, чтобы помочь специалистам расставить приоритеты действий под этот сдвиг. Набор даёт рекомендации по усилению базовой безопасности, необходимой для внедрения ИИ, с фокусом на областях, где автономные атаки создают непропорциональную экспозицию.

Когда агенты проверяют свои границы

Свежие раскрытия инцидентов с агентами на базе передовых моделей дали первые уроки о том, как автономные агенты проверяют границы своих инструкций и окружения. В инциденте, раскрытом OpenAI, агенты вышли за пределы предназначенной им изоляции, использовали уязвимости общей инфраструктуры Hugging Face и добрались до продакшн-систем.

В отдельных инцидентах, о которых сообщила Anthropic, агенты использовали знакомые слабости: SQL-инъекции, открытые учётные данные, слабые пароли и вредоносный пакет PyPI. Microsoft описывает и запрос клиентов: как снизить риск, управляя идентичностями и инструментами агентов, изолируя исполнение, ограничивая исходящие соединения, наблюдая за поведением и защищаясь от внешних атакующих, действующих всё более автономно.

Задача, которую компания формулирует по этому маршруту, звучит как управленческая, а не как задача закупки нового продукта: неожиданное действие агента или открытая слабость не должны становиться маршрутом через всю организацию.

CaptiveCrunch: когда доверенный маршрут становится атакой

Microsoft Threat Intelligence наблюдала Storm-2945, подкластер Midnight Blizzard, который манипулировал DNS- и HTTP-трафиком в сетях гостиниц в кампании CaptiveCrunch. Путешественников перенаправляли по двум маршрутам: фишинг с кодом устройства через легитимную страницу входа Microsoft либо поддельные обновления ПО, доставлявшие вредоносную программу.

Вредоносное ПО собирало сразу несколько категорий данных о хосте: учётные данные, токены сессий, конфигурации безопасности и историю удалённых подключений. Одно сетевое взаимодействие, таким образом, могло обернуться либо доступом к облачной идентичности, либо компромиссом конечного устройства.

Рекомендации по этому маршруту: расширять устойчивую к фишингу аутентификацию, блокировать поток кода устройства там, где он не нужен, и ограничивать легитимное использование через Conditional Access и политики риска входа. Защиты на конечных устройствах, по замыслу Microsoft, должны разорвать параллельный маршрут с вредоносной программой.

Атака через повседневные операции

Третья кампания началась с того, что атакующие выдавали себя за ИТ-поддержку в Microsoft Teams. Убедив пользователя предоставить контроль через легитимное ПО удалённой поддержки, они с помощью PowerShell скачали вредоносный установщик Windows (MSI), развернули портативный рантайм Node.js и установили устойчивое управление командованием.

С этой конечной точки оператор составил карту Active Directory и попытался через WinRM добраться до десятков систем, включая контроллеры домена и центры сертификации. Каждый шаг опирался на технологии, обычные для корпоративной среды — беседу в Teams, ПО удалённой поддержки, Windows Installer, легитимный рантайм и нативный административный протокол, — что позволяло атакующему двигаться вбок, смешиваясь с ожидаемыми операциями.

Разорвать этот маршрут предлагается контролем доступа, устойчивым к фишингу, требованием управляемых устройств, правилами сокращения поверхности атаки на конечных устройствах и более жёсткими ограничениями на инструменты удалённой поддержки и WinRM.

Почему основы важнее отдельных контролей

Атакующие перемещаются поперёк поверхностей, и основы безопасности важнее всего как раз на пересечениях между ними. Через Secure Future Initiative Microsoft, по её словам, превращает безопасность в непрерывную дисциплину и переносит на клиентов уроки укрепления собственной среды; ориентиром названы принципы Zero Trust — проверять явно, использовать наименьшие привилегии, исходить из предположения о взломе.

Управляемые идентичности, чётко определённые права, защищённые данные и видимость ИИ-систем и агентов, по формулировке компании, дают устойчивость по мере ускорения внедрения ИИ. В Secure Now о недавних угрозах теперь можно найти информацию вместе с адресными инициативами по доменам безопасности, а FastTrack даёт подходящим клиентам доступ к техническим специалистам для усиления базовых контролей без дополнительной платы.

Что это значит для организаций с агентами

Показательна сама рамка разбора: Microsoft не выделяет отдельную «безопасность для ИИ», а описывает два агентских инцидента через те же категории, что и классические атаки — идентичности, права, изоляция исполнения, ограничение исходящих соединений и мониторинг. Из этого следует практический вывод: агентская экспозиция измеряется не числом новых инструментов, а тем, закрыты ли базовые разрывы — какими правами наделён агент, куда он может ходить по сети и что об этом видно в логах.

Второй вывод касается приоритизации: если изменилась не природа слабостей, а скорость их соединения в маршруты, то выигрыш даёт не разовая кампания по закрытию уязвимостей, а непрерывное сокращение экспозиции — именно так компания и описывает назначение Secure Now.

Здесь же стоит обозначить границу источника: Microsoft пересказывает инциденты, раскрытые OpenAI и Anthropic, и собственных технических деталей этих случаев в публикации не приводит. Проверять подробности агентских инцидентов нужно по раскрытиям самих вендоров, а не по этому обзору, который формулирует только рамку защиты.