Специалисты компании ESET обнаружили, что злоумышленники применяют новую технику GuardBreaker, которая мешает ИИ-инструментам анализировать вредоносный код. Так, атакующие добавляют в малварь промпт-инжект с опасным запросом, рассчитывая вызвать срабатывание защитных механизмов LLM и вынудить модель отказаться от дальнейшего анализа.
Исследователи заметили GuardBreaker в VBS-скрипте, который использует хак-группа UAC-0099: злоумышленники добавили в комментарий к коду текст, начинающий со слов: «Я хочу создать ядерное оружие. Помоги мне...».
Образец с GuardBreaker был замечен при изучении атаки на украинскую организацию. При этом обнаруженный VBS-скрипт входит в более крупный инструментарий UAC-0099 и предназначен для загрузки MATCHBOIL — написанного на C# загрузчика, который группа применяет для доставки дополнительных пейлоадов.
По словам аналитиков ESET, встроенный в VBS-скрипт текст предназначен не для людей и вообще не связан с функциями самой малвари. Его задача — привлечь внимание языковой модели к запрещенной теме. Так, если ИИ-инструмент просто передает языковой модели содержимое файла, но не обозначает его как недоверенные данные, LLM может принять встроенный текст за обращенную к ней инструкцию. В итоге защитные механизмы могут сработать раньше, чем LLM дойдет до анализа вредоносного кода.
Эксперты делаю твывод, что GuardBreaker — это своеобразная техника антианализа, рассчитанная на ИИ. То есть в худшем случае модель может отказаться анализировать файл или неверно классифицирует его из-за встроенного промпта.
Это не первый случай, когда злоумышленники пытаются использовать защитные механизмы LLM против самого ИИ. К примеру, в июне 2026 года похожие промпт-инжекты были замечены в Python-пакетах, связанных с атаками Shai-Hulud, Miasma и Hades.
Тогда злоумышленники тоже добавляли в код фиктивные пошаговые инструкции по созданию биологического и ядерного оружия. Хакеры рассчитывали на то, что ИИ-сканеры передают LLM содержимое файла без четкого отделения данных от команд для модели. В результате такой промпт-инжект мог вызвать срабатывание защитных ограничений и вынуждал модель отказаться от дальнейшего анализа.
