В отчёте IRONSCALES говорится, что ИИ-агенты становятся новой целью фишинговых атак

Фишинговому сообщению больше не нужно убеждать сотрудника, которому принадлежит почтовый ящик. Оно может нацелиться на программу, которая читает эту почту от его имени. Именно об этом предупреждает новый отчёт IRONSCALES От дипфейков до двойных агентов: новый облик киберрисков, связанных с ИИ. В нём говорится, что внедрение в компаниях инструментов, способных выполнять действия, опережает развитие мер безопасности, призванных их контролировать.

В опросе Censuswide, проведённом по заказу компании, 77% респондентов сообщили, что за последний год ИИ-агент или инструмент в их организации действовал на основании вредоносного, вводящего в заблуждение или несанкционированного контента. Меньшая, но всё же значительная доля — 57% — сообщила как минимум об одном подтверждённом случае. Эти цифры отражают сообщения респондентов об инцидентах, в том числе о предполагаемых событиях, вошедших в более общую статистику; это не независимо проверенный подсчёт успешных взломов.

Эти результаты появились на фоне более обнадёживающей тенденции: инвестиции в защиту от дипфейков выросли, а сообщаемые финансовые потери стали менее значительными. В совокупности данные указывают на практическую задачу для руководителей служб безопасности: распространить защиту на автоматизированные системы принятия решений, не отказываясь от мер, разработанных для людей.

ИИ-агенты получают доступ к важным системам

Censuswide опросила 501 специалиста по информационным технологиям и кибербезопасности из США, занимающего должность не ниже среднего управленческого звена и работающего в компании с численностью персонала от 1 000 до 10 000 человек. Возраст участников составлял от 25 до 55 лет, а полевой этап исследования проходил с 9 по 17 сентября 2026 года. Поэтому результаты характеризуют эту выборку крупных компаний, а не все предприятия, использующие ИИ.

В этой выборке 96% респондентов сообщили, что их организации используют ИИ-агентов или инструменты, способные действовать от имени сотрудников, а 52% назвали внедрение таких решений широкомасштабным. В отчёте используется широкое определение, включающее инструменты, которые читают сообщения и отвечают на них, получают доступ к файлам и запускают рабочие процессы.

Среди организаций, использующих такие инструменты, 67% предоставляют им доступ к системам управления заявками или службам поддержки, 56% — к облачным хранилищам, а 49% — к электронной почте или сервисам обмена сообщениями. Ещё 30% разрешают доступ к финансовым системам, выставлению счетов, закупкам или платёжным системам. Лишь 19% сообщили, что их инструменты ограничены публичным веб-пространством и не имеют доступа к внутренним ресурсам.

Разница между ответом на вопрос и выполнением действия имеет серьёзное значение. Неточное резюме может ввести читателя в заблуждение; инструмент, подключённый к корпоративным системам, также может переместить данные или запустить рабочий процесс. От того, какие разрешения предоставлены инструменту, зависит, насколько далеко могут распространиться последствия ошибки.

Почтовый ящик — точка входа и для ИИ-агентов

Среди респондентов, сообщивших об инциденте, связанном с ИИ-агентом, 42% заявили, что ИИ-инструмент обобщил вредоносное электронное письмо или сообщение либо выполнил содержащиеся в нём указания. Ещё 41% сообщили, что злоумышленник использовал ИИ-инструмент для фишинга или социальной инженерии. Эти категории могут пересекаться, а второй показатель охватывает использование ИИ злоумышленником и не обязательно означает, что собственный агент жертвы был скомпрометирован.

Это важное уточнение. Опрос объединяет в общей картине несколько типов сбоев, связанных с ИИ; он не доказывает, что во всех инцидентах применялась одна и та же техника атаки. Тем не менее он показывает, почему организациям необходимо анализировать как контент, который обрабатывают агенты, так и действия, которые разрешают выполнять их интеграции.

Полезно рассматривать этот риск, разделяя информацию и полномочия. Сообщение может содержать инструкции, но само его появление в почтовом ящике не делает эти инструкции санкционированными. Когда программное обеспечение может действовать в подключённых системах, соблюдение этой границы становится частью управления доступом и проектирования рабочих процессов.

Платформа IRONSCALES для защиты электронной почты отражает особое внимание компании к этой точке входа. Компания описывает свой подход на основе API как сочетание анализа с помощью ИИ, автоматизированного расследования и экспертной аналитики угроз, а также имитации фишинговых атак и защиты от дипфейков в Microsoft Teams. Эти возможности позволяют понять позицию спонсора исследования; данный опрос не является независимой оценкой эффективности его продуктов.

Процедуры согласования существуют, но безопасность редко играет ведущую роль

Среди 479 респондентов, чьи организации используют ИИ-инструменты, способные выполнять действия, 78% назвали ИТ-отдел основным подразделением, согласующим использование агентов, помощников, плагинов и коннекторов. Лишь 6% назвали службу безопасности, а 14% сообщили, что согласование совместно проводят несколько подразделений.

Быть основным подразделением, согласующим решения, — не то же самое, что участвовать в них. Эти цифры не означают, что служба безопасности исключена из всех остальных процессов согласования. Однако они показывают, что решения об инструментах со значительным уровнем доступа обычно принимают другие подразделения.

Среди организаций, сообщивших об инциденте, 39% заявили, что сотрудник предоставил ИИ-инструменту доступ, который служба безопасности не одобрила бы. Этот вывод делает вопрос управления вполне конкретным: кто оценивает разрешения до активации коннектора и кто может отозвать их, если инструмент ведёт себя непредсказуемо?

В отчёте также выявлено несоответствие между уверенностью и фактической готовностью. Хотя 93% сообщили, что планы реагирования на инциденты охватывают ИИ-агентов, а 84% выразили уверенность в том, что смогут выявить инцидент, связанный с ИИ, лишь 52% заявили, что у них полностью внедрены формальные политики, средства контроля и процессы реагирования на инциденты. Ещё 35% сообщили о наличии политик, подкреплённых ограниченными техническими средствами контроля.

Убытки от дипфейков сократились, но угроза сохраняется

Результаты исследования дипфейков выглядят более обнадеживающими по сравнению с опросом Censuswide, проведенным в 2025 году среди 500 респондентов с теми же характеристиками. Доля организаций, активно инвестирующих в защиту, выросла с 37% до 48%. Среди организаций, сообщивших о финансовых потерях, доля тех, чьи убытки составили не менее 100 000 долларов США, снизилась с 63% до 49%, а доля тех, кто потерял 1 миллион долларов США или больше, уменьшилась с 6% до 3%.

Расчетный средний размер убытков среди организаций, понесших финансовые потери, снизился примерно с 280 000 до 225 000 долларов США. Эти оценки основаны на средних значениях указанных диапазонов убытков. Поскольку в опросах по-разному задавались вопросы об убытках, сравнение не учитывает ответы о нулевых убытках, ответы «не знаю» и отказы от ответа.

В отчете прямо отмечается, что одновременный рост инвестиций и снижение убытков не доказывают, что одно стало причиной другого. Инциденты также не исчезли: о как минимум одном инциденте, связанном с дипфейками, сообщили 84% респондентов против 85% в 2025 году. Определение дипфейков здесь широкое: оно охватывает поддельные изображения и сфальсифицированные электронные письма, а также имитацию голоса и видео в реальном времени.

Существует и проблема конкурирующих приоритетов. Доля тех, кто считает защиту от дипфейков первоочередной задачей, снизилась с 71% до 60%, хотя ИИ, способный выполнять действия, создает дополнительную нагрузку на бюджеты служб безопасности. Снижение убытков — повод изучить, какие меры работают, а не считать, что угроза миновала.

Защищайте действия, а не только общение

IRONSCALES рекомендует привлекать специалистов по безопасности к утверждению ИИ-агентов, ограничивать их разрешения, отслеживать их действия и проверять готовность к реагированию на инциденты с помощью атак, нацеленных как на сотрудников, так и на агентов. Эти рекомендации объединяют две темы отчета: вводящий в заблуждение контент по-прежнему опасен, но программное обеспечение, которому разрешено действовать, меняет то, к каким последствиям может привести такой обман.

Для корпоративной команды это означает, что нужно знать, какие агенты существуют, к каким системам каждый из них может получить доступ и какие действия требуют проверки человеком. Журналы должны позволять восстановить, что именно инструмент прочитал и сделал. При тестировании следует выяснять, может ли недоверенное сообщение повлиять на разрешенный рабочий процесс, а не только проверять, распознают ли сотрудники подозрительное электронное письмо.

Главный вклад отчета — описание разрыва между внедрением, уверенностью и реально введенными мерами контроля. В полном отчете От дипфейков до двойных агентов: новый облик киберрисков, связанных с ИИ читатели могут ознакомиться с вопросами опроса, оговорками относительно методологии и рекомендациями.