Хакеры запускают автономные атаки за чужой счёт, воруя ключи OpenAI, Anthropic и Google

С февраля по август 2026 года аналитики Bitsight отследили рост упоминаний ИИ-агентов, непрямых инъекций в промпты и протокола MCP на 67 процентов в тысячах постов на 16 андеграундных форумах. Главная находка — появление платформы MONST3R-AI, которая превращает скомпрометированные ключи доступа к OpenAI, Anthropic и Google в топливо для автоматических атак. Инструмент продаётся как автономная платформа для тестирования на проникновение.

Покупатель вставляет украденные ключи в панель управления, задаёт лимит бюджета и указывает список целей. Продавец не хостит собственные модели — все вычисления идут через API жертвы, а счета за использование приходят ничего не подозревающей компании. Продавец заявил о 1072 находках на 199 просканированных хостах, но Bitsight не может подтвердить эти цифры независимо.

Даже если реальна лишь малая доля заявленных результатов, инструмент остаётся эффективным. В Bitsight ожидают, что кража ключей теперь будет всё чаще обслуживать именно такие сканеры, а не разовые запросы. Джейлбрейк — принуждение модели игнорировать правила безопасности — остаётся самой горячей темой на этих площадках, обсуждения выросли примерно на три четверти.

Но более показателен сдвиг в сторону открытых моделей: упоминания GLM и DeepSeek резко пошли вверх. Такие модели скачивают и запускают на арендованных серверах, где нет ни проверки запросов, ни логов, ни банов. На китайско- и русскоязычных форумах участники уже ранжируют модели по тому, насколько охотно те выполняют сомнительные запросы.

Некоторые самостоятельно вырезают защитное поведение из модели — техника, известная как abliteration. Реселлер CloseRouter предлагал открытые и коммерческие модели примерно по десять центов за миллион токенов, а GLM у него стоил 0,053 доллара за миллион входных токенов против 1,12 доллара через официальный API. Упоминания «вайб-кодинга» выросли более чем вдвое, хотя в серьёзных кругах это слово служит оскорблением для тех, кто полагается на ИИ, не понимая кода.

Такой же разрыв между инструментом и его осмысленным применением можно увидеть и в истории gotube — проект начинался как open source и в итоге стал очень популярным. На том же массиве данных Bitsight сравнила динамику ИИ-лексики с обычным криминальным словарём. Обсуждения, связанные с искусственным интеллектом, выросли на 45 процентов, тогда как упоминания программ-вымогателей упали на 49 процентов, а фишинга — на 8,5 процента.

Частично падение рансомвара объясняется захватами инфраструктуры и миграцией в закрытые каналы, но переток внимания между темами тоже заметен. Брендированные криминальные чат-боты вроде WormGPT и FraudGPT просели на 8,7 процента — почти синхронно с фишингом. WormGPT этим летом сам стал жертвой взлома: утекли адреса электронной почты, платёжные данные и уровни подписок примерно 19 тысяч пользователей.

Среди конкретных угроз Bitsight выделяет кампанию FakeGit, приписываемую группировке Water Kurita. Около 7600 подставных репозиториев на GitHub распространяли вредонос SmartLoader, из них более 800 маскировались под ИИ-навыки или MCP-серверы — включая двойника «Docker MCP Gateway», чтобы попасть в публичные реестры агентов. В других постах один участник показывал агента, который через дизассемблер IDA Pro находил переполнение буфера и составлял план эксплойта.

Другой использовал агента автоматизации браузера для взлома корпоративного аккаунта в Notion. Инженерные команды, которые без проверки подтягивают плагины агентов из открытых реестров, рискуют установить вредонос под видом полезного инструмента. Bitsight рекомендует сканировать инфраструктуру на предмет утекших ключей ИИ-провайдеров и относиться к такой утечке так же серьёзно, как к скомпрометированным учётным данным AWS.

Каждый MCP-сервер и агентский плагин нужно проверять по источнику. Локальным агентам кодинга стоит заблокировать доступ к чувствительным директориям и шелл-командам без подтверждения человеком. А поскольку агенты в headless-браузерах работают в особом ритме, имеет смысл отслеживать базовые показатели человеческих входов в Notion, Slack и GitHub.