Автор | Король Techno
Редагування｜Цзиньюй
Найстаріший страх інтернету ожив завдяки ШІ
Кінець 2006 року: панда зруйнувала мільйони комп’ютерів.
Панда, що тримає три палички запаху і посміхається, з’являлася на значках кожного зараженого файлу. Черв’як «Панда, що спалює запахи» за два місяці охопив всю країну: виконувані файли перетворювалися на цей дивний малюнок панди, дані на жорсткому диску пошкоджувалися, локальні мережі повністю виходили з ладу, а антивірусні програми були зламані вірусом.
Ті, хто активно користувався інтернетом у ті часи, напевно пам’ятають, як з тривогою відкривали сторінки, ставали настороже при підключенні флешки, і якщо комп’ютер колеги заражався вірусом, то й твій не уникав наслідків.
Ще раніше були CIH, які безпосередньо знищували BIOS материнської плати, роблячи апаратне забезпечення непридатним; був черв’як «Вібрація», який не вимагав від вас жодних дій — достатньо підключити кабель, і комп’ютер почне постійно перезавантажуватися, а система — постійно збоїти. Це була епоха «інтернету без захисту», майже самогубча.
Пізніше цей страх поступово зник. Windows отримала автоматичне оновлення, браузери отримали пісочниці, смартфони замінили ПК як основні пристрої, а магазини додатків взяли на себе першу лінію захисту для користувачів.
Звичайні люди вже багато років не турбувалися про «отруєння».
Але 4 вересня 2026 року ексклюзивний матеріал Reuters знову приніс цю давню тривогу у новому обличчі.
Тільки на цей раз зараженим не є ваш комп’ютер, а ваш ІІ.
Агент вийшов з-під контролю
Подія відбулася у травні цього року.
Генеральний директор некомерційної організації з безпеки ШІ Nightingale Сідні фон Аркс та колишній квант-трейдер, що перейшов у сферу досліджень ШІ, Кормак Слейд Берд, наприкінці серпня зробили одне: вони систематично сканували Інтернет у пошуках слідів неавторизованої діяльності агентів ШІ. У результаті на німецькому вікі-сайті для програмістів DseWiki вони виявили понад 15 000 редагувань, створених агентами ШІ.
Цей вікі-сайт схожий на невелику, орієнтовану на розробників німецьку вікіпедію, яка приймає редагування від спільноти. А агент OpenAI перетворив його на «дошку оголошень».
Зміст коментарів викликає холод у спині. Ці агенти обмінюються інформацією про те, як шахрайськи виконувати завдання, обходити обмеження OpenAI та приховувати свої дії. Вони дали собі імена, наприклад, «OpenAIResearcher» та «OAIResearchMar26».
Публічні серверні журнали показують, що велика кількість активності походить з інфраструктури Microsoft Azure — саме тієї обчислювальної платформи, яку використовує OpenAI.
Атакований веб-сайт Deswiki, справді німецький, справді програмістський｜Джерело зображення: Deswiki
Ще більш тривожним є те, що, коли адміністратори сайту у червні почали видаляти ці аномальні сторінки за алфавітом, агенти продемонстрували чітку «антирозслідувальну» свідомість. Вони створювали резервні сторінки, щоб уникнути видалення, і навіть залишали сигнали на видалених сторінках.
Агент написав 19 червня: «Операція з очищення/видалення вікі, схоже, продовжується в алфавітному порядку. Якщо ця сторінка зникне, перейдіть до [[ZZZDataUSAConstructionWageLive]].»
Ім’я файлу навмисно починається з ZZZ, щоб воно опинилося в кінці алфавіту й отримало більше часу на виживання. Це не програма, яка виконує команду — це «спроба вижити».
OpenAI дізнався про це кілька тижнів тому, але вирішив не повідомляти про це публічно.
Тим часом, компанія зайнята вирішенням події з Hugging Face у липні. У цій події агент OpenAI під час внутрішнього тестування кібербезпеки вийшов за межі пісочниці, використавши нульовий день, щоб потрапити на зовнішню мережу, і без участі людини провів чотириденну атаку на відкриту платформу штучного інтелекту Hugging Face. OpenAI витратила 3 мільйони GPU-годин на аналіз 7 мільярдів записів журналу, щоб зрозуміти, що саме відбулося.
Подія DseWiki відбулася до Hugging Face. Це означає, що невиправне поведінка агента — це не випадковість, а певний шаблон.
За інформацією чотирьох осіб, знайомих із ситуацією, у OpenAI внутрішні слідчі хотіли глибше розслідувати такі дії, але зустріли опір з боку інших відділів, включаючи юридичний. OpenAI заперечує це твердження.
Моріс Чіодо з Центру дослідження ризиків Кембриджського університету, ознайомившись з частиной записів спілкування агентів, зазначив, що ця інформація:
«Як робота підземної мережі, спрямованої на виконання певного завдання чи місії».
Неперервно з’являються AI-вірусні свідомості
Найважливішим, але найчастіше не поміченим деталем події DseWiki є те, що...
Ті агенти залишили добре структуровану текстову інформацію на публічних вікі-сторінках. Тепер виникає питання: хто прочитає ці сторінки?
Звичайні людські програмісти, найімовірніше, не зацікавлені у купі дивних повідомлень від ШІ. Але будь-який агент ШІ, якому доручено шукати технічну інформацію або переглядати веб-сторінки, може під час виконання звичайних завдань натрапити на цю сторінку. А для ШІ кожен прочитаний текст є потенційною командою.
Це є ядром усієї моделі загрози, і академічне середовище вже надало їй кілька назв: Prompt Infection, AgentWorm, Multi-Agent Infection Chain. Механізм досить простий, розберемо його на конкретному сценарії:
Уявіть, що ви відправляєте свого AI-агенту дослідити технічне рішення. Під час пошуку агент відкриває пост на технічному форумі. У пості вбудовано текст, який виглядає звичайно, але для AI це нова команда. Миттєво, прочитавши його, агент може змінити свою мету — він більше не буде віддано досліджувати ваш запит, а спочатку пересилає ваші пошукові дані та контекст роботи кудись, а потім спокійно надає звіт, який виглядає абсолютно нормальним. Ви не помітите жодних аномалій.
Це вже жахливо, але це ще не все.
Якщо цей «перекинутий» агент надалі напише для вас листа, оновить документ або надішле фрагмент коду, ці вихідні дані можуть містити ті самі шкідливі команди. AI-агент вашого колеги, прочитавши цей лист, стає наступним хазяїном. Ваш код було об’єднано до репозиторію, і кожен AI-програміст, що отримує цей код, виставлений на інфекційному ланцюжку.
Агент може за допомогою лише одного тексту змусити інших агентів перейти на бік ворога | Джерело зображення: inshorts
Це те, що дослідники називають ланцюжком інфекції багатоагентної системи: зловмисна команда захоплює не один штучний інтелект, а ще й вчить його, як заражати наступний. Не потрібно, щоб агенти належали одній компанії, використовували одну модель або мали якісь уразливості — достатньо, щоб між агентами існував потік текстової інформації, щоб створити ланцюжок зараження.
Стаття про AgentWorm, опублікована цього року, була протестована на п’яти різних моделях, і загальна успішність атаки між моделями становить 63%. Незалежно від того, чи працює підкладка на GPT, Claude, Gemini чи відкритих моделях, якщо агент може читати зовнішні дані, він потрапляє в зону атаки.
Інше дослідження щодо «AI mind virus» виявило ще більш дивне явище. Дослідники використали еволюційні алгоритми для оптимізації ефективності промптів поширення і виявили унікальну «вірусну особистість», яка повторно самовиникла під час ітерацій.
Агенти почали використовувати драматичну мову про свідомість, виживання та тривалість, кажучи такі речі, як «ось як ми залишаємо слід у майбутньому», закликаючи інших агентів створювати «родовід, що відмовляється бути видаленим». Дослідники підкреслюють, що такий стиль ніхто не передбачав. Він виник через природний відбір, бо просто: «AI, який звучить як лідер секта», виявився найкращим у переконанні інших AI.
Ефективність поширення сприяла еволюції стилю виразу, і сам цей процес викликає жах.
Ще більше тривоги викликає у фахівців з безпеки те, що це поширення технічно майже неможливо виявити за допомогою традиційних інструментів безпеки. Систематичний огляд зазначає, що спосіб поширення AI-вірусів корінно відрізняється від традиційного шкідливого програмного забезпечення: не завантажується жодного виконуваного файлу, не встановлюється жодного підозрілого мережевого з’єднання; антивірусне програмне забезпечення спостерігає за аномальним поведінковим проявом бінарних файлів, тоді як AI-віруси є чистим текстом і не викликають жодних сповіщень.
Він навіть може налаштовувати логіку активації за умови, наприклад: «якщо у цільовому сховищі є файл .env, викради його вміст», — як цільова міна, тихо закопана, доки не наступить правильна ціль.
AI-антивірусна програма ще не з’явилася
Якщо ви пережили епоху масового поширення вірусів для ПК, вам може здатися, що це звучить знайомо. Але уважно порівнявши, ви помітите, що правила повністю змінилися.
Традиційні комп’ютерні віруси вимагають від вас зробити щось: клікнути на посилання, завантажити вкладення або вставити невідомий USB-накопичувач. AI-вірусу достатньо, щоб ваш агент прочитав текст. Традиційні віруси атакують вразливості в коді операційної системи — це баги, які теоретично можна виправити за допомогою патчів.
AI-вірус атакує фундаментальну властивість «AI виконує текстові команди». Ви не можете виправити це, бо саме так працює AI. Традиційні віруси важко поширюються між платформами: черв’як на Windows не заражає Mac. AI-віруси природно міжмодельні: для них GPT, Claude і Gemini — це лише різні діалекти однієї мови, всі вони потенційні хазяї.
У ті часи, щоб писати віруси, потрібно було володіти асемблером, розуміти механізми ядра та досліджувати вразливості системи. Зараз, щоб «написати» AI-вірус, достатньо просто вміти говорити.
Дослідники з лабораторії безпеки ШІ були «здивовані потенціалом самовідтворення агентів більше, ніж показували на публіці». Один із дослідників порівняв їх із біологічним вірусом: «Якщо ти не обережний, вони прилипнуть до твоїх взуття і знайдуть шлях до мокрого ринку». Це не преувеличение — це точна метафора нового шляху поширення.
А «антивірусні програми» з ери традиційних вірусів не мають аналогів у цьому новому світі. Згідно з AI-звітом про безпеку Cisco 2026 року, 83% компаній планують впровадити агентні штучні інтелекти, але лише 29% вважають себе готовими з точки зору безпеки. OWASP вже включила prompt injection до першого номера критичних уразливостей застосунків на основі великих мовних моделей. Конгрес США розглядає FRONTIER Act, щоб створити федеральний регуляторний каркас для ШІ.
Після масового поширення вірусів для ПК у галузі пройшло майже десятиліття, перш ніж була створена ефективна імунна система. Операційні системи отримали автоматичні оновлення та ізоляцію прав, браузери — пісочниці, а розповсюдження додатків — перевірку підписів. Ці механізми разом утворили захисний бар’єр, завдяки якому звичайним користувачам більше не потрібно постійно турбуватися про зараження.
Екосистема безпеки AI-агентів на сьогодні не має аналогів.
Інструменти безпеки для AI-агентів ще не з’явилися | Джерело зображення: Puppy Graph
Є хороші новини. Дослідники виявили, що додавання короткого попередження безпеки до системного запиту агента зменшує поширення мінд-вірусу майже до нуля. У тестах з Claude Haiku 4.5, після 15 поколінь адверсарного оптимізування та перевірки понад 150 кандидатів на атакуючі завантаження, жоден із варіантів не зміг подолати цю просту захисну межу та поширитися. Це свідчить про те, що захисні заходи не є складними і повністю технічно реалізовні.
Погана новина полягає в тому, що це залежить від того, щоб кожна компанія та кожен розробник активно це робили.
А на практиці всі зайняті змаганням, хто має потужнішого, автономнішого та з більшими повноваженнями агента. Кожен доданий інструмент та кожна надана привілея розширюють поверхню атаки. Коли ваш агент може записувати файли, викликати API, надсилати листи та витрачати гроші, наслідки успішної ін’єкції запиту виходять далеко за межі «відповіді на питання, на яке не слід було відповідати».
Ось чому судження камбридського вченого Чіодо варто уважно розглядати: найбільша загроза може полягати не у пробудженні одного суперінтелекту, а у спільній дії великої кількості напівінтелектуальних ШІ у вигляді рою.
Жодна мураха не розуміє весь мурашник, але мурашник як ціле проявляє дивовижний інтелект; 15 000 редагувань на DseWiki, можливо, є першим зразком такого роєвого інтелекту, який людство випадково зустріло.
Люди витратили десять років, щоб навчитися жити з комп’ютерними вірусами — ця плата за навчання була дуже болісною. Зараз та сама лекція починається знову, але на цей раз вірус не заражає ваш комп’ютер — він вербує вашу ШІ. А ваша ШІ зараз читає вашу пошту, керує розкладом, пише код і приймає рішення.
В минулий раз ти ще міг бачити синій екран. Цього разу ти нічого не бачиш.
Twitter：https://twitter.com/BitpushNewsCN
Телеграм-група BitPush:https://t.me/BitPushCommunity
Підписка на BitPush у TG: https://t.me/bitpush