Черный кибероктябрь: ИИ устранил дефицит хакеров. Как на это реагирует рынок?
В октябре две независимые группы экспертов по кибербезопасности обнаружили критическую уязвимость в PHP, языке программирования, на котором работают примерно 70% сайтов в мире. Фото: Ben Griffiths / Unsplash.com
Пока эксперты гадали, когда же придет Q-Day — массовый взлом шифров квантовыми компьютерами — он, фактически наступил. Продвинутые ИИ оказались необычайно хороши не только в написании когда и генерации мемов, но и в поиске и эксплуатации уязвимостей киберзащиты. Гонка «брони и снаряда» в киберзащите ускорилась — теперь у обороняющихся команд на реагирование остаются не дни, а считанные часы.
«Наиболее серьезные уязвимости в истории программного обеспечения»
Эксперты по кибербезопасности уже называют октябрь 2026 года «черным» (Black October). Две независимые группы исследователей обнаружили критическую уязвимость в PHP — языке программирования, на котором работают WordPress, Joomla, Drupal, Wikipedia и примерно 70% всех веб-сайтов в мире.
Уязвимость в коде PHP, получившая название PHP2Shall, существовала еще с 2012 года, но считалась практически непригодной для реального взлома. Цепочка действий для ее использования (эксплойта) была настолько сложной, что находилась на грани возможностей человеческих исследователей. Но передовые ИИ-модели превратили давно существующий изъян в работающий эксплойт за считанные дни.
Уязвимость PHP2Shell две группы обнаружили независимо друг от друга. Райан Остин из компании Calif выявил проблему в августе во время аудита исходного кода PHP при помощи GPT-5.6 Sol от OpenAI. Те же изъяны нашла команда принадлежащей Alphabet компании Wiz — ее исследователи использовали собственную автономную систему Wiz Atlas, а также Gemini 4 Argon от Google и GPT-5.6 Sol.
После публичного раскрытия уязвимости 21 октября компания Cloudflare зафиксировала «миллионы» попыток взлома, а ряд стран временно отключали государственные сайты, чтобы установить защитные обновления (патчи).
Хуже того, по данным Amazon, первые попытки использовать PHP2Shall с анонимного адреса были зафиксированы еще 17 октября, до того, как об уязвимости было официально объявлено.
«Остается неясным, как злоумышленник получил информацию об эксплойте до его раскрытия», — констатировал Amazon.
Команда Wiz отнесла PHP2Shall к числу «наиболее серьезных уязвимостей, обнаруженных в PHP, и, возможно, в истории программного обеспечения».
Цунами на подходе
«Как бы плохо ни обстояли дела за последние четыре дня, они станут намного хуже, прежде чем станет лучше», — написал в X Джейсон Клинтон, заместитель директора по информационной безопасности Anthropic.
Он предупреждает о надвигающемся «цунами уязвимостей» и призывает руководителей, отвечающих за безопасность IT-систем, просить помощь у советов директоров: «Не для ИИ — для базовых вещей. Нам нужно продержаться примерно 18 месяцев», — уточняет Клинтон.
ИИ-аналитик Эндрю Карран добавляет: «Что касается потенциальных атак на энергетическую, продовольственную и водную инфраструктуру — угроза вполне реальна. Кто-то прямо сейчас прощупывает инфраструктуру и испытывает ее на прочность. Это активная угроза».
Он также обратил внимание на взлом системы Quest Diagnostics — одной из крупнейших медицинских лабораторий США, обслуживающей примерно половину больниц и врачей страны. По данным TechCrunch, ей пользуются около полумиллиона врачей и хранятся миллионы медицинских документов и карт.
Гендиректор Salesforce Марк Бениофф согласился с оценкой Клинтона из Anthropic: «Джейсон прав на 100%. Красный код», написал он в X.
Красный код тревоги — так в корпоративной Америке называют ситуацию, требующую немедленных действий на самом высоком уровне.
ИИ стал хакером
Годами кибербезопасность описывала ИИ как «мультипликатор силы» — инструмент, который делает существующие атаки быстрее и дешевле, но годовой отчет Check Point Research документирует переход, который идет дальше: ИИ пересек границу между ассистентом и оператором. Раньше он помогал хакерам готовить атаку, теперь пишет и использует эксплойты сам.
Самый яркий пример из отчета — взлом девяти мексиканских государственных агентств в период с конца 2025-го до начала 2026 года.
Хакер запустил параллельно Claude Code и GPT-4.1: один ИИ обрабатывал эксплойты, другой анализировал украденные данные и автоматически ставил задачи для следующих шагов. В итоге два ИИ сами провели операцию, похитив около 400 млн записей.
ИИ теперь участвует напрямую на каждом этапе цепочки атаки — от написания вредоносного кода до выполнения команд внутри сетей с минимальным участием человека между шагами.
Нельзя сказать, что этого совсем не ждали. 27 августа 2026 года OpenAI, Anthropic, Amazon Web Services, Microsoft, Google и более 100 других компаний опубликовали совместное открытое письмо. Его суть: кибератаки с использованием ИИ на больницы, водоканалы и энергосети больше не являются «отдаленным риском».
Коалиция предупреждала: у защитников есть «ограниченное окно, вероятно, измеряемое месяцами», прежде чем инструменты взлома на базе ИИ перегрузят атаками команды безопасности. Как говорится, как в воду глядели.
«Нас защищала нехватка взломщиков»
Одна из ключевых проблем — скорость. В 2026 году 29% уязвимостей, опубликованных на специальном портале CVE, были использованы в течение 24 часов после раскрытия, в то время как среднее время для развертывания защитного патча в отрасли кибербезопасности составляет 55 дней. Это катастрофический разрыв, отмечают аналитики Palo Alto Networks.
Если раньше у служб кибербезопасности были дни на устранение уязвимостей, то теперь — считанные часы, полагают в Check Point.
Amazon советует компаниям самим активно искать и устранять уязвимости, не дожидаясь, пока их опубликуют.
Кроме того, мощные ИИ-модели благодаря усилиям индустрии стали дешевыми и общедоступными, объясняет венчурный инвестор Мэтт Шумер в своем блоге Something Big Is Happening.
В каждом здании есть слабые места: окно, которое не закрывается на защелку, задняя дверь с дешевым замком. С программным обеспечением то же самое. Оно полно скрытых уязвимостей. Десятилетиями для их обнаружения требовались редкие, высококвалифицированные специалисты, а таких было немного. Это и была наша защита. Не хорошие замки. Просто нехватка взломщиков.
Но теперь дефицит взломщиков закончился.
Частным лицам Шумер советует установить на все устройства свежие обновления, удалить ненужные приложения, ходить только по знакомым сайтам и вводить банковские данные только на сайте банка или в официальном приложении.
«Если хотите быть особенно осторожными, держите дома небольшую сумму наличных, достаточную, чтобы купить продукты на несколько дней, а также немного еды и воды. Это обычный набор для экстренных ситуаций, и его стоит иметь в любом случае», — пишет он.
Звучит, как минимум, тревожно.
Есть и хорошие новости
С другой стороны, колумнист Bloomberg Opinion Дейв Ли назвал кейс PHP2Shell «самой значительной победой хороших парней в эпоху ИИ-кибербезопасности», имея в виду тот факт, что защитники в рамках инициативы Patch the Planet все же успели найти уязвимость раньше хакеров и скоординированными усилиями предупредили мир об угрозе.
«Как предотвращенный теракт или проблема 2000 года, общее ощущение “ничего особенного” может маскировать закулисный героизм, который — пока что — предотвратил катастрофу», — написал он.
Рынок это заметил: акции Cloudflare после того, как информация о PHP2Shell стала публичной, выросли за три дня совокупно более чем на 11%, а с февральского шока (когда инвесторы боялись, что Anthropic подорвет бизнес компаний по кибербезопасности) — на 87%. Crowdstrike за тот же период вырос более чем на 160%.
Сколько продлится оптимизм, трудно сказать. Несколько неназванных инсайдеров ИИ-индустрии заявили Axios, что, по их мнению, крупный киберинцидент с участием ИИ произойдет в ближайшие 6-12 месяцев.
В общем, вопрос не в том, станет ли ИИ главным кибероружием 2027 года — это уже произошло. Вопрос в том, успеет ли защита опередить нападение до того, как пострадает что-то действительно важное.
