Google GTIG виявила перший AI-експлойт zero-day: хакери планували масову атаку на обхід 2FA / The Verge
Google опублікувала звіт, в якому повідомила про першу задокументовану кібератаку з використанням zero-day експлойта, створеного штучним інтелектом. Атаку вдалось зупинити до початку масового застосування.
Zero-day вразливість — це незадокументована помилка в програмному забезпеченні, про яку розробник іще не знає. Назва походить від того, що у жертви “нуль днів” на реагування. Зловмисники використовують такі вразливості до виходу патча.
Google Threat Intelligence Group (GTIG) встановила, що невідома кіберзлочинна група використовувала ШІ для розробки експлойта під відкритий вебінструмент адміністрування систем. Мета — масовий обхід двофакторної автентифікації (2FA). Google повідомила розробника ураженого інструменту, той випустив патч — атаку зупинили.
Докази участі ШІ виявились у самому коді. Скрипт, написаний мовою Python, містив надлишок навчальних коментарів і детальних пояснень — нетипових для людини-розробника. Крім того, у коді виявили галюцинований, але неіснуючий CVSS-рейтинг (стандартна метрика для оцінки серйозності вразливостей). Саме ці артефакти і насторожили дослідників GTIG.
Головний аналітик GTIG Джон Халтквіст зазначив, що злочинці отримали значну перевагу у швидкості: ШІ дозволяє значно швидше перетворювати вразливості на готову зброю, ніж це раніше вдавалось навіть досвідченим хакерам.
“Гра почалась, і ми очікуємо, що траєкторія можливостей буде дуже крутою,” — заявив він.
Google не розкрила назву кіберзлочинного угруповання, ураженого інструменту та ШІ-моделі, яку використовували зловмисники. Компанія підтвердила лише одне: ні Gemini, ні Mythos від Anthropic у цій атаці не застосовувались. Нагадаємо, що Anthropic у квітні 2026 року відмовилась від широкого релізу моделі Mythos саме через її здатність знаходити і експлуатувати вразливості в програмному забезпеченні.
Цей інцидент підтверджує давнє побоювання фахівців з кібербезпеки: ШІ знижує поріг входу для складних атак. Те, що раніше потребувало років досвіду і глибоких знань, тепер стає доступним значно ширшому колу зловмисників.
Джерело: The Verge
Контент сайту призначений для осіб віком від 21 року. Переглядаючи матеріали, ви підтверджуєте свою відповідність віковим обмеженням.
Cуб'єкт у сфері онлайн-медіа; ідентифікатор медіа - R40-06029.