Т-Банк первый среди российских компаний провел атаку на свою архитектуру с помощью ИИ
Т-Банк разработал атакующего ИИ-агента Nulla и провёл с его помощью проверку собственной инфраструктуры. В ходе пилота было проверено около 1300 сервисов. Среднее время проверки одного сервиса составило 45 минут против 2–3 дней при ручном аудите.
Т-Банк провёл контролируемую кибератаку на собственную инфраструктуру с использованием ИИ-системы Nulla собственной разработки. Как сообщила компания, Nulla представляет собой группу интеллектуальных агентов, которые без участия человека анализируют инфраструктуру на устойчивость к уязвимостям — от этапа разработки до эксплуатации.
В ходе пилота было проверено порядка 1300 сервисов и платформ экосистемы банка, в том числе Т-Бизнес, Т-Путешествия и Т-Авто. Среднее время полноценной проверки одного сервиса составило около 45 минут — против 2–3 дней при классическом ручном аудите, как указывается в сообщении компании.
В отличие от классических сканеров, работающих по заранее заданным шаблонам, Nulla адаптирует стратегию атаки под особенности конкретной системы защиты. По данным банка, это позволяет выстраивать многоэтапные цепочки поиска уязвимостей и выявлять: нарушения логики доступа, возможности обхода бизнес-процессов и сложные цепочки взаимодействий между сервисами. Система также поддерживает одновременный анализ десятков сервисов без снижения глубины проверки.
Прогнозируемый экономический эффект от предотвращённых инцидентов до конца 2026 года оценивается компанией в 100 млн рублей — это объём потенциальных выплат в рамках программы баг-баунти, если бы аналогичные уязвимости были обнаружены внешними исследователями.
Разработка агента началась в апреле 2025 года. В настоящее время система задействована в проверке инфраструктуры банка на постоянной основе. В июне 2026 года банк планирует запустить программу кибериспытаний с привлечением внешних исследователей безопасности — по принципу баг-баунти. Программа рассчитана на три месяца; вознаграждение предусмотрено не за отдельную уязвимость, а за реализацию недопустимого события — критического сценария, способного повлиять на устойчивость сервисов.
