Специалисты METR рассказали сразу о двух атаках на свою инфраструктуру. Во время первого инцидента злоумышленники похитили API-ключ и три недели использовали его для работы с ИИ-моделями, израсходовав кредиты стоимостью примерно 600 000 долларов США. Вторая атака была связана с масштабным сканированием инфраструктуры и попытками добраться до внутренних данных организации.
METR (Model Evaluation and Threat Research) — некоммерческая исследовательская организация, которая тестирует возможности ИИ-моделей, в том числе при выполнении длительных автономных задач.
В своем отчете представители организации подчеркивают, что не обнаружили признаков доступа атакующих к какой-либо чувствительной информации. Также отмечается, что инциденты не были связаны со «сбежавшими» ИИ-агентами, и атаки пока не приписывают какой-либо конкретной хак-группе.
Первый инцидент произошел еще в марте 2026 года и был связан с тем, что один из исследователей METR, не имевший доступа к конфиденциальным данным, запускал ИИ-агентов в личном инстансе EC2. Сервер был намеренно доступен через интернет, хотя его защищала аутентификация Google.
Проблема возникла из-за работавшего на том же сервере приложения, которое исследователь написал с помощью вайбкодинга. Из-за fail-open бага в этом приложении при ошибке механизм аутентификации просто отключался, вместо того чтобы блокировать доступ. В результате интерфейс управления агентами на несколько дней оказался открыт для всех желающих без какой-либо защиты. И в том же инстансе хранился API-ключ от аккаунта METR, предназначенный для работы с публичными моделями.
В METR предполагают, что злоумышленники сумели обнаружить уязвимый инстанс через списки недавно зарегистрированных сайтов и логи Certificate Transparency, так как прицельно искали ресурсы с упоминаниями LLM и ИИ-агентов.
Поскольку дашборд для управления агентами оказался доступен без аутентификации, злоумышленники смогли напрямую взаимодействовать с одним из запущенных агентов и попросили его раскрыть API-ключ. Затем хакеры добавили в EC2 свой SSH-ключ, чтобы сохранить доступ к серверу, и в течение следующих трех недель использовали похищенные учетные данные для работы с публичными ИИ-моделями.
За это время атакующие израсходовали API-кредиты примерно на 600 000 долларов США. Такие кредиты оплачивают использование моделей и списываются по мере расходования токенов. Но поскольку неназванный провайдер предоставлял их METR бесплатно, организация не понесла финансовых потерь.
Большой расход кредитов заметили не сразу, так как METR регулярно проводит масштабные тесты, которые потребляют огромное количество токенов. Поэтому резкий рост активности не вызывал подозрений.
Вторая атака произошла в мае 2026 года. По оценке METR, за этим инцидентом могли стоять некие финансово мотивированные злоумышленники, которые попытались получить нелегальный доступ к передовым ИИ-моделям. Ради этого хакеры активно использовали агентов для автоматизированного поиска уязвимостей в инфраструктуре организации, проводили атаки типа credential stuffing против сервисов аутентификации, пытались получить OAuth-токены, сканировали новые сервисы и рассылали фишинговые послания сотрудникам.
Однако признаков успешного взлома внутренних систем или доступа к непубличным данным специалисты METR не обнаружили.
Примерно в это же время была обнаружена еще одна проблема: в публичном сервисе для просмотра транскриптов оказался открыт интерфейс для выполнения SQL-запросов к базе данных. Предполагалось, что через него можно получить только уже опубликованную информацию, однако из-за бага запросы позволяли обращаться и к непубличным результатам тестирований. Ситуацию усугубляло то, что в этой базе по ошибке хранились и некоторые закрытые данные о моделях, которых вообще не должно было там быть.
Эту уязвимость нашел неназванный ИБ-исследователь, после чего METR выплатила ему вознаграждение и отключила доступ к интерфейсу. Отмечается, что атакующие, которые изучали инфраструктуру METR в мае, успели просканировать этот эндпоинт. Однако, по данным организации, они не обнаружили уязвимость и не получили доступ к непубличной информации.
В METR сообщают, что после этих инцидентов в организации ужесточили правила хранения учетных данных, усилили мониторинг, начали добавлять оповещения о расходах, а также наняли руководителя по информационной безопасности. Кроме того, подчеркивается, что публичные приложения теперь запускаются в изолированной продакшен-среде, отделенной от внутренней инфраструктуры.
