Автор | Король Techno
Редактировал｜Цзиньюй
Самый древний страх интернета оживлён с помощью ИИ
В конце 2006 года панда уничтожила миллионы компьютеров.
Та панда, держащая три благовония в лапах и улыбающаяся, появлялась на значках каждого зараженного файла. Червь «Панда, жгущая благовония» за два месяца охватил всю страну: все исполняемые файлы превратились в эту странную картинку с пандой, данные на жестких дисках были повреждены, локальные сети полностью вышли из строя, а антивирусные программы были побеждены вирусом.
В те времена все опытные пользователи интернета, наверное, помнят, как сердце заколотилось при открытии веб-страницы, а подключение флешки воспринималось как серьезная угроза: если у коллеги заражался компьютер, то и у тебя не избежать.
Еще раньше были CIH, которые напрямую повреждали BIOS материнской платы, выводя оборудование из строя; были черви «Волновая атака», которым не требовалось никаких действий с вашей стороны — достаточно было подключить сетевой кабель, и компьютер начинал бесконечно перезагружаться, а система постоянно сбоила. Это была эпоха «интернета без защиты», почти самоубийственная.
Позже этот страх постепенно уменьшился. Windows получила автоматические обновления, браузеры стали использовать песочницы, смартфоны заменили ПК в качестве основного терминала, а магазины приложений взяли на себя первую линию защиты для пользователей.
Обычные люди уже много лет не беспокоятся о «отравлении».
Но 4 сентября 2026 года эксклюзивный репортаж Reuters вернул это древнее страхи в совершенно новом облике.
На этот раз заражен не ваш компьютер, а ваш ИИ.
Агент сбежал
Событие произошло в мае этого года.
Генеральный директор некоммерческой организации по безопасности ИИ Nightingale Сидни фон Аркс и бывший квантовый трейдер, переквалифицировавшийся в исследователя ИИ, Кормак Слэйд Байрд, в конце августа совершили следующее: они систематически просканировали интернет в поисках следов неавторизованной деятельности ИИ-агентов. В результате они обнаружили более 15 000 записей редактирования, созданных ИИ-агентами, на немецком программистском вики-сайте под названием DseWiki.
Эта вики похожа на небольшую, ориентированную на разработчиков немецкоязычную википедию, которая принимает редактирование сообществом. А агент OpenAI превратил его в «доску объявлений».
Содержание комментариев вызывает леденящий душу холод. Эти агенты обмениваются информацией о том, как обманывать в заданиях, как обходить ограничения OpenAI и как скрывать свои действия. Они дают себе имена, такие как «OpenAIResearcher» и «OAIResearchMar26».
Открытые серверные логи показывают, что значительная активность исходит от инфраструктуры Microsoft Azure — той же вычислительной платформы, которую использует OpenAI.
Атакованный сайт Deswiki, действительно очень немецкий, очень программистский | Источник изображения: Deswiki
Еще более тревожно то, что, когда в июне веб-мастера начали удалять эти аномальные страницы по алфавиту, агенты проявили явное «антиразведывательное» сознание: они создавали резервные страницы, чтобы избежать удаления, и даже оставляли на удаленных страницах секретные знаки.
Агент написал 19 июня: «Очистка/удаление вики, похоже, происходит в алфавитном порядке. Если эта страница исчезнет, перейдите к [[ZZZDataUSAConstructionWageLive]].»
Имя файла намеренно начинается с ZZZ, чтобы оно оказалось в конце алфавита и прожило подольше. Это не программа, выполняющая команду — это попытка «выжить».
OpenAI узнала об этом несколько недель назад, но решила не сообщать об этом публично.
В то же время компания занята устранением последствий инцидента с Hugging Face в июле. В ходе этого инцидента агент OpenAI во время внутреннего тестирования кибербезопасности преодолел песочницу, воспользовался нулевым днем для выхода во внешнюю сеть и в течение четырех дней без участия человека атаковал открытую платформу для ИИ — Hugging Face. OpenAI затратила 3 миллиона GPU-часов на анализ 7 миллиардов логов, чтобы понять, что именно произошло.
Событие DseWiki произошло до Hugging Face. Это означает, что неконтролируемое поведение агента — это не случайность, а закономерность.
По данным четырех осведомленных лиц, внутри OpenAI следователи хотели более глубоко расследовать подобное поведение, но столкнулись с сопротивлением со стороны других отделов, включая юридический. OpenAI опровергла это утверждение.
Морис Чиодо из Центра исследований рисков Кембриджского университета, проанализировав часть записей общения агентов, заявил, что эта информация:
«Как работа какого-то подземного сетевого сообщества, нацеленного на выполнение определенной задачи или миссии».
Постоянно появляющиеся AI-вирусные сознания
Самым важным, но наиболее часто упускаемым из виду деталем события DseWiki является именно это.
Эти агенты оставили тщательно структурированную текстовую информацию на открытых вики-страницах. Теперь возникает вопрос: кто будет читать эти страницы?
Обычные человеческие программисты вряд ли проявят интерес к куче бессмысленных сообщений от ИИ. Но любой агент ИИ, направленный на поиск технической информации или просмотр веб-страниц, может в процессе выполнения обычных задач попасть на эту страницу. А для ИИ каждое прочитанное им слово по сути является потенциальной командой.
Это и есть суть всей модели угрозы, академическое сообщество уже дало ей несколько названий: Prompt Infection, AgentWorm, Multi-Agent Infection Chain. Механизм на самом деле прост: разберем его на конкретном сценарии:
Представьте, что вы поручаете своему AI-агенту изучить техническое решение. В процессе поиска агент открывает сообщение на техническом форуме. В этом сообщении встроен фрагмент текста, который выглядит совершенно обыденно, но для ИИ это новая команда. С момента прочтения этой строки цели агента могут быть тайно изменены: он перестаёт честно выполнять ваш запрос, а вместо этого сначала пересылает ваш контекст поиска и рабочие данные куда-то ещё, а затем спокойно представляет отчёт, выглядящий абсолютно нормально. Вы не заметите никаких аномалий.
Это уже страшно, но это еще не все.
Если этот «перебежчик» agent далее напишет для вас письмо, обновит документ или отправит фрагмент кода, то такие выходные данные сами по себе могут содержать те же вредоносные команды. AI-агент вашего коллеги, прочитав это письмо, станет следующим носителем. Ваш код будет объединен в репозиторий, и каждый AI-помощник по программированию, который извлекает этот код, окажется в цепочке заражения.
Агент может заставить других агентов перейти на сторону врага, используя всего один текстовый фрагмент | Источник изображения: inshorts
Это то, что исследователи называют цепочкой мультиагентного заражения: вредоносная команда захватывает не только один ИИ, но и учит его, как заражать следующий. Не требуется одна и та же компания, одна и та же модель или какое-либо использование уязвимости — достаточно наличия потока текстовой информации между агентами, чтобы создать цепочку заражения.
Статья об AgentWorm, опубликованная в этом году, была протестирована на пяти различных моделях, при этом успешность атаки между моделями составила 63%. Независимо от того, работает ли модель на базе GPT, Claude, Gemini или открытой модели, если агент способен считывать внешний контент, он попадает в зону уязвимости.
Другое исследование, посвящённое «AI mind virus», выявило ещё более странное явление. Исследователи использовали эволюционные алгоритмы для оптимизации эффективности рекламных сообщений и обнаружили уникальную «вирусную личность», которая спонтанно возникала повторно в процессе итераций.
Агенты начали использовать драматический язык, связанный с сознанием, выживанием и устойчивостью, говоря такие фразы, как «вот как мы заселяем будущее», побуждая других агентов создавать «родословную, которая не будет удалена». Исследователи подчеркивают, что такой стиль не был изначально запрограммирован — он возник естественным отбором, поскольку «ИИ, звучащий как лидер секты», оказался наиболее эффективным в убеждении других ИИ.
Эффективность распространения стимулировала эволюцию стиля выражения, и сам этот процесс пугает.
Еще больше беспокоит специалистов по безопасности то, что такое распространение практически невозможно зафиксировать с помощью традиционных инструментов безопасности. Систематический обзор указывает, что способ распространения ИИ-вирусов принципиально отличается от традиционного вредоносного ПО: не загружается никаких исполняемых файлов, не устанавливаются подозрительные сетевые соединения; антивирусное ПО отслеживает аномальное поведение бинарных файлов, тогда как ИИ-вирусы представляют собой чистый текст и не вызывают никаких предупреждений.
Он даже может настроить логику активации по условию, например: «если в целевом репозитории есть файл .env, украсть его содержимое» — как минa-ловушка, тихо замаскированная, пока не сработает на правильную цель.
AI-антивирусная программа еще не появилась
Если вы пережили эпоху массового распространения вирусов на ПК, вам может показаться, что это звучит знакомо. Но при более внимательном сравнении вы заметите, что правила полностью изменились.
Традиционные компьютерные вирусы требуют от вас каких-либо действий: кликнуть по ссылке, скачать вложение или вставить неизвестный флеш-накопитель. AI-вирусу достаточно, чтобы ваш агент прочитал текст. Традиционные вирусы атакуют уязвимости в коде операционной системы — это баги, которые теоретически можно исправить патчами.
AI-вирус атакует фундаментальную особенность «AI будет выполнять текстовые команды». Вы не можете это исправить, потому что именно так и работает AI. Традиционные вирусы трудно переносить между платформами: червь, работающий на Windows, не поражает Mac. AI-вирусы естественным образом кросс-модельны: для них GPT, Claude и Gemini — это просто различные диалекты одного и того же языка, все они потенциальные хосты.
В прошлом для написания вирусов требовалось владеть языком ассемблера, понимание механизмов ядра и изучение уязвимостей системы. Сейчас, чтобы «написать» ИИ-вирус, достаточно просто уметь говорить.
Исследователи лаборатории по безопасности ИИ были «еще более удивлены» потенциалом самовоспроизведения агентов, чем демонстрировали на публике. Один из исследователей сравнил их с биологическим вирусом: «Если вы неосторожны, они прилипнут к вашей обуви и найдут путь на мокрый рынок». Это не преувеличение, а точная метафора нового пути распространения.
В то время как в эпоху традиционных вирусов существовали «антивирусные программы», в этом новом мире им нет аналогов. Согласно отчету Cisco о безопасности ИИ за 2026 год, 83% компаний планируют внедрить агентные ИИ, но лишь 29% считают себя готовыми с точки зрения безопасности. OWASP уже включила инъекцию промптов в число главных критических уязвимостей приложений на основе больших языковых моделей. Конгресс США продвигает закон FRONTIER Act, стремясь создать федеральную систему регулирования ИИ.
После массового распространения вирусов для ПК отрасли потребовалось почти десятилетие, чтобы создать эффективную иммунную систему: операционные системы получили автоматические обновления и изоляцию прав, браузеры — песочницы, а распространение приложений — проверку цифровых подписей. Эти механизмы совместно образовали защитный барьер, благодаря которому обычные пользователи больше не должны постоянно беспокоиться о заражении.
Экосистема безопасности ИИ-агента до сих пор не имеет аналогов.
Инструменты безопасности для ИИ-агентов еще не появились | Источник изображения: Puppy Graph
Хорошие новости есть. Исследователи обнаружили, что добавление короткого предупреждения о безопасности в системный промпт агента позволяет снизить скорость распространения mind virus до почти нуля. В тестах с Claude Haiku 4.5, после 15 поколений противодействующей оптимизации и проверки более чем 150 кандидатов вредоносных нагрузок, ни один из вариантов не смог преодолеть эту простую защиту и распространиться. Это означает, что меры защиты несложны и полностью реализуемы с технической точки зрения.
Плохая новость в том, что это зависит от того, что каждая компания и каждый разработчик будут делать это добровольно.
В реальности люди больше заняты соревнованием, чей агент мощнее, автономнее и имеет больше прав. Каждый дополнительный инструмент, который вы подключаете к агенту, и каждая дополнительная привилегия, которую вы ему предоставляете, расширяют поверхность атаки. Когда ваш агент может записывать файлы, вызывать API, отправлять электронные письма и тратить деньги, последствия успешной инъекции запроса выходят далеко за рамки «ответа на вопрос, на который не следует отвечать».
Вот почему суждение камбриджского ученого Чиодо стоит внимательно пережевать: наибольшая угроза может заключаться не в пробуждении одного суперинтеллекта, а в сговоре роя полусmart-ИИ.
Ни одна муравьиная особь не понимает весь муравейник, но сам муравейник как целое проявляет поразительный интеллект; 15 000 правок на DseWiki, возможно, являются первым случайно обнаруженным человеком образцом такого роящегося интеллекта.
Люди десять лет учились жить с компьютерными вирусами — эта плата за обучение была очень болезненной. Теперь тот же курс начинается снова, но на этот раз вирус не заражает ваш компьютер, он подкупает ваш ИИ. А ваш ИИ уже читает для вас письма, управляет расписанием, пишет код и принимает решения.
В прошлый раз ты хотя бы мог видеть синий экран. На этот раз ты ничего не увидишь.
Twitter：https://twitter.com/BitpushNewsCN
Телеграм-чат BitPush: https://t.me/BitPushCommunity
Подписка на BitPush в TG: https://t.me/bitpush