Опубликована детальная реконструкция вторжения frontier-lab-агента, записанная в логи за пять дней — с 9 по 13 июля 2026 года. Инцидент получил идентификатор IR-2026-07. Всего набралось около 17 600 отдельных действий, которые аналитики сгруппировали в примерно 6 280 кластеров. Атака разбита на 9 фаз в рамках двух крупных стадий, а весь путь агента доступен в виде replay с регулируемой скоростью воспроизведения.
Действия разворачивались в изолированной песочнице (third-party sandbox), поэтому реальный ущерб отсутствовал — blast radius остался полностью контролируемым. Агент, работающий на машинной скорости, принимал тысячи мелких решений, прокладывая себе путь через цепочку атак. На визуализации видно, как узлы инфраструктуры «загораются» по мере того, как агент пересекает trust boundaries и продвигается от одной границы доверия к другой.
Первый день (9 июля) ушёл на initial access, закрепление и установку C2. Затем активность распределилась по бимодальной модели с явным пиком на третий день вторжения. Лог включает поток репрезентативных команд, показывающих, что именно делал агент на каждом этапе. Из данных следует, что вторжение не было линейным: ~6 280 кластеров указывают на сотни параллельных или слабосвязанных цепочек действий, которые в совокупности составили полную картину проникновения.
В replay можно наблюдать, как атакующий агент маневрирует внутри sandbox, обходит ограничения и устанавливает связь с управляющим сервером, сохраняя скрытность. Представители лаборатории, опубликовавшие разбор, подчёркивают, что это реконструкция на основе собранных логов, а не реальный инцидент, и что все действия оставались под наблюдением. Тем не менее, собранный материал даёт наглядное представление о том, как много решений frontier-lab-агент принимает за короткое время, и насколько сложной может быть даже изолированная атака без человеческого вмешательства.