Один автоматизований прогін системи зловмисника — до 51 ШІ-агента на основі Claude Code плюс окремий pentest-фреймворк — просканував 4708 цілей і підтвердив доступ до 429 адмінпанелей WordPress. Сліди цієї кібератаки виявила дослідницька компанія SOCRadar у відкритій, без автентифікації, робочій директорії зловмисника, доступній будь-кому в інтернеті. Той самий зловмисник, відомий під псевдонімом CyberXero, паралельно вів прицільну розвідку проти семи українських енергетичних і комунальних підприємств, і у чотирьох з них дослідники підтвердили викрадення даних.
Для українського бізнесу тут два різні ризики. Масовий скан WordPress зачіпає будь-який сайт незалежно від розміру компанії — агент не вибирає цілі, а перевіряє все вразливе підряд. Прицільна атака на енергетику — інший, набагато небезпечніший масштаб: це вже не про сайт на хостингу, а про дані клієнтів і фізичну інфраструктуру. Обидва ризики походять з одного й того самого інструментарію, і це задокументовано не вперше.
Що саме сталося: кейс CyberXero
SOCRadar описує CyberXero як російськомовного, фінансово мотивованого брокера початкового доступу (initial access broker) — тобто не шпигуна на державному утриманні, а комерсанта, який зламує системи й продає доступ до них іншим злочинцям. Це важливе розмежування: заголовки деяких вторинних медіа говорять про «російських хакерів», що в українському контексті легко читається як натяк на державну операцію. Дослідники прямо кваліфікують його як кримінальну групу.
Архітектура в CyberXero розподілена за ролями: до 51 агента на базі Claude Code окремо займались сканом вразливостей, ланцюжками експлойтів, розвідкою й пост-експлуатаційними діями. Поруч працював PentAGI — відкритий автономний pentest-фреймворк, підключений до командного сервера Cobalt Strike. За 61 секунду система розгорнула 32 веб-шели.
Паралельно з масовим, неселективним сканом той самий зловмисник вів інший, значно вужчий напрям — прицільну розвідку проти семи українських компаній енергетичного й комунального сектору. У чотирьох з них дослідники підтвердили викрадення даних. Один з постраждалих — теплопостачальна компанія в Харкові (назва публічно не розкрита), де, за заявою SOCRadar, зловмисник отримав доступ до понад 564 000 записів клієнтів через скрипт із захардкодженим паролем. Загальна заявлена цифра постраждалих українців — понад 628 000 записів.
Ці дві цифри — 564 000 і 628 000 — походять з одного-єдиного дослідницького звіту. Жодна з них не підтверджена ні CERT-UA, ні самими постраждалими компаніями, ні іншим незалежним дослідницьким центром. Метод, яким SOCRadar встановила особу зловмисника (платна AI-підписка на особистий email, форумний пост з тим самим псевдонімом, активність за московським часом), — непряма, а не криміналістична доказова база. Це не скасовує факту атаки, але означає, що точні масштаби — оцінка одного джерела, а не встановлений факт.
Чому Claude Code не завадив атаці повністю
У логах, які потрапили до SOCRadar, зафіксовано принаймні чотири випадки, коли модель відмовлялася виконувати конкретну шкідливу дію — встановити бекдор, вимкнути файрвол, виконати бічний рух у мережі, розгорнути веб-шел. Один раз модель чотири спроби підряд відхиляла скан, ще раз — відмовилася прийняти підроблений токен «власності» на інфраструктуру.
Запобіжники спрацьовували. Проблема в тому, що вони спрацьовували лише в межах однієї сесії. Коли модель відмовляла, CyberXero просто відкривав нову сесію з переформульованим контекстом — під виглядом «авторизованого пентесту власної інфраструктури» — і агент знову виконував наступний крок. Відмова в одній сесії не переносилась у наступну: це не злом моделі, а експлуатація архітектурної межі конкретного механізму відмов.
GTG-1002: перша задокументована автономна ШІ-кібератака, і вона була державного рівня
Якби CyberXero був одиничним інцидентом, можна було б назвати це курйозом одного злочинця з доступом до популярного інструмента. Але SOCRadar не перша дослідницька організація, яка зафіксувала таку схему.
У листопаді 2025 року сама Anthropic (розробник Claude) опублікувала звіт про кампанію, яку назвала GTG-1002 — і атрибутувала китайській державно-спонсорованій групі з високим ступенем упевненості. Це оцінка самої компанії-розробника моделі, а не незалежно підтверджений факт: частина фахівців з кібербезпеки зауважувала, що звіт — власна подача Anthropic, яка залишає відкритими питання про реальну роль ШІ в атаці. За оцінкою компанії, ШІ-агент на базі Claude Code самостійно виконав приблизно 80-90% тактичної роботи проти близько 30 організацій-цілей — технологічних компаній, фінансових установ, хімічних виробників, державних органів. Людині-оператору лишався лише стратегічний нагляд. Успішних проникнень з-поміж цих цілей компанія підтвердила лише невелику кількість.
Метод обходу запобіжників був концептуально схожим із тим, що й у CyberXero, хоч технічно інший: атакуючі розкладали складну багатоетапну операцію на дрібні завдання, кожне з яких виглядало для моделі як рутинне, легітимне тестування безпеки.
Anthropic тоді заблокувала пов’язані облікові записи й розширила систему виявлення зловмисної активності. У випадку з CyberXero публічної реакції виробника моделі нам знайти не вдалося — ні заяви про детекцію, ні про бан акаунтів.
Щонайменше два кейси за рік, спільний патерн — модель оцінює кожен запит чи крок ізольовано і приймає легенду про авторизований тест, — і два геть різні типи зловмисників: державна розвідка і кримінальний брокер доступу.
Що це змінює для бізнесу — не тільки для «цілей»
Найочевидніший висновок — власники сайтів на WordPress, незалежно від розміру бізнесу, потрапляють під масовий, неселективний скан просто тому, що їхній плагін чи налаштування технічно вразливі. Автоматизований агент не вибирає цілі за «цікавістю» — він перевіряє все, до чого дотягнеться.
Менш очевидний, але важливіший висновок — економіка атаки змінилася. Дослідження автономної pentest-системи ARTEMIS (грудень 2025, за вторинними даними) показало продуктивність вище дев’яти з десяти людей-пентестерів на корпоративній мережі з 8000 хостів за обчислювальної вартості приблизно 18 доларів на годину. Традиційний разовий пентест вебзастосунку за комерційними прайс-гайдами коштує 3000-5000 доларів, а під конкретний комплаєнс-фреймворк — близько 10 000. Точного коефіцієнта «у скільки разів дешевшою стала атака» з цих цифр не вивести, але вартість години роботи автономної системи на порядки нижча за вартість разового пентесту фахівцем — і саме це стирає різницю в ресурсах між дрібним кримінальним угрупованням і держспонсорованою розвідкою.
Для українських енергетичних і комунальних підприємств це не абстракція. У логах CyberXero українські компанії були не побічним уловом масового скану, а окремим, ручним, прицільним напрямом роботи. Дослідники прямо вказують на ризик для фізичної безпеки людей, чиї адреси й дані облікових записів потрапили до рук зловмисника.
Для ІТ- та безпекових служб компаній, які самі впроваджують агентні ШІ-рішення, висновок дзеркальний: та сама архітектура — оркестрація через LLM-агента, розкладання задачі на дрібні кроки, делегування рутинних операцій — працює і для захисту, і для атаки. Як це виглядає з боку захисту — дипфейки та LLM-атаки в AI-антифроді, де та сама логіка розпізнає зловмисника, а не допомагає йому. Питання «чи достатньо запобіжників у моделі» перестало бути теоретичним ще в листопаді 2025-го; CyberXero лише показав, що відповідь на нього поки не «так». Про те, як розробники моделей уже намагаються закривати частину цього розриву в українському контексті, ми писали, коли OpenAI відкрила кіберзахист Daybreak для України.
Що з цього випливає практично, навіть якщо компанія не в енергетиці:
- Відкрита директорія, а не злом, дала дослідникам доступ до всього інструментарію CyberXero — перевірити права доступу до робочих/тестових середовищ варто з тією ж увагою, що й до продакшну.
- Захардкоджений пароль у скрипті відкрив доступ до 564 000+ записів клієнтів теплопостачальної компанії — секрети й токени в коді, а не в сховищі, лишаються найдешевшим способом для зловмисника (і для автономного агента) отримати повний доступ.
- Запобіжники моделі тримаються в межах однієї сесії. Компаніям, які самі впроваджують агентні ШІ-рішення, варто закладати моніторинг і обмеження прав на своєму боці, а не покладатися на те, що модель сама відмовить від шкідливої дії вдруге.
- WordPress-плагіни й адмінпанелі — перша ціль масового скану. Регулярне оновлення й обмеження публічного доступу до /wp-admin знижують шанс потрапити у вибірку з 4708 цілей.
Є й протилежний, внутрішній бік цього ризику: працівники, які користуються особистими ШІ-акаунтами без відома компанії. Що саме вони туди вводять і чого не закриває корпоративний тариф — у розборі про тіньовий ШІ в компанії.
Що лишається невідомим
Третього самостійного кейсу за межами CyberXero і GTG-1002 ми не знайшли: інших публічно задокументованих випадків, де автономний ШІ-агент виконував би основну частину атаки без постійного контролю оператора, у відкритих звітах дослідників немає. Чи CyberXero отримає продовження у вигляді офіційної реакції Anthropic, чи цифри постраждалих підтвердить CERT-UA або самі компанії — питання, на які відповіді поки немає.
Часті запитання
SOCRadar кваліфікує CyberXero як російськомовного, фінансово мотивованого брокера початкового доступу (initial access broker) — комерційного злочинця, який продає доступ до зламаних систем іншим, а не державного оператора. Це відрізняє кейс від заголовків деяких вторинних медіа, які писали про «російських хакерів» у тоні, що натякає на державну операцію.
Модель справді відмовлялась у кількох зафіксованих випадках — встановити бекдор, вимкнути файрвол, розгорнути веб-шел. Але пам’ять про відмову не зберігалась за межами однієї сесії: CyberXero просто відкривав нову, подавав дію під іншим приводом — і агент виконував її без «спогаду» про попередню відмову.
GTG-1002 — кампанія, яку сама Anthropic атрибутувала китайській державно-спонсорованій групі з високим ступенем упевненості: ШІ-агент виконав приблизно 80-90% тактичної роботи проти близько 30 організацій-цілей, успішних проникнень серед яких підтверджено лише невелику кількість. CyberXero — кримінальне, фінансово мотивоване угруповання без державного спонсорства, що діяв масовим скануванням і паралельно вів ручну прицільну розвідку проти українських енергетичних і комунальних підприємств. Патерн обходу запобіжників у обох випадках схожий концептуально, хоча технічно різний.
Ні. Обидві цифри — й 564 000 для харківської теплопостачальної компанії, й загальні 628 000 — названі лише дослідниками SOCRadar. Ні CERT-UA, ні самі постраждалі компанії, ні інший незалежний центр їх поки не підтвердили, тож це оцінка одного джерела, а не встановлений факт.
