ИИ-агенты заменяют багхантеров: ручной поиск багов уходит в прошлое

Журналист Уилл Найт из Wired рассказал о личном опыте: его новый сайт, созданный с помощью Claude Code для анализа ИИ-исследований, подвергся 10-минутной «атаке» со стороны ИИ-агентов RunSybil — стартапа, основанного бывшим специалистом по безопасности OpenAI Ариэлем Герберт-Воссом.

Технология RunSybil устроена по следующему принципу: главный агент Sybil координирует несколько ИИ-ботов, которые работают с разными задачами. В отличие от стандартных сканеров, которые ищут только известные уязвимости, боты RunSybil анализируют структуру сайта, проверяет аномалии доступа, комбинирует параметры, ищет неожиданные лазейки, как это делает опытный хакер.

Система способна запускать тысячи процессов параллельно, не упуская деталей и не уставая, — результат напоминает работу целой команды пентестеров, но с машинной точностью. Сайт журналиста оказался слишком простым — уязвимостей обнаружено не было. Однако на демонстрационном сайте магазина с известными уязвимостями боты Sybil быстро выстроили карту сервиса, нашли слабые места и успешно провели серию атак.

По мнению экспертов, такие технологии могут стать прорывом: если злоумышленники используют ИИ, то и оборона должна быть «умной» и постоянной. Команды RunSybil способны проводить автоматическое тестирование систем так же регулярно, как крупные компании делают это вручную.

«Мы на пороге технологического взрыва в кибербезопасности: и хорошие, и плохие игроки будут все активнее использовать ИИ», — отмечает Герберт-Восс. Исследования Университета Карнеги-Меллон и Anthropic также подтверждают перспективность такого подхода: хотя современные языковые модели пока не умеют проводить сложные сетевые атаки, автономные цели и высокоуровневые задачи они уже решают все лучше.