Директор по информационной безопасности Amazon Си Джей Мозес описал атаку, в которой путь от первоначального доступа до захвата системы и расширения прав занял 12 минут 42 секунды. Этим кейсом он поделился с генеральным директором Terra Security Шахаром Пеледом в открывающем выпуске подкаста AI Native Cybersecurity. Наблюдение получено через инфраструктуру-ловушку Amazon MadPot, которая отслеживает поведение злоумышленников. Для бизнеса вывод прямой: окна установки исправлений, измеряемые днями, больше не соответствуют скорости атакующих.
Что Мозес рассказал в первом выпуске
AI Native Cybersecurity — это новый подкаст о том, как искусственный интеллект меняет баланс между атакующими и защитниками. Terra Security представляет его как площадку для руководителей безопасности, где обсуждают практическое внедрение ИИ, отделение рабочих практик от шумихи и подготовку к следующему этапу киберзащиты. Первый разговор посвящен операционной нагрузке на команды безопасности, когда ИИ ускоряет поиск уязвимостей, разведку и эксплуатацию. Ведущим выступает Пелед, а Мозес говорит с позиции CISO Amazon. Формат строится вокруг полевых кейсов, а не абстрактных прогнозов.
Центральный кейс — инцидент MadPot, где противник без исходного доступа скомпрометировал систему и расширил доступ через имеющиеся разрешения менее чем за 13 минут. Мозес противопоставил это прошлым кампаниям, которые длились неделями или месяцами. Его тезис — скорость: ИИ позволяет атакующим уместить больше шагов в короткий интервал, от сканирования до эксплуатации и перемещения внутри среды. Эшелонированная защита сохраняет значение, но отдельные слабости теперь быстрее связываются в длинные цепочки атак. Поэтому скорость реагирования весит не меньше, чем объем обнаруженных проблем.
Amazon отвечает на это давление встраиванием проверок безопасности в конвейеры непрерывной интеграции и поставки. Сканирование с поддержкой ИИ выявляет проблемы во время написания кода, а дополнительное тестирование проверяет готовый продукт перед выпуском. Мозес предостерег от замедления разработки ради контроля, поскольку задержки играют на руку быстрым противникам. Данные MadPot помогают расставлять приоритеты исправлений, показывая, какие слабости атакующие используют в реальности. Модель объединяет киберразведку, кадровую безопасность и расследования, чтобы сигналы не оставались изолированными в разных подразделениях.
Что ускорение атак меняет для бизнеса
Для компаний, которые разрабатывают и эксплуатируют программное обеспечение, меняется дисциплина выпусков и сортировка уязвимостей. Команды с конвейерами CI/CD могут добавить автоматические проверки на ранних этапах, а глубокую валидацию оставить для релиз-кандидатов, сохраняя темп поставок и снижая очевидные риски. Небольшие фирмы без собственного наступательного тестирования выигрывают меньше от списков уязвимостей и больше от понимания, какие дефекты реально достижимы. Крупным предприятиям нужна общая телеметрия безопасности, разработки и HR, потому что разрозненные очереди пропускают комбинированные цепочки атак. В закупках смещается акцент на инструменты, ранжирующие риск по наблюдаемому интересу противника.
Ограничения такого подхода требуют внимательного прочтения. Более быстрое сканирование не доказывает, что каждая находка эксплуатируема, а непрерывное тестирование нуждается в настройке, чтобы не создавать шум и усталость разработчиков. Мозес назвал отдельной слепой зоной атаки на основе личности: Amazon остановила не менее 2900 северокорейских участников еще на этапе найма, причем ИИ использовался для создания образов и поддержки вымышленных личностей. Такая угроза не закрывается исправлением и требует координации служб безопасности и найма. Покупателям стоит спрашивать поставщиков, как подтверждается эксплуатируемость, как задаются приоритеты и какие временные ограничения действуют до выхода исправления.
Маркером станет замена подсчета уязвимостей временем подверженности риску как главным показателем эффективности. Мозес ожидает, что сильные программы будут оценивать по интервалу между обнаружением и смягчением последствий, будь то установка исправления, блокировка доступа или изоляция системы. Практическим сигналом станет отчетность, где каждая критическая слабость связана со сроком локализации и признаками активного интереса атакующих. Если поставщики и внутренние команды примут такую меру в 2026 году, бюджеты безопасности будут следовать за скоростью закрытия, а не за числом находок.
