CloudSEK 11 ноября опубликовала расследование открытого сервера, который исследователи с высокой уверенностью связывают с оператором Silent Lynx. Рядом с инструментами взлома лежали данные жертв и журналы ИИ-агента. Материалы охватывают апрель–октябрь 2026 года: это раскрытие прежних операций, а не сообщение об атаке, начавшейся сегодня.

По данным CloudSEK, злоумышленник сохранял доступ к транспортным сетям и через одну скомпрометированную учётную запись сотрудника собирал правительственную переписку. Среди найденных материалов — тысячи документов Таджикистана, в том числе связанных с обороной. Отдельно исследователи описывают захват государственной геоинформационной платформы Узбекистана: доступ позволял выполнять команды на сервере; на момент обнаружения сохранялся механизм повторного входа.

Журналы показали, что оператор использовал самостоятельно размещённого ИИ-агента на базе DeepSeek для разведки, сбора данных и удаления следов. Разрушительные команды были заранее разрешены человеком. Это свидетельство применения агента внутри конкретной шпионской операции; измерения того, насколько он ускорил атаку, в доступных материалах нет.

Связь оператора с Казахстаном CloudSEK оценивает со средней уверенностью, опираясь в том числе на русскоязычную работу и тестовые подключения через местного интернет-провайдера. Эти признаки не устанавливают участие государства. По сообщению Reuters, власти Казахстана и Таджикистана на момент публикации не ответили на запросы о комментарии.