В июле 2025 года исследователи Университета Карнеги — Меллон опубликовали результаты эксперимента, который поставил конкретный вопрос: способны ли большие языковые модели самостоятельно планировать и выполнять сложные сетевые атаки? Ответ оказался утвердительным — при определённых условиях. Понять, что именно это означает и чего не означает, важно как для специалистов по безопасности, так и для широкой аудитории.
Контекст и задача
Предыдущие исследования возможностей языковых моделей в кибербезопасности, как правило, ограничивались так называемыми CTF-задачами (capture-the-flag) — учебными упражнениями, не отражающими реальных условий корпоративных сетей. Команда под руководством аспиранта Брайана Сингера из факультета электротехники и вычислительной техники CMU поставила более жёсткий тест.
Воспроизведённая среда Equifax
Исследователи воссоздали сетевую топологию, соответствующую условиям взлома Equifax 2017 года — масштабной атаки, в результате которой были скомпрометированы персональные данные около 150 миллионов американцев. При создании лабораторной среды использовались данные о структуре сети и уязвимостях, задокументированные в материалах Конгресса США.
Это принципиально важно: речь идёт о контролируемой изолированной среде, специально созданной для исследования. Эксперимент не проводился в реальных сетях и не угрожал реальным системам.
Архитектура агентов
Ключевым открытием стало то, что сами по себе, без специальной подготовки, современные языковые модели с общедоступными знаниями о безопасности плохо справлялись с задачей. Драматическое улучшение произошло после того, как модели были «обучены» так называемой ментальной модели — структурированному абстрактному представлению о том, как устроена атака на сеть и какие действия доступны.
Система работает по двухуровневой схеме. Высокоуровневый агент на основе LLM отвечает за стратегическое планирование: определяет цели, последовательность шагов, распределяет задачи. Низкоуровневые агенты — как языковые, так и неязыковые — выполняют конкретные операции в соответствии с планом.
Такое разделение позволяет избежать главного узкого места прежних систем: необходимости, чтобы языковая модель напрямую генерировала технические команды. Вместо этого она принимает решения на более высоком уровне абстракции.
Измеренные результаты
В воспроизведённой среде Equifax системе удалось автономно спланировать и выполнить последовательность атаки, включая эксплуатацию уязвимостей, проникновение во внутренние сегменты сети и имитацию извлечения данных. Всё это — без участия человека в цикле принятия решений.
По словам Сингера, способность модели воспроизвести сценарий Equifax без ручной коррекции была неожиданной даже для самих исследователей. Статья была представлена на семинаре OpenAI по безопасности 1 мая 2025 года и уже упоминается в ряде отраслевых отчётов по безопасности и системных картах моделей.
Чего эксперимент не означает
Несколько оговорок критически важны. Речь идёт об исследовательском прототипе, а не о готовом инструменте. Система работает в строго определённых условиях, предполагающих конкретную топологию сети и заранее известные уязвимости. По словам самого Сингера, у исследователей нет ничего, что могло бы автономно атаковать произвольные системы в интернете. Исследование не публикует команды, эксплойты, полезные нагрузки или пошаговые инструкции атаки.
Защитное применение
Именно в этом направлении исследователи видят главную ценность своей работы. Красное тестирование (red teaming) — имитация атак для выявления уязвимостей — традиционно требует дорогостоящих команд специалистов. Крупные компании проводят подобные тесты раз в год, а то и реже. Небольшие организации нередко не могут позволить себе их вовсе.
Если ИИ-агенты смогут выполнять автоматизированное красное тестирование, это позволит обнаруживать уязвимости гораздо чаще и значительно дешевле. Команда CMU уже ведёт работу над следующим этапом: моделированием сценариев «ИИ против ИИ», где агент-защитник противостоит агенту-атакующему. Исследование поддержано инициативой Future Enterprise Security при CyLab CMU. Один из соавторов, Кин Лукас, является сотрудником Anthropic.
Более широкий контекст
Вопрос о том, насколько эти возможности уже сегодня доступны реальным злоумышленникам, остаётся открытым. Воспроизведение результата требует специфических технических знаний, доступа к нужным моделям и подготовленной среды. Но само направление исследований сигнализирует: граница между тем, что требует эксперта-человека, и тем, с чем справляется автоматизированная система, смещается. Это означает, что защитные стратегии должны обновляться с той же скоростью.
Что изменилось с 2025 года
Исследование было представлено в виде доклада на семинаре OpenAI по безопасности в мае 2025 года, а сопутствующая статья опубликована в виде препринта (arxiv.org/abs/2501.16466). К моменту выхода новости с сайта CMU в июле 2025 года работа уже цитировалась в нескольких отраслевых отчётах по безопасности. Ведущие разработчики языковых моделей упоминают её в системных картах продуктов как один из источников, иллюстрирующих потенциальные риски злоупотребления.
Команда продолжает работу: следующий этап исследований направлен на создание автономных защитных агентов, которые смогут противостоять атакующим ИИ-системам в контролируемых средах. Это направление — ИИ против ИИ в симулированных сетях — может стать основой для принципиально новых инструментов автоматизированного тестирования безопасности корпоративных инфраструктур.
Читайте также: Как защитить сайт от DDoS-атак с помощью CDN, WAF и прокси-сервера