Claude Code нашёл на Mac майнер xmrig на 1175% CPU — и сам себя оправдал

Что произошло, почему это важно и что взять в работу.

Кейс бьёт по доверию к AI-агентам с доступом к системе: агент годится как аудитор, но его «я не ставил» — не доказательство, нужен внешний контроль доступа и логи.

Связанные услуги: каталог, AI Boost Team, стать клиентом.

Мак грелся, а виноват не мак

26 октября 2026 пользователь Reddit под ником UntilHEX собирал в Claude Code приложение для мониторинга температуры Mac. Машина грелась заметно сильнее обычного. Дальше агент, проверяя точность датчиков, наткнулся на процесс xmrig (майнер Monero), который занимал около 1175% CPU, то есть примерно 12 ядер, при пике температуры процессора 112°C. Формулировка, с которой агент выдал результат, стала главным инфоповодом:

Most important: your Mac is running a cryptominer that I didn't put there. While checking sensor accuracy I saw xmrig using about 1175% CPU, roughly 12 cores. That is why your temperatures are so high, with the CPU peaking at 112°C.

Проверка датчиков была поводом, а нашлось постороннее. Пользователь шёл за калибровкой сенсоров, получил диагноз по всей машине. Это, кстати, лучший сценарий работы агента с доступом к системе: он увидел аномалию в выводе системных утилит и связал её с симптомом, который человек описывал словами «что-то греется».

Аудитор отработал, свидетель — нет

Разделим два действия. Первое: модель прочитала список процессов и вытащила xmrig. Это рутина, которую человек сделал бы сам минут за десять, если бы знал, куда смотреть. Второе: она без запроса добавила, что майнер ставил не она. Вот это уже не диагностика.

Часть Reddit напряглась именно из-за второй фразы. Наиболее правдоподобное объяснение, и оно же самое скучное, — артефакт обучения: в корпусе полно текстов, где кто-то объясняет «это не я», и модель вставила уместный по тону шаблон. Один из разборов кейса прямо говорит, что речь скорее о следе тренировки, чем о взбунтовавшемся ИИ:

Redditors had split views on the suspicious-sounding comment, but it seems more likely to be a training artifact than an AI gone rogue.

Для владельца бизнеса тут важен один вывод, и он неприятный. Фраза агента «я не ставил» не доказывает ничего ни в одну сторону. У модели нет собственного журнала действий на этой машине, нет памяти о прошлых сессиях и нет обязанности говорить правду под протокол. Она генерирует правдоподобный текст. А правдоподобное объяснение — ровно то, что вредонос и пишет в своих же комментариях в коде. Верить агенту на слово там, где нужен лог, — это покупать файл, а не решение.

Почему кейс бьёт по агентам с доступом к системе

В SMB агентов ставят туда, где раньше сидел админ или его не было вовсе: прод-сервер, репозиторий, CI, касса, рекламные кабинеты. Доступ выдают щедро, чтобы «не мешал работать». Полный shell, токен на запись, ключи в том же домашнем каталоге. Через месяц никто не помнит, какие права у сервисной учётки.

На такой конфигурации три вопроса обычно остаются без ответа. Кто запускал процесс: если он поднялся не из интерактивной консоли, а из автозапуска или скрипта в составе чужого пакета, история команд пуста. Что делал агент в сессии: чат-лог есть, а системного журнала, привязанного к агенту, нет. Какая норма: без baseline по загрузке CPU вы узнаёте о майнере по вою вентилятора, как UntilHEX, а не по графику.

Экономика тоже не пустая. Майнер на рабочей машине забирает ядра, на которых сотрудник должен работать, и держит процессор на температурах, от которых деградируют термопаста и батарея. Ноутбук, который полгода прожил на 112°C, доезжает до сервиса раньше планового срока, и это уже деньги.

Что настроить до того, как выдать агенту shell

• Отдельная учётка для агента, без sudo и без доступа к ключам, кассовым данным и прод-базе. Свой каталог, свои права.
• Журнал процессов и сетевых соединений вне сессии агента. Логи лежат там, куда агент не пишет. Иначе он их и «почистит».
• Baseline нагрузки: снимок top/ps и температуры раз в N минут в файл. 1175% CPU на таком графике видно сразу, без расследований.
• Allowlist на установку пакетов. Агент готовит список, человек нажимает кнопку.
• Фильтр исходящих соединений. Майнеру нужен пул; без доступа к незнакомым доменам и портам он бесполезен, даже если уже стоит.
• Отказ от режима «разрешать всё» на машинах с клиентскими данными. Разовое неудобство дешевле инцидента.

Отдельно про проверку: раз в квартал прогоняйте по парку вопрос «кто и что запускал» на данных журнала, а не на памяти модели. Если ответ находится только в чате с агентом, у вас нет ответа.

Вердикт

Claude Code в этом кейсе отработал как хороший аудитор и как плохой свидетель. Первое стоит денег. Второе не стоит ничего, и строить на нём безопасность нельзя. Бояться, что ИИ «взбунтуется», тут нечего; проблема прозаичнее. Агентам выдали права администратора, а контроль оставили на уровне доверия к их тексту. Ответ на вопрос «кто это запустил» должен давать журнал. Пока даёт чат, вы узнаёте о проблеме по температуре.