Silent Lynx застосувала ШІ для кібершпигунства в Центральній Азії
У цьому матеріалі
Угруповання Silent Lynx, яке дослідники пов’язують із Казахстаном, використовувало ШІ для кібершпигунства проти державних установ та інфраструктури Центральної Азії. Про це 11 листопада 2026 року повідомила компанія CloudSEK у дослідженні «Off the Rails». Висновки ґрунтуються на вмісті відкритого сервера, де зберігалися інструменти нападників, викрадені матеріали та журнали роботи автономного ШІ-агента. Це нове оприлюднення результатів розслідування, хоча самі проникнення відбувалися раніше — протягом 2026 року.
Що знайшли дослідники CloudSEK
За повідомленням компанії, сервер угруповання містив понад десяток гігабайтів даних, зокрема файли робочого середовища, інструменти проникнення та відомості про цілі. Доступ до каталогу не вимагав автентифікації. Завдяки цьому аналітики змогли зіставити часові позначки, журнали команд і збережені результати операцій. Дослідники датують матеріали періодом від квітня до жовтня 2026 року.
CloudSEK стверджує, що оператори отримали тривалий доступ до транспортних мереж Таджикистану, а також використовували скомпрометований обліковий запис співробітника для масового збирання державної кореспонденції. Серед матеріалів, за оцінкою дослідників, були тисячі документів, пов’язаних з оборонною тематикою. Окремо описано проникнення до державної геопросторової платформи Узбекистану, де нападники отримали можливість виконувати команди на сервері.
Яку роль відігравав штучний інтелект
Особливість цієї кампанії — використання автономного агента, який працював на базі моделей DeepSeek. За висновками CloudSEK, він допомагав із розвідкою, збиранням інформації та очищенням журналів, причому частина руйнівних команд була попередньо дозволена оператором. Це не означає, що ШІ самостійно визначав політичні цілі або що кожен етап атаки відбувався без людини. Дослідники описують конкретні дії, які вдалося відновити за збереженими журналами.
Застосування ШІ для кібершпигунства відрізняється від звичайного використання чатбота для написання повідомлень. Агент може послідовно виконувати завдання в робочому середовищі, зберігати проміжні результати та повторювати операції. Водночас якість і межі таких дій залежать від доступу, інструментів та налаштувань, наданих оператором. Виявлений сервер також демонструє, що автоматизація не усуває людських помилок в організації інфраструктури.
Чому дослідники згадують Казахстан
CloudSEK із високою впевненістю пов’язує знайдений каталог із оператором Silent Lynx — зокрема через збіги в коді шкідливих програм і шляхах збирання файлів. Проте географічна атрибуція має нижчий рівень упевненості. На можливий казахстанський зв’язок вказують російськомовна робота оператора, тестові підключення через домашню мережу казахстанського провайдера та інші непрямі ознаки. Це не є доказом участі уряду Казахстану.
У звіті також описано підготовлені в жовтні фішингові приманки, що імітували документи залізниці Туркменістану та місцевої адміністрації. Сам факт підготовки таких файлів не доводить успішного проникнення до всіх зазначених організацій. Частина інструментів угруповання вже фігурувала в попередніх дослідженнях інших команд.
Що означає цей випадок для кіберзахисту
Історія показує одночасно дві проблеми — здатність нападників автоматизувати складніші послідовності дій і небезпеку відкритої інфраструктури, через яку дослідники отримали доступ до доказів. Для організацій залишаються важливими контроль привілеїв облікових записів, захист систем документообігу, журналювання та перевірка доступності внутрішніх сервісів з інтернету.
Раніше Top-Gadgets писав про заходи Японії для посилення захисту від кібератак і про виявлення фішингу за допомогою ШІ у Microsoft Teams. Нове дослідження CloudSEK стосується протилежного боку протистояння — використання агентних технологій нападниками.
Джерела. Оригінальне дослідження CloudSEK, 11 листопада 2026 року; Reuters, 11 листопада 2026 року.
