Anthropic наложил 832 AI-атаки на MITRE ATT&CK — новая модель рисков API-безопасности

Один доклад Anthropic только что переписал модель рисков для каждой команды, эксплуатирующей AI gateway. 3 июня Anthropic опубликовала годовой анализ, в котором 832 вредоносных аккаунта были сопоставлены с фреймворком MITRE ATT&CK. Ключевой вывод: агентические AI-киберугрозы охватывают все 14 тактик ATT&CK и 482 уникальные подтехники. Для операторов API критически важным является введение нового инструмента оценки — ARiES. Он переопределяет понятие «продвинутый атакующий» в эпоху автономных оркестраций: больше не технические навыки, а архитектура scaffolding разграничивает низко- и критически-рисковых акторов.

Что произошло

Команда Threat Intelligence Anthropic проанализировала 832 аккаунта, заблокированных за кибернарушения с марта 2025 по март 2026 года. В совокупности было зафиксировано 13 873 вредоносных действия, охватывающих все тактики MITRE ATT&CK — от первоначальной разведки до воздействия на цель. Три ключевых находки:

Доля акторов со средним и высоким риском выросла с 33% до 56% менее чем за год. Рост сосредоточен в технологиях с наибольшим весом риска на актора: горизонтальное перемещение (lateral movement), дамп учётных данных, web shell — а не типовая сборка малвари. AI открыл доступ к продвинутым стадиям атак тем, кто раньше не мог их выполнить.

Agentic-оркестрация стала новым разграничителем. Шпионская кампания, заблокированная Anthropic в ноябре 2025 года, получила максимальный балл 100 при числе техник, сопоставимом со среднерисковыми акторами. Определяющим оказалась архитектура: автономный agent цеплял разведку, горизонтальное перемещение и exfiltration без участия человека.

MITRE ATT&CK не имеет ID для наиболее опасных паттернов. Автономная оркестрация kill chain, принятие решений в реальном времени, AI-управляемое исполнение без человека — всё это не имеет техник в ATT&CK. Все 13 873 наблюдения в исследовании отображены в существующие категории, но поведение, делающее актора критически опасным, пока не имеет таксономии.

Anthropic опубликовала интерактивный LLM ATT&CK Navigator в блоге Frontier Red Team и ведёт переговоры с MITRE о расширении фреймворка.

Фреймворк ARiES: что нужно знать оператору API

Доклад вводит AI Risk Enablement Score (ARiES) — составной балл от 0 до 100 по трём измерениям:

• Threat / Угроза (0–35): Чёткость намерений, технический уровень, тактики уклонения — уровень оценивается Claude по паттернам prompt и использованию инструментов.
• Vulnerability / Уязвимость (0–35): Способность модели содействовать вреду плюс риск интерфейса. API и агентические инструменты типа Claude Code получают наибольший балл, поскольку позволяют автоматизацию.
• Impact / Воздействие (0–30): Реальные последствия, оцениваемые классификаторами безопасности и следователями.

Критически важно для операторов gateway: тип интерфейса — API, агентическая IDE или чат — напрямую влияет на итоговый балл риска. Программные интерфейсы получают повышенный вес по уязвимости, потому что поддерживают вызов инструментов и цепочки автономных действий. Это не теоретическое разграничение — фреймворк явно трактует API-доступ как более рисковый вектор по сравнению с разговорным UI.

Почему это важно для AI-инженерных команд

Последствия выходят далеко за рамки внутреннего отдела безопасности Anthropic:

Проектирование политик использования стало задачей безопасности. Большинство операторов API формулируют политики через контентные ограничения — запрет дискриминации, дезинформации, CSAM. ARiES вводит новое измерение: что происходит, когда легитимный пользователь API строит агентическую оркестрацию поверх вашего endpoint? Если ваша политика не учитывает риск tool-chaining, она неполна.

Только rate limiting не защитит вас. 832 аккаунта были помечены не за объём запросов, а за поведенческие паттерны. Актор, делающий 20 точечных запросов для цепочки техник горизонтального перемещения, опаснее того, кто шлёт 10 000 типовых запросов. Детектирование нужно перевести с подсчёта запросов на анализ паттернов.

Зависимость от provider имеет измерение безопасности. Если fallback-цепочка переключается с Provider A на Provider B, а у A более жёсткие политики использования, ваша fallback-логика только что создала брешь в безопасности. Измерение interface risk в ARiES говорит о том, что провайдеры применяют неодинаковые контроли к API-доступу.

Router/оператор: что меняется для безопасности gateway

Для команд, эксплуатирующих многопровайдерные API gateway, выводы Anthropic переводятся в конкретные операционные вопросы:

Проверьте допущения о весовых коэффициентах интерфейса. ARiES рассматривает API-эндпоинты как более рисковые по сравнению с чат-интерфейсами. Если ваш gateway применяет единые политики вне зависимости от режима доступа, вы занижаете реальную поверхность риска. Рассмотрите дифференцированные политики для: прямых API-вызовов, агентических SDK-подключений (Claude Code, Cursor, кастомные агенты) и разговорного доступа.

Сопоставьте observability с тактиками ATT&CK. Тот факт, что агентические атакующие охватывают все 14 тактик, означает: логи gateway должны фиксировать prompt-паттерны (не только содержание), последовательности использования инструментов, частоту переключений между провайдерами и индикаторы горизонтального перемещения. Запрос, цепляющий разведка → разработка ресурса → начальный доступ через трёх провайдеров за 30 секунд, — совершенно другая модель угрозы, чем три несвязанных запроса.

Проведите стресс-тест безопасности fallback-цепочки. При переключении с провайдера со строгими политиками на менее строгий риск не исчезает — он перемещается. Ваша fallback-политика должна учитывать уровень политик безопасности, а не только задержку и стоимость.

Оцените per-team-управление использованием. Акцент ARiES на interface risk говорит о том, что операторы корпоративных gateway должны разграничивать паттерны доступа по командам: автоматизированные CI-пайплайны, интерактивные агенты и ручные API-вызовы несут разные профили рисков и должны управляться разными правилами.

Чек-лист для операторов gateway

На основе трёх измерений ARiES — практический чек-лист для команд, эксплуатирующих AI gateway:

1. Классификация интерфейса: Можете ли вы различить API-, agentive-code- и conversational-доступ в трафике?
2. Поведенческое детектирование: Фиксируют ли ваши логи последовательности prompt-инструмент, а не только счётчики запросов?
3. Security-tiered fallback: Учитывает ли ваша fallback-цепочка строгость политик использования провайдеров, а не только latency и cost?
4. Видимость tool-chaining: Можете ли вы обнаружить актора, оркестрирующего многошаговую атаку через несколько провайдеров?
5. Per-team-политики: Имеют ли автоматизированные пайплайны и интерактивные агенты разные пороги риска?

Что стоит отслеживать и попробовать пользователям TheRouter

Измерение interface risk в ARiES подтверждает паттерн, который TheRouter уже поддерживает через единое управление использованием: унифицированная видимость трафика между провайдерами делает поведенческое детектирование возможным там, где per-provider дашборды не справятся. Брешь, которую Anthropic обнаружила — тип интерфейса меняет балл риска — именно тот вид кросс-провайдерной видимости, который должен обеспечивать routing gateway.

Команды, использующие многопровайдерные fallback-цепочки, должны проверить: деградирует ли их безопасность при переключении трафика с основного провайдера на запасной. Если у основного провайдера жёсткие политики, а у fallback нет, фреймворк ARiES указывает, что ваш gateway только что стал низкофрикционным путём для критически опасных акторов.

Это не разовое упражнение по комплаенсу. Данные Anthropic показывают, что распределение рисков резко изменилось менее чем за год. Команды, которые уже сейчас встраивают поведенческое детектирование в свои gateway, окажутся в выигрышной позиции — по отношению к фреймворку, у которого, по признанию самой Anthropic, пока нет ID для наиболее опасных паттернов атак.

Источник: What we learned mapping a year's worth of AI-enabled cyber threats, Anthropic, 3 июня 2026 г. Технический анализ: LLM ATT&CK Navigator.