4. Continued Augmentation of the Full Attack Lifecycle
Как и в других отчетах, в этой части относительно подробно описываются LLM-TTP разных продвинутых трет-акторов. Сами детали пересказывать смысла особо не имеет, интересна общая канва – применение LLM на всех этапах кибератаки – от разведки и сбора данных, компрометации и закрепления до бокового перемещения и эксфильтрации данных. В качестве подтверждения, что кубер – это не только удобно, но и безопасно, так как в нем никто не разбирается, злоумышленники интересовались, например, как получить списки подов и контейнеров – знания, доступ к которым невозможно представить в эру до появления LLM. Другая группировка использовала LLM для общения на испанском языке, а заодно генерировала дипфейки с криптоинфлюенсерами для создания фишинговых приманок.

Отчет достаточно любопытный, особенно первая часть про ИИ, применяемый во вредоносном ПО. К сожалению, злоумышленники в телеметрии GTIG существуют только в четырех странах, что несколько искажает общую картину – уверен, что пользователи, которые не боятся, что их забанят, а все данные передадут в ФБР, находят для такой хорошей LLM, как Gemini, очень интересные применения. Части про джейлбрейкинг и особенно dark AI написаны скорее ради объема, поскольку тут Google опирается на чтение форумов, а не реальную телеметрию. Тем не менее, основные моменты – применение ИИ на всех этапах кибератак и применение LLM как компонента ВПО – заставляют задуматься о том, что нас ждет в подобных отчетах еще через год.