Главное в материале

  • Группировка Silent Lynx, предположительно связанная с Казахстаном, похитила более 2000 документов по нацбезопасности Таджикистана
  • Атака проведена с помощью автономных ИИ-агентов на платформе Hermes — редкий задокументированный случай применения ИИ в кибершпионаже
  • Связь с Казахстаном основана на косвенных признаках; причастность госструктур республики не доказана

Как прошла атака

Группа хакеров, предположительно связанная с Казахстаном, похитила более 2000 документов, касающихся национальной безопасности Таджикистана. Об этом сообщает Reuters со ссылкой на исследование сингапурской компании CloudSEK; о выводах расследования также написали Daryo.uz и Kun.uz.

Роль искусственного интеллекта

По данным CloudSEK, примерно в середине августа 2026 года злоумышленники начали использовать платформу Hermes, предназначенную для создания автономных ИИ-агентов: такие агенты сами планируют действия, запускают программы, собирают информацию и готовят отчёты. Спустя несколько недель после начала разведывательных операций хакеры проникли в государственную систему электронного документооборота Таджикистана. ИИ-агент написал программу для скачивания, сортировки и разбиения документов на фрагменты, что упростило передачу украденных данных. В результате были похищены свыше 2000 документов, включая материалы по обороне и нацбезопасности.

Следы на сервере и другие цели

Исследователям удалось восстановить ход атаки, потому что хакеры случайно оставили один из своих серверов открытым в интернете. На нём также обнаружили признаки взлома компьютерных систем Таджикских железных дорог и узбекской цифровой платформы Smart Forestry, используемой в лесном хозяйстве, а также материалы для фишинговых атак против организаций Туркменистана — однако доказательств того, что эти атаки увенчались успехом, исследователи не привели.

Атрибуция и её ограничения

Специалисты связывают атаку с группировкой Silent Lynx, которую и раньше подозревали в кибершпионаже против госорганов стран бывшего СССР. Предположение о связи с Казахстаном опирается на косвенные признаки: хакеры использовали русский язык, их активность совпадала с рабочим временем в Казахстане, а для подключения к серверу применялась интернет-сеть на территории республики. При этом исследователи не смогли установить, кто руководил группой, и не представили доказательств причастности казахстанских государственных структур. Reuters запросил комментарии у правительств Казахстана и Таджикистана, но на момент публикации ответа не получил; связаться с представителями Silent Lynx журналистам также не удалось. Вероятность связи с Казахстаном эксперты оценивают как среднюю, подчёркивая, что данных для окончательного вывода о происхождении и организаторах атак недостаточно.

Контекст

В октябре 2026 года компании Cisco Talos и Recorded Future опубликовали исследование кибершпионской деятельности против правительственных ведомств постсоветских государств: по их данным, атаки велись как минимум с января 2025 года, а интерес хакеров вызывали дипломатическая переписка, экономическая политика, энергетика, водные ресурсы и сельское хозяйство. Новое расследование CloudSEK примечательно тем, что впервые в подобной кампании задокументировано использование автономных ИИ-агентов — от разведки до написания инструмента для выгрузки похищенных документов.