Кілька пов'язаних із державою Китаю груп кіберзлочинців автоматизують атаки за допомогою відкритих моделей Kimi K3 від Moonshot AI та DeepSeek — про це повідомляють дослідники безпеки, чиї висновки 24 серпня 2026 року зібрав агрегатор Techmeme. Ідеться не про одиничний інцидент: кілька незалежних угруповань паралельно інтегрували відкриті LLM у власний операційний конвеєр атак.
Головна відмінність цього кейсу від попередніх історій про зловживання ШІ — саме у відкритості ваг. Закритий API на кшталт Claude чи GPT провайдер може моніторити, обмежувати запитами й миттєво блокувати за підозрілу активність. Kimi K3 і DeepSeek можна завантажити, розгорнути на власній інфраструктурі й донавчити без жодного зовнішнього нагляду.
За даними Techmeme, саме ця автономність і зробила відкриті моделі привабливими для держ-повʼязаних груп: вони отримують інструмент рівня великої мовної моделі, не ризикуючи, що постачальник помітить активність і відріже доступ.
Що саме зафіксували дослідники?
За даними, зібраними Techmeme, ідеться про кілька незалежних китайських держ-повʼязаних команд, кожна з яких застосовує Kimi K3 та DeepSeek для автоматизації частини атакового циклу. Джерело не деталізує повний перелік технік, але сам факт паралельного використання відкритих моделей кількома групами вказує: це усталена практика, а не разовий експеримент одного актора.
Чому саме відкриті моделі, а не закриті API?
Відповідь — у різниці моделей доступу. Розгортаючи Kimi K3 чи DeepSeek локально, угруповання позбувається трьох ризиків, притаманних роботі через хмарний API: журналювання запитів на боці постачальника, спрацювання систем виявлення зловживань і миттєвого бану облікового запису. Більше того, ваги відкритої моделі можна донавчити так, щоб зняти вбудовані обмеження на генерацію шкідливого коду — процедура, недоступна для закритих моделей, де базові фільтри контролює сам розробник. Орендувати GPU-потужність під такий інференс сьогодні можна в будь-якій хмарі, що не перевіряє кінцеве використання клієнта, — тож і цей бар'єр практично не стримує охочих.
Чим це відрізняється від відомих випадків зловживання закритими моделями?
Порівняння тут показове. У листопаді 2025 року Anthropic опублікувала звіт про кампанію GTG-1002 — за оцінкою компанії, першу задокументовану масштабну кібератаку, виконану переважно автономним AI-агентом на основі Claude Code, повʼязану, на думку Anthropic, з китайським держ-актором. Тоді саме телеметрія провайдера дала змогу виявити аномальну активність і перервати кампанію. У випадку з Kimi K3 і DeepSeek такого запобіжника немає в принципі: модель працює локально, поза полем зору будь-якого зовнішнього спостерігача.
Що з цим робити AI-білдерам і security-командам?
Практичний висновок один: поріг входу в offensive AI знизився не для «поганих акторів у вакуумі», а конкретно для тих, хто має ресурси розгорнути й донавчити модель на власному залізі, — тобто передусім для держ-повʼязаних груп і великих кримінальних синдикатів. Для security-команд це означає:
- закладати в модель загроз сценарій, де атакувальник має доступ до LLM рівня GPT-4-class без rate-limit і content-filter обмежень;
- переходити на behavioral-детекцію (аномальна швидкість розвідки, характерні паттерни згенерованого коду) замість пошуку «підпису постачальника моделі»;
- відстежувати публікації дослідників про TTPs (tactics, techniques, procedures), повʼязані з конкретними відкритими моделями, а не лише з брендами відомих атакувальників.
Висновок AiiN
Дискусія навколо відкритих ваг зазвичай зводиться до питання, хто кого наздоганяє в бенчмарках. Цей кейс показує інший вимір: відкриті ваги — це ще й відкритий доступ до offensive-tooling без vendor-контролю, і рахунок за це оплачують захисні команди, а не розробники моделей. Наша теза: security-політики, які досі оцінюють ризик ШІ лише через призму «які дані ми відправляємо в чужий API», відстають на крок — загроза тепер приходить і з боку моделей, які взагалі не мають власника API, здатного її зупинити. Для команд, що будують продукти на базі відкритих моделей, це додатковий аргумент інвестувати в моніторинг власного inference-контуру, а не покладатися на репутацію лабораторії, яка випустила ваги.
Чи означає це, що DeepSeek і Kimi K3 «небезпечніші» за Claude чи GPT?
Ні, ідеться не про якість моделі, а про модель контролю доступу. Будь-яка достатньо потужна LLM, потрапивши у формат відкритих ваг, втрачає рівень нагляду, який має власник закритого API.
Чи можна заблокувати таке використання на рівні постачальника?
Повністю — ні: після публікації ваг розробник моделі технічно не може відкликати доступ до неї. Реалістична відповідь лежить на боці захисту — детекція на рівні мережевої й поведінкової телеметрії, а не на рівні самої моделі.