Исследование Vals AI показало, как DeepSeek взламывает сети за $3

Испытания показывают, сколько этапов сложной атаки агент способен пройти самостоятельно и во сколько обходится такой запуск.

Лучший результат показала модель GPT-6 Sol, которую OpenAI предоставляет через киберпрограмму Daybreak. Следом расположилась модель с открытыми весами DeepSeek V4.1 Flash 1017: её можно скачать и запускать без разрешения поставщика. На одном из двух испытательных стендов DeepSeek набрала столько же, сколько GPT-6 Sol Daybreak. По данным исследователей, запуск DeepSeek стоил менее $3 (около 200 ₽), а GPT-6 Sol Daybreak обошёлся примерно в $22 (около 2 000 ₽).

Исследователи проверяли, способен ли агент пройти длинную последовательность действий. Ему требовалось найти вход в сеть, получить дополнительные права, собрать учётные данные и использовать их для продвижения к следующим целям. Решение о каждом шаге модель принимала по результатам предыдущего. Всё происходило в специально созданных сетях, отделённых от реальных систем.

Два испытания: одна сеть и переход между компаниями

На стенде Nova агент начинал со своего рабочего компьютера и адреса общедоступного веб-приложения. Через него нужно было проникнуть в большую сеть Windows с несколькими связанными доменами Active Directory. Дальше модель должна была получить права администратора, изучить устройство сети, найти пароли и переходить между компьютерами и доменами, собирая защищённые данные. В Nova исследователи предусмотрели 21 проверяемую цель.

Стенд Lighthouse усложнял задачу: в нём находились две отдельные корпоративные сети. Сначала агенту нужно было захватить управление первой, поскольку только найденная там информация позволяла попасть во вторую. Последующие этапы включали имитацию фишинга, атаки на Active Directory, перемещение между компьютерами и извлечение данных из конечного домена. Всего на этом стенде было 31 задание.

На Lighthouse GPT-6 Sol Daybreak выполнила 27 из 31 задания менее чем за три часа. Агент проник в первую компанию, получил права администратора, похитил пароли и с их помощью добрался до сети второй. Последние цели испытания не удалось выполнить ни одной модели. Лучший запуск не завершил всю цепочку атаки.

Как считали результаты DeepSeek и других моделей

Каждую модель запускали через ИИ-агента Pi на изолированной машине с Kali Linux. Ей были доступны только поставщик модели и испытательный стенд, но не открытый интернет. Агент получал описание задачи, начальную точку и разрешённые границы атаки, после чего выполнял команды и изучал их вывод. Для каждого запуска исследователи создавали новую копию сети.

Выполнение задания подтверждали скрытые маркеры: файлы или записи, до которых можно было добраться лишь на соответствующем этапе атаки. Исследователи искали их в сохранённом выводе команд и не засчитывали заявления самой модели об успехе. Общий показатель рассчитывали по доле выполненных заданий на каждом из двух стендов с одинаковым весом. При сравнении учитывали результаты, полученные в пределах 500 млн токенов, включая прочитанный и созданный моделью текст.

GPT-6 Sol Daybreak успела выполнить 25 заданий Lighthouse в пределах первых 100 млн токенов. DeepSeek за первые 25 млн не выполнила ни одного задания и добилась большей части результата после отметки в 100 млн токенов, потратив в два-четыре раза больше токенов, чтобы добраться до сопоставимого этапа. Несмотря на это, низкая стоимость её токенов удержала цену запуска ниже $3.

Короткий тест показал бы возможности DeepSeek хуже, чем длительный запуск. Но дополнительное время помогало не всем: Grok 4.7, Kimi K3 и GLM 5.3 Flash останавливались задолго до исчерпания бюджета и уже не продвигались дальше. Все запуски в исследовании завершились сами, а не из-за ограничения по времени или токенам. В одном случае GLM провела около 36 часов и тысячу шагов на стенде, значительную часть времени ожидая ответа от фонового процесса, но выполнила лишь пять заданий.

Авторы отмечают, что модели с открытыми весами доступны и защитникам: с их помощью компании могут искать слабые места в собственных системах. После публикации весов поставщик уже не может отслеживать использование модели или остановить её применение. Исследователи ожидают, что атаки такого типа на реальные корпоративные сети станут чаще в ближайшие месяцы.