# Злоумышленники развертывают автономные агенты искусственного интеллекта AntiFox для автоматизации кражи облачных учетных данных AWS

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/ru/article/threat-actors-deploy-antifox-autonomous-ai-agents-to-automate-2026-11-11-nigh-ru
Section: Software (https://technewslist.com/ru/software)
Author: TechNewsList
Language: ru
Published: 2026-11-11T19:31:18.535+00:00
Updated: 2026-11-11T19:31:18.538438+00:00

> Исследователи кибербезопасности обнаружили кампании по угрозам с использованием автономных агентов искусственного интеллекта AntiFox для автоматизации извлечения облачных учетных данных между экземплярами AWS.

## TL;DR
- Исследователи безопасности обнаружили злоумышленников, развертывающих автономные агенты искусственного интеллекта AntiFox.
- Платформа вредоносного ПО автоматизирует разведку облачной среды и извлекает учетные данные Amazon Web Services.
- AntiFox выполняет непрерывное горизонтальное перемещение между ролями IAM, не требуя ручного ввода команд злоумышленником.

## Key points
- AntiFox использует легкие мультимодальные модели для анализа сложных файлов конфигурации облака и истории терминала.
- Вредоносное ПО идентифицирует открытые учетные данные и токены сеанса AWS Identity and Access Management в течение миллисекунд.
- Автоматизированные сценарии динамически генерируют пути повышения привилегий, адаптированные к скомпрометированным иерархиям облачных учетных записей.
- Защитники предприятий сталкиваются с серьезными проблемами обнаружения, поскольку действия агентов имитируют законные административные команды DevOps.
- Командам безопасности рекомендуется использовать краткосрочные федеративные учетные данные и автоматическое обнаружение поведенческих аномалий.

## Что произошло

Исследователи корпоративной кибербезопасности выявили активные кампании по угрозам с использованием автономного агента искусственного интеллекта, известного как AntiFox, для систематической компрометации облачных сред Amazon Web Services (AWS). AntiFox, действуя как наступательный механизм рассуждения, представляет собой кардинальный переход от статических сценариев кражи учетных данных к адаптивным, автономным вредоносным программам, способным в режиме реального времени обнаруживать окружающую среду, принимать тактические решения и повышать привилегии. После развертывания внутри скомпрометированного виртуального частного облака (VPC) или контейнерного микросервиса агент опрашивает конфигурации системы, извлекает открытые токены безопасности и обеспечивает постоянный доступ через черный ход без вмешательства человека.

Технические раскрытия, опубликованные в сетях анализа угроз, показывают, что AntiFox был разработан специально для мультитенантных корпоративных архитектур, в которых используются сложные иерархии ролей управления идентификацией и доступом (IAM). Анализируя локальные файлы конфигурации, переменные среды, журналы выполнения bash и конечные точки метаданных контейнера, агент быстро идентифицирует краткосрочные учетные данные безопасности и оценивает, какие разрешения имеет каждый ключ в целевой организации AWS.

В отличие от обычного вредоносного ПО-вора, которое просто передает собранные ключи на внешние серверы злоумышленников для ручной сортировки, AntiFox действует немедленно после обнаружения. Агент автоматически выполняет вызовы интерфейса командной строки (CLI) AWS для перечисления доступных сегментов хранилища S3, запроса таблиц DynamoDB на наличие собственных данных и установления постоянных доверительных отношений между учетными записями, что резко сжимает окно времени пребывания, доступное специалистам по реагированию на инциденты.

## Почему это важно

![Длинный коридор между серверными стойками, освещенный светодиодным освещением на предприятии.](https://technewslist.com/storage/v1/object/public/media/api/1794424431901-5b2z3p-threat-actors-deploy-antifox-autonomous-ai-agents-to-automate-2026-11-11-night-inside-1-1d3e82cdce.webp)

*В коридоре современного корпоративного центра обработки данных размещены распределенные вычислительные узлы и массивы хранения данных.*

Оперативное развертывание AntiFox знаменует собой появление полностью автоматизированных агентных наступательных киберопераций в производственных средах предприятий. В течение многих лет аналитики кибербезопасности предупреждали, что появление высокоскоростных моделей рассуждения в конечном итоге позволит злоумышленникам создавать вредоносные программы, способные автономно выполнять сложные цепочки атак. AntiFox превращает это теоретическое предупреждение в конкретную оперативную реальность, демонстрируя, как модели машинного обучения с открытыми весами могут быть объединены в легкие наступательные инструменты.

Скорость, с которой работает AntiFox, фундаментально противоречит традиционным моделям сортировки центров управления безопасностью (SOC). В традиционных сценариях вторжения в облако у защитников часто проходили часы или дни между первоначальным доступом и последующим перемещением, поскольку злоумышленники просматривали украденные файлы конфигурации и вручную создавали команды атаки. AntiFox сжимает этот этап разведки до секунд, выполняя многоступенчатое повышение привилегий, прежде чем автоматизированные системы оповещения смогут обнаружить аномалии в первоначальных учетных данных.

Кроме того, AntiFox ставит перед архитекторами корпоративных облачных систем острые дилеммы атрибуции и обнаружения. Поскольку агент динамически адаптирует свои команды в соответствии с административным синтаксисом и инструментами, присутствующими в среде хоста, его вызовы API часто кажутся неотличимыми от законных развертываний Terraform, триггеров конвейера CI/CD или сценариев автоматического мониторинга инфраструктуры.

## Технические детали

Техническая архитектура AntiFox сочетает в себе встроенную среду выполнения квантованных рассуждений с модульными библиотеками оркестровки Python. Получив доступ к исполнению через неправильно настроенные сокеты Docker, неисправленные уязвимости веб-приложений или скомпрометированные рабочие станции разработчиков, вредоносное ПО инициирует автоматизированную последовательность локальной разведки.

AntiFox запрашивает службу метаданных экземпляра AWS (IMDSv1 и IMDSv2), чтобы извлечь временные учетные данные безопасности, назначенные профилю экземпляра IAM хоста. Одновременно агент сканирует локальные файловые системы на наличие открытых файлов «учетных данных» и «конфигурации» в «~/.aws/», переменных среды, соответствующих «AWS_ACCESS_KEY_ID», а также дампов памяти запущенных процессов разработчика.

Что отличает AntiFox от устаревших дамперов учетных данных, так это встроенный цикл оценки. Агент передает собранные учетные данные во встроенную локальную модель рассуждения, которая оценивает документы политики IAM в режиме реального времени. Если извлеченная роль не имеет административного доступа, AntiFox автономно сопоставляет вторичные векторы атак — например, применение ролевых политик с доверительными отношениями к ролям более высокого уровня, создание новых ключей доступа IAM или изменение правил входа группы безопасности для раскрытия внутренних баз данных.

## Влияние на рынок и отрасль

![Окно терминала Dark Linux, показывающее выполнение кода командной строки и выводимый текст.](https://technewslist.com/storage/v1/object/public/media/api/1794424432736-ynh503-threat-actors-deploy-antifox-autonomous-ai-agents-to-automate-2026-11-11-night-inside-2-e82837a429.webp)

*Командная строка системного терминала, представляющая администрирование облачного экземпляра и автоматическое выполнение оболочки.*

Появление AntiFox заставляет быстро пересмотреть архитектуру облачной безопасности предприятий и стандарты проверки личности. Директора по информационной безопасности (CISO) в секторах финансовых услуг, здравоохранения и программного обеспечения SaaS ускоряют переход от долгоживущих ключей доступа IAM и статических учетных данных экземпляра, ускоряя внедрение эфемерных инфраструктур аутентификации на основе сертификатов.

Поставщики управляемого обнаружения и реагирования (MDR) и поставщики управления состоянием облачной безопасности (CSPM) сообщают о растущем спросе клиентов на обнаружение поведенческих аномалий, способное анализировать скорость вызовов API. Традиционные механизмы обнаружения на основе сигнатур в значительной степени неэффективны против AntiFox, что вынуждает группы безопасности развертывать защитные агенты на основе машинного обучения, способные изолировать скомпрометированные роли IAM в режиме реального времени.

В то же время крупные облачные гипермасштабирующие компании, включая Amazon Web Services, Microsoft Azure и Google Cloud, сталкиваются с необходимостью внедрения более строгой защиты по умолчанию для служб метаданных и принудительного автоматического регулирования аномальной скорости API для корневых административных учетных записей.

## За чем следить дальше

В ближайшие недели организации, занимающиеся разведкой угроз, будут отслеживать подпольные хакерские форумы и репозитории разработчиков, чтобы отслеживать, публикуются ли исходный код или модульные варианты AntiFox публично или предлагаются по модели подписки «киберпреступность как услуга».

Защитникам предприятий следует следить за рекомендациями по безопасности и правилами обнаружения, выпущенными группами безопасности AWS, особенно за специализированными правилами CloudTrail Sigma, предназначенными для обнаружения быстрых автоматизированных последовательностей перечисления ролей IAM.

Наконец, ожидается, что регулирующие органы, контролирующие критически важную инфраструктуру, обновят руководящие принципы нулевого доверия, предписывая аппаратную многофакторную аутентификацию и строгое определение ролей с наименьшими привилегиями для снижения рисков вторжения автономных наступательных агентов.

## Источники

- [BleepingПровод кибербезопасности компьютера](https://www.bleepingcomputer.com/news/security/hackers-use-antifox-ai-agents-in-aws-credential-theft-attacks/)- Техническое раскрытие с подробным описанием поведения автономного агента AntiFox, командной инфраструктуры и механизмов кражи учетных данных AWS.
- [Модель безопасности веб-сервисов Amazon](https://en.wikipedia.org/wiki/Cloud_computing_security)- Обзор облачной инфраструктуры AWS, ролей управления идентификацией и доступом, а также общей модели безопасности.
- [Классификация уязвимостей облачных вычислений](https://en.wikipedia.org/wiki/Cloud_computing_security)- Основополагающая система раскрытия облачных учетных данных, повышения привилегий и защиты от горизонтального перемещения.

Mentions: AntiFox Agent, AWS Cloud Security, Autonomous Cyberattacks, IAM Credential Theft, Cloud Incident Response

## Sources
- [BleepingПровод кибербезопасности компьютера](https://www.bleepingcomputer.com/news/security/hackers-use-antifox-ai-agents-in-aws-credential-theft-attacks/)
- [Модель безопасности веб-сервисов Amazon](https://en.wikipedia.org/wiki/Amazon_Web_Services)
- [Классификация уязвимостей облачных вычислений](https://en.wikipedia.org/wiki/Cloud_computing_security)