Как ИИ атакует ваш сайт: угрозы нового поколения, о которых молчат безопасники — 15 апреля 2026 г. в 09:05:37.345
Как ИИ атакует ваш сайт: угрозы нового поколения, о которых молчат безопасники 7 апреля 2026 года Anthropic выпустил Claude Mythos Preview — модель, которая автономно нашла тысячи неизвестных уязвимостей во всех основных операционных системах и браузерах. Без участия человека обнаружила 17-летнюю дыру в FreeBSD и получила полный контроль над сервером. Написала эксплойт для браузера, объединив цепочку из четырёх уязвимостей. Нашла 27-летний баг в OpenBSD. Через неделю OpenAI выпустил GPT-5.4-Cyber — модель, способную анализировать скомпилированные программы без исходного кода на предмет уязвимостей. Обе созданы для защиты, обе доступны ограниченному кругу специалистов. Но Anthropic предупредил: «Пройдёт немного времени, прежде чем такие возможности распространятся за пределы тех, кто использует их ответственно». Я руковожу веб-студией с 2008 года, и мы уже видим, как меняется ландшафт кибербезопасности. Разберу, что это означает для вашего сайта и бизнеса. Почему это касается вас, а не только корпораций. «Нас не будут атаковать, мы не банк» — самое опасное заблуждение. ИИ масштабирует атаку: раньше хакер вручную искал слабые места конкретного сайта днями, теперь ИИ-агент одновременно сканирует тысячи сайтов, определяет CMS, версию PHP, список плагинов и генерирует атаку под конкретную конфигурацию за минуты. Ваш сайт на WordPress с 30 плагинами — не конкретная цель, а одна из десяти тысяч в очереди. По данным Positive Technologies, кибератаки на российские компании выросли на 30–35% в 2026 году. Штрафы по 152-ФЗ за утечку персональных данных — до 15 млн ₽. Вектор 1: ИИ автоматизирует полный цикл взлома. ИИ не просто находит известные уязвимости — обнаруживает новые, о которых никто не знал. Claude Mythos нашёл дыры, которые люди не могли найти десятилетиями. Причём модель цепляет несколько уязвимостей в цепочку: каждая по отдельности безобидна, но вместе дают полный контроль. Классические средства защиты работают по принципу «известные шаблоны» и такие цепочки не видят. Сейчас Mythos доступен 40 организациям, но то, что делает топовая модель сегодня, через год-два появится в открытом доступе. Вектор 2: теневой ИИ — ваши сотрудники как уязвимость. Менеджер загружает клиентскую базу в ChatGPT для рассылки. Бухгалтер вставляет финансовые данные в нейросеть. Разработчик копирует код с ключами доступа для отладки. Маркетолог загружает конфиденциальную презентацию для «улучшения текста». Никто не считает это утечкой — но данные уходят на серверы, которые компания не контролирует. Это не взлом в классическом понимании, а утечка изнутри, которую не поймает ни антивирус, ни сетевой фильтр. Вектор 3: атаки через ИИ-интеграции. Компании подключают чат-ботов к CRM, базам данных, мессенджерам. Бот без ограничения прав — готовая точка входа: его взлом открывает доступ ко всей базе клиентов. Утечка ключа интеграции через тот же «теневой ИИ» или публичный репозиторий даёт злоумышленнику те же права, что и вашему ассистенту. Что проверить прямо сейчас. PHP не ниже 8.2, CMS и все плагины обновлены. Подтверждение входа в админку через SMS или приложение. Доступы бывших сотрудников и подрядчиков отозваны. Резервные копии — ежедневные, отдельно от сервера. Инвентаризация: какие ИИ-сервисы используют сотрудники и какие данные туда попадают. Права ИИ-интеграций ограничены — бот не пишет туда, где достаточно чтения. Сколько стоит бездействие. Аудит безопасности — 30–80К. Восстановление после взлома — от 50К до 1 млн. День простоя при обороте 10 млн/мес — 330К потерянных заказов, реальные потери в 3–5 раз выше. SEO-восстановление после пометки «сайт может быть опасен» — от 2 до 8 недель. Но главное — доверие клиентов, которое строилось годами и разрушается за один день. Мы в АП-ИМ проводим аудит безопасности: серверы, код, ИИ-интеграции, защита данных. Бесплатная диагностика за 15 минут — https://www.up-im.ru/security/