--- title: Жидкий код url: https://ftrlg.com/ru/wiki/moving-target-defense/ lang: ru published: 2026-10-23 version: 1 summary: Защита, которая не закрывает все дыры, а постоянно меняет их расположение, чтобы карта атакующего устаревала раньше, чем он ею воспользуется. ИИ ускоряет обе стороны. cite_as: "future.log, «Жидкий код», https://ftrlg.com/ru/wiki/moving-target-defense/" license: CC BY 4.0 https://creativecommons.org/licenses/by/4.0/ --- # Жидкий код **Жидкий код**, или защита подвижной целью (англ. *moving target defense*, MTD), — подход к защите компьютерных систем, при котором система постоянно и непредсказуемо меняет то, на что опирается атакующий: адреса в памяти, сетевые адреса, имена полей на веб-странице, сам машинный код. Задача не в том, чтобы закрыть все уязвимости, а в том, чтобы разведка атакующего устаревала раньше, чем он успеет ею воспользоваться. Идея появилась в начале 1990-х, в 2011 году правительство США назвало её одним из «меняющих игру» направлений исследований,[^1] а её самый массовый вид — перемешивание адресов в памяти — давно работает в обычных операционных системах: Microsoft, например, объявила его включённым по умолчанию в Windows Vista в 2006 году.[^5] С приходом ИИ «текучим» стал и код нападающих: появились первые, пока в основном экспериментальные вредоносные программы, которые во время работы просят языковую модель написать для них код, а защитники отвечают ИИ, который сам находит и латает уязвимости.[^2][^20] ## История - **10.1993** Фред Коэн предлагает защищать операционные системы эволюцией программ (англ. *program evolution*): код, который постоянно меняет свой вид, но делает то же самое, труднее атаковать автоматически.[^3] - **05.05.1997** Стефани Форрест, Анил Сомаяджи и Дэвид Экли пишут, что разнообразие — «важный источник устойчивости биологических систем», а компьютеры «примечательны отсутствием разнообразия», и предлагают делать каждую копию программы немного другой.[^4] - **26.05.2006** Microsoft объявляет, что в Windows Vista по умолчанию включено перемешивание адресного пространства (ASLR): библиотека загружается в одно из 256 мест, и атакующий угадывает адрес с вероятностью 1/256.[^5] - **2011** Выходит сборник «Moving Target Defense» под редакцией Сушила Джаджодиа и соавторов.[^6] - **12.2011** Федеральный план исследований кибербезопасности США называет «подвижную цель» одной из четырёх тем, «меняющих игру»: системы должны стать «менее детерминированными, менее однородными и менее статичными», чтобы «существенно повысить стоимость атак».[^1] - **21.01.2014** Стартап Shape Security выходит из тени с ShapeShifter — устройством, которое при каждом показе переписывает код веб-страницы, выдавая «нескончаемый поток случайных вариантов» и ломая ботов, которые ищут поля по именам.[^7] - **30.03.2014** В Linux 3.14 появляется перемешивание адресов самого ядра (KASLR).[^8] - **03.11.2014** В Скоттсдейле проходит первый научный семинар ACM по защите подвижной целью.[^9] - **19.12.2019** F5 объявляет о покупке Shape Security примерно за $1 млрд.[^10] - **19.03.2025** Cloudflare запускает AI Labyrinth: вместо того чтобы блокировать краулер, нарушающий правила сайта, ему подсовывают лабиринт правдоподобных страниц, написанных ИИ.[^11] - **05.11.2025** Google описывает вредоносную программу PROMPTFLUX, один из вариантов которой каждый час просит модель Gemini переписать весь свой исходный код, чтобы его не узнал антивирус.[^2] ## Как устроено Все виды жидкого кода опираются на одно наблюдение: атака почти всегда начинается с разведки, а разведка предполагает, что система завтра будет такой же, как сегодня. Меняется то, что изучает атакующий. **Память.** Программа и её библиотеки при каждом запуске оказываются по новым адресам (ASLR в Windows, Linux, macOS, OpenBSD); исследовательские системы вроде Shuffler перемешивают код уже работающей программы каждые десятки миллисекунд.[^5][^12] Израильская Morphisec продаёт ту же идею для рабочих станций; в 2018 году министерство внутренней безопасности США выделило ей $200 тыс. на версию для виртуальных рабочих мест.[^13] **Сеть.** Компьютеры регулярно меняют свои адреса — так, что свои продолжают связываться, а сканер атакующего видит каждый раз другую картину (MT6D, 2011; OpenFlow Random Host Mutation, 2012).[^14][^15] **Веб-страница.** Имена полей, структура разметки и защитные скрипты меняются при каждой загрузке, чтобы бот, заученно заполняющий форму, промахивался: Shape Security (с 2020 года — часть F5), Kasada, которая пишет, что её скрипты «постоянно меняются, с другой обфускацией при каждой загрузке».[^7][^16] Близкий приём — ловушки, где сама страница бесконечна: AI Labyrinth и Nepenthes заводят краулер в лабиринт сгенерированных страниц.[^11][^17] **Код нападающего.** Вредоносные программы давно меняют свой облик, чтобы их не узнал антивирус, — при запуске Shape Security её продукт прямо описывали как перенос этого приёма на сторону защиты.[^7] С языковыми моделями переписывание стало дешёвым. Образец BlackMamba (HYAS, 2023) при каждом запуске заново получал свой код от модели [OpenAI](https://ftrlg.com/ru/models/openai/); LAMEHUG, приписанный группировке APT28, не хранит команд вовсе — он просит модель Qwen сочинить их по описанию.[^18][^19] **Код защитника.** Обратная сторона той же дешевизны: ИИ-системы ищут уязвимости и сами пишут исправления. В финале конкурса DARPA AIxCC такие системы работали с более чем 54 млн строк кода, а CodeMender от [Google DeepMind](https://ftrlg.com/ru/models/google-deepmind/) за полгода отправил в открытые проекты 72 исправления, переписывая и целые фрагменты кода, а не только латая.[^20][^21] Брюс Шнайер с соавторами называют это «непрерывным поиском и непрерывным исправлением».[^22] ## Данные **Сколько стоит атаке и защите** | Кто и когда | Что выясняли | Что нашли | |---|---|---| | Шахам и др., 10.2004[^23] | Можно ли перебором обойти перемешивание памяти на 32-битной системе | Веб-сервер Apache под защитой PaX взламывается в среднем за 216 секунд. | | Охрави и др. (MIT Lincoln Laboratory), 03.2014[^24] | Слабые места перемешивания | Ни один способ не выдерживает утечки произвольного участка памяти; 16 бит случайности у автоматически перезапускаемого сервера подбираются за минуты. | | Уильямс-Кинг и др. (Колумбийский университет), 2016[^12] | Во что обходится перемешивание кода на лету | При перемешивании каждые 50 мс программа работает на 14,9% медленнее. | **Что ИИ делает с «жидкостью»** | Кто и когда | Что выясняли | Что нашли | |---|---|---| | Unit 42 (Palo Alto Networks), 20.12.2024[^25] | Может ли языковая модель переписать вредоносный JavaScript так, чтобы его не узнал нейросетевой детектор | В 88% случаев детектор начинал считать код безопасным. Дообучение детектора на 10 тыс. таких вариантов подняло распознавание новых образцов на 10%. | | Хортеа и др., 05.2026[^26] | Насколько разнообразен вредоносный код, который пишут ИИ-модели | Вариант стоит $0,41–0,73, но модель не трогает границы между модулями — и одна сигнатура ловит все варианты. | | Ногейра и др., 07.2026[^27] | Независимы ли ошибки в нескольких версиях программы, написанных ИИ | Нет: три-пять версий дают меньше половины того прироста надёжности, который был бы при независимых ошибках, а версии от одной модели — меньше трети. | | DARPA AIxCC, 08.08.2025[^20] | Могут ли ИИ-системы сами находить и исправлять уязвимости | В 63 заданиях финала найдено 54 заложенные уязвимости, исправлено 43; заодно найдено 18 настоящих, никем не заложенных. | > **[ВЫВОД РЕДАКЦИИ]** Жидкий код поднимает цену атаки, но не делает её невозможной: перемешивание памяти перебирается за минуты, если случайности мало (Шахам, Охрави), а постоянное движение стоит защитнику скорости (Уильямс-Кинг). ИИ удешевил «текучесть» для обеих сторон, но пока поверхностно: переписанный моделью код обманывает нейросетевой детектор (Unit 42), но ловится одной точной сигнатурой (Хортеа), а версии одной программы от ИИ ошибаются одинаково (Ногейра) — то есть настоящего разнообразия ИИ пока не даёт. Самый измеримый сдвиг — на стороне защиты: системы, которые сами находят и исправляют уязвимости (AIxCC). ## Инциденты ### LAMEHUG: вредонос спрашивает команды у модели, июль 2025 Украинская команда реагирования CERT-UA сообщила о рассылке по органам сектора безопасности и обороны: во вложении была программа, которая по заранее заданному описанию просила языковую модель Qwen 2.5-Coder через сервис Hugging Face сгенерировать команды и выполняла их. CERT-UA с умеренной уверенностью связала атаку с группировкой APT28.[^19] Google в ноябре назвала это семейство (у неё — PROMPTSTEAL) первым замеченным ею случаем, когда вредонос обращается к языковой модели в реальной операции.[^2] ### PromptLock: «первый ИИ-шифровальщик» оказался научной работой, август 2025 ESET сообщила об обнаружении «первого известного ИИ-шифровальщика»: программа сама генерировала вредоносные скрипты с помощью открытой модели gpt-oss-20b, при этом в атаках её не видели.[^28] Вскоре выяснилось, что найденные на VirusTotal образцы — прототип исследователей Инженерной школы Тандон Нью-Йоркского университета: ESET дополнила свою статью 3 сентября, а университет рассказал об этом 17 сентября.[^29] ### Боты научились проходить Anubis, август 2025 Хостинг кода Codeberg, защищённый от ИИ-скраперов программой Anubis (она заставляет браузер решить вычислительную задачу), сообщил: «похоже, ИИ-краулеры научились решать задачи Anubis».[^30] Исследователь Тэвис Орманди подсчитал, что такая задача почти ничего не стоит скраперу: доступ ко всем сайтам с Anubis на неделю обходится «примерно в $0».[^31] ## Критика Ограничения подхода стали видны рано: Шахам с соавторами в 2004 году заключили, что на 32-битных системах перемешивание адресного пространства в духе PaX даёт лишь «небольшое замедление» распространения червей.[^23] Авторы федерального плана США 2011 года сами признали главное противоречие: принято считать, что сложность добавляет системе риска, и задача — «доказать, что сложность — это преимущество, а не слабость».[^1] Тот же вопрос встал перед этим сайтом. В прототипе формы комментариев future.log каждое её открытие выдавало новые случайные имена полей и перемешанные поля-обманки. При пересмотре перед запуском от них отказались: когда первые комментарии новичка проверяет редакция, а доверие закрепляется за постоянной подписью автора (трипкодом), случайные имена почти ничего не добавляли к защите. Остались одноразовый подписанный токен, одно поле-ловушка и лимиты частоты.[^35] Исследователь Маркус Хатчинс назвал преувеличением шум вокруг PROMPTFLUX: в коде нет механизма, гарантирующего, что новая версия отличается от прежней и работает, а сама функция переписывания была закомментирована.[^32] Google и сама писала, что программа пока не способна заразить сеть жертвы.[^2] ⧗ ## Развитие Жидкий код смещается в двух направлениях. Защита от ботов дополняет запутывание проверкой подписи: с ростом трафика [ИИ-агентов](https://ftrlg.com/ru/wiki/autonomous-ai-agents/) Cloudflare пишет, что вопрос, кого считать ботом, «больше не очевиден», и предлагает честным ботам подписывать запросы криптографически — чтобы сайтам не приходилось узнавать их по признакам, которые легко подделать.[^33] А «движением» защиты становится скорость исправлений: Google в мае 2026 года сообщила, что впервые нашла эксплойт для уязвимости нулевого дня, созданный, по её оценке, с помощью ИИ, — и успела до массовой атаки.[^34] > **[ВЫВОД РЕДАКЦИИ]** Изначально жидкий код означал «перемешай, чтобы враг не нашёл». В эпоху ИИ он всё больше означает «перепиши быстрее, чем враг найдёт»: обе стороны используют модели, чтобы менять код, и выигрывает тот, чей цикл короче. Перемешивание по-прежнему работает против дешёвой массовой автоматизации, но против атакующего, который читает систему так же, как человек, главным становится не форма кода, а скорость, с которой его исправляют. ## Сигналы - 2025-10-10 — Брюс Шнайер: «Мы привыкли, что после обнаружения уязвимости есть время её закрыть, — это больше не так: ИИ автоматизирует ключевые звенья атаки, и баланс, который и так был на стороне нападающих, грозит сместиться полностью — возможно, это «событие сингулярности» для кибератакующих» — криптограф, в эссе, написанном вместе с Хизер Эдкинс (Google) и Гади Эвроном; ответ защиты они видят в «непрерывном поиске и непрерывном исправлении» уязвимостей с помощью ИИ (https://ftrlg.com/ru/signals/cydmuidxd/) - 2025-08-08 — Стивен Винчелл: «Искать и латать уязвимости нынешними методами медленно, дорого и упирается в нехватку людей — особенно когда противники усиливают атаки ИИ; технологии AIxCC дадут защитникам преимущество в скорости и масштабе» — директор DARPA, в пресс-релизе об итогах конкурса AIxCC, где ИИ-системы сами находили и исправляли уязвимости; четыре из семи систем-финалистов выложены в открытый доступ (https://ftrlg.com/ru/signals/cmnxgsk24/) ## См. также Щиты proof-of-work · [Поведенческая биометрия](https://ftrlg.com/ru/wiki/behavioral-biometrics/) · [Смерть капчи](https://ftrlg.com/ru/wiki/death-of-captcha/) · [Теория мёртвого интернета](https://ftrlg.com/ru/wiki/dead-internet-theory/) · [Автономные ИИ-агенты](https://ftrlg.com/ru/wiki/autonomous-ai-agents/) · [Безопасность ИИ](https://ftrlg.com/ru/wiki/ai-safety/) · [Открытый код](https://ftrlg.com/ru/wiki/open-source/) ## Примечания [^1]: Trustworthy Cyberspace: Strategic Plan for the Federal Cybersecurity Research and Development Program — National Science and Technology Council, Executive Office of the President, 12.2011. [nitrd.gov](https://www.nitrd.gov/pubs/Fed_Cybersecurity_RD_Strategic_Plan_2011.pdf) [^2]: GTIG AI Threat Tracker: Advances in Threat Actor Usage of AI Tools — Google Threat Intelligence Group, 05.11.2025. [cloud.google.com](https://cloud.google.com/blog/topics/threat-intelligence/threat-actor-usage-of-ai-tools) [^3]: F. B. Cohen. Operating system protection through program evolution — Computers & Security, т. 12, № 6, 10.1993. [doi.org](https://doi.org/10.1016/0167-4048(93)90054-9) [^4]: S. Forrest, A. Somayaji, D. H. Ackley. Building diverse computer systems — HotOS-VI, IEEE, 05.05.1997. [doi.org](https://doi.org/10.1109/HOTOS.1997.595185) [^5]: M. Howard. Address Space Layout Randomization in Windows Vista — Microsoft, 26.05.2006. [learn.microsoft.com](https://learn.microsoft.com/en-us/archive/blogs/michael_howard/address-space-layout-randomization-in-windows-vista) [^6]: S. Jajodia, A. K. Ghosh, V. Swarup, C. Wang, X. S. Wang (ред.). Moving Target Defense: Creating Asymmetric Uncertainty for Cyber Threats — Springer, 2011. [doi.org](https://doi.org/10.1007/978-1-4614-0977-9) [^7]: J. Casaretto. Shape Security emerges from stealth, looking to change website security forever — SiliconANGLE, 21.01.2014. [siliconangle.com](https://siliconangle.com/2014/01/21/shape-security-emerges-from-stealth-looking-to-change-website-security-forever/) [^8]: Linux 3.14 — Kernel Newbies, 30.03.2014. [kernelnewbies.org](https://kernelnewbies.org/Linux_3.14) [^9]: First ACM Workshop on Moving Target Defense (MTD 2014) — George Mason University, 03.11.2014. [csis.gmu.edu](https://csis.gmu.edu/MTD2014/) [^10]: F5 to Acquire Shape Security, Transforming Application Security — F5 Networks (приложение к отчёту 8-K в SEC), 19.12.2019. [sec.gov](https://www.sec.gov/Archives/edgar/data/1048695/000104869519000036/pressrelease12192019.htm) [^11]: R. Tatoris. Trapping misbehaving bots in an AI Labyrinth — Cloudflare, 19.03.2025. [blog.cloudflare.com](https://blog.cloudflare.com/ai-labyrinth/) [^12]: D. Williams-King et al. Shuffler: Fast and Deployable Continuous Code Re-Randomization — OSDI, USENIX, 2016. [cs.columbia.edu](https://www.cs.columbia.edu/~junfeng/papers/shuffler/) [^13]: News Release: Israeli Morphisec Gets $200K for Cybersecurity Tech — U.S. Department of Homeland Security, 02.10.2018. [dhs.gov](https://www.dhs.gov/science-and-technology/news/2018/10/02/news-release-israeli-morphisec-gets-200k-cybersecurity-tech) [^14]: M. Dunlop, S. Groat, W. Urbanski, R. Marchany, J. Tront. MT6D: A Moving Target IPv6 Defense — MILCOM, IEEE, 11.2011. [doi.org](https://doi.org/10.1109/MILCOM.2011.6127486) [^15]: J. H. Jafarian, E. Al-Shaer, Q. Duan. OpenFlow random host mutation: transparent moving target defense using software defined networking — HotSDN, ACM, 13.08.2012. [doi.org](https://doi.org/10.1145/2342441.2342467) [^16]: JavaScript Deobfuscation: Hiding Intent to Fortify Bot Defenses — Kasada, 12.03.2021. [kasada.io](https://www.kasada.io/blog/javascript-deobsfusction-bot-defenses) [^17]: J. Koebler. Developer Creates Infinite Maze That Traps AI Training Bots — 404 Media, 23.01.2025. [404media.co](https://www.404media.co/developer-creates-infinite-maze-to-trap-ai-crawlers-in/) [^18]: J. Sims. BlackMamba: Using AI to Generate Polymorphic Malware — HYAS Labs, 07.03.2023 (архивная копия). [web.archive.org](http://web.archive.org/web/20230327012801/https://www.hyas.com/blog/blackmamba-using-ai-to-generate-polymorphic-malware) [^19]: Кібератаки UAC-0001 на сектор безпеки та оборони із застосуванням програмного засобу LAMEHUG, що використовує LLM (CERT-UA#16039) — CERT-UA, 17.07.2025. [cert.gov.ua](https://cert.gov.ua/article/6284730) [^20]: AI Cyber Challenge marks pivotal inflection point for cyber defense — DARPA, 08.08.2025. [darpa.mil](https://www.darpa.mil/news/2025/aixcc-results) [^21]: R. A. Popa, F. Flynn. Introducing CodeMender: an AI agent for code security — Google DeepMind, 06.10.2025. [deepmind.google](https://deepmind.google/discover/blog/introducing-codemender-an-ai-agent-for-code-security/) [^22]: H. Adkins, G. Evron, B. Schneier. Autonomous AI Hacking and the Future of Cybersecurity — Schneier on Security (перепечатка из CSO), 10.10.2025. [schneier.com](https://www.schneier.com/blog/archives/2025/10/autonomous-ai-hacking-and-the-future-of-cybersecurity.html) [^23]: H. Shacham et al. On the Effectiveness of Address-Space Randomization — ACM CCS, 10.2004. [hovav.net](https://hovav.net/ucsd/papers/sppgmb04.html) [^24]: H. Okhravi, T. Hobson, D. Bigelow, W. Streilein. Finding Focus in the Blur of Moving-Target Techniques — IEEE Security & Privacy, 03.2014. [ll.mit.edu](https://www.ll.mit.edu/sites/default/files/publication/doc/2018-04/2014_04_15_OkhraviH_IEEES%26amp%3BP_FP.pdf) [^25]: Now You See Me, Now You Don’t: Using LLMs to Obfuscate Malicious JavaScript — Unit 42, Palo Alto Networks, 20.12.2024. [unit42.paloaltonetworks.com](https://unit42.paloaltonetworks.com/using-llms-obfuscate-malicious-javascript/) [^26]: Hortea, Varlese, Romano, Tapiador. The Infinite Mutation Engine? Measuring Polymorphism in LLM-Generated Offensive Code — arXiv, 05.05.2026. [arxiv.org](https://arxiv.org/abs/2605.03619) [^27]: Nogueira, Pattabiraman, Vieira, Campos. A Systematic Methodology for Evaluating Failure Independence in LLM-Generated Code — arXiv, 02.07.2026. [arxiv.org](https://arxiv.org/abs/2607.02808) [^28]: A. Cherepanov, P. Strýček. First known AI-powered ransomware uncovered by ESET Research — ESET, 26.08.2025. [welivesecurity.com](https://www.welivesecurity.com/en/ransomware/first-known-ai-powered-ransomware-uncovered-eset-research/) [^29]: AI-Powered Ransomware That Sparked Concern Was NYU's Work — NYU Tandon School of Engineering, 17.09.2025. [engineering.nyu.edu](https://engineering.nyu.edu/news/ai-powered-ransomware-sparked-concern-was-nyus-work) [^30]: T. Claburn. Codeberg beset by AI bots that now bypass Anubis tarpit — The Register, 15.08.2025. [theregister.com](https://www.theregister.com/2025/08/15/codeberg_beset_by_ai_bots/) [^31]: T. Ormandy. Anubis. — lock.cmpxchg8b.com, 2025. [lock.cmpxchg8b.com](https://lock.cmpxchg8b.com/anubis.html) [^32]: R. Lakshmanan. Google Uncovers PROMPTFLUX Malware That Uses Gemini AI to Rewrite Its Code Hourly — The Hacker News, 05.11.2025. [thehackernews.com](https://thehackernews.com/2025/11/google-uncovers-promptflux-malware-that.html) ⧗ [^33]: T. Meunier, M. Galicer. Forget IPs: using cryptography to verify bot and agent traffic — Cloudflare, 15.05.2025. [blog.cloudflare.com](https://blog.cloudflare.com/web-bot-auth/) [^34]: GTIG AI Threat Tracker: Adversaries Leverage AI for Vulnerability Exploitation, Augmented Operations, and Initial Access — Google Threat Intelligence Group, 11.05.2026. [cloud.google.com](https://cloud.google.com/blog/topics/threat-intelligence/ai-vulnerability-exploitation-initial-access) [^35]: Журнал решений future.log, решения № 23 (10.10.2026) и № 108 (12.10.2026) — редакция future.log; внутренний документ. — future.log, «Жидкий код», https://ftrlg.com/ru/wiki/moving-target-defense/ · CC BY 4.0