AI przejmuje kolejne etapy cyberataków. Jedna kampania powstała w mniej niż 6 godzin

Google Threat Intelligence Group opublikowała analizę wykorzystania AI przez cyberprzestępców i aktorów powiązanych z państwami. 

AI nadal pomaga przygotowywać phishing, pisać kod i prowadzić rozpoznanie, jednak coraz częściej staje się częścią bardziej złożonych, zautomatyzowanych procesów. 

Rosną też ataki na same zasoby AI, w tym modele, kod źródłowy, prompty i infrastrukturę obliczeniową.

AI przechodzi od promptów do działania

Do niedawna generatywna AI przede wszystkim wspierała człowieka. Model pomagał napisać wiadomość phishingową, przetłumaczyć tekst, przygotować fragment kodu albo rozwiązać problem techniczny.

GTIG wskazuje, że ten schemat zaczyna się zmieniać. Aktorzy zagrożeń eksperymentują z agentową AI, która może wykonywać serię zadań, reagować na problemy i podejmować kolejne działania przy ograniczonym udziale człowieka.

Według GTIG AI jest coraz częściej wykorzystywana do:

• automatycznego skanowania infrastruktury i wyszukiwania podatności,
• zarządzania pozyskanymi danymi uwierzytelniającymi,
• rozwiązywania problemów pojawiających się podczas operacji,
• tworzenia narzędzi i skryptów potrzebnych do kolejnych etapów ataku.

Tradycyjna automatyzacja od dawna jest elementem cyberataków. Nowością jest szersze wykorzystanie modeli językowych jako części systemu, który może analizować sytuację i dostosowywać dalsze działania.

Mniej niż sześć godzin na przygotowanie kampanii

Jeden z najważniejszych przypadków opisanych przez Mandiant dotyczył motywowanego finansowo aktora, który przejął infrastrukturę chmurową organizacji.

Napastnik wykorzystał chatbot programistyczny oparty na AI, prompt i zestaw instrukcji dla agentów. W czasie krótszym niż sześć godzin powstał system służący do masowego pozyskiwania danych uwierzytelniających.

Agent automatycznie zarządzał skanowaniem podatności, reagował na błędy i stosował rotację adresów IP. Operacja doprowadziła do przejęcia tysięcy danych uwierzytelniających należących do podmiotów trzecich.

Google opisuje też framework Recon. Na wystawionym do internetu serwerze C2 odnaleziono panel pozwalający organizować i weryfikować ponad 23,8 tys. pozyskanych sekretów, w tym klucze API do usług chmurowych i platform AI.

Modele AI też stają się celem

GTIG obserwuje rosnącą liczbę ataków na własnościowe modele AI, kod źródłowy, wyniki badań i prompty. Problem dotyczy wielu sektorów, w tym technologii, medycyny, administracji i mediów.

Mandiant badał włamanie do organizacji z sektora ochrony zdrowia, z której wykradziono dane firmowe, wyniki badań nad lekami oraz własnościowy model AI. Napastnicy zagrozili ich publikacją, jeśli organizacja nie zapłaci okupu. W innym przypadku atakujący przejęli kod źródłowy, prompty i skrypty modeli firmy zajmującej się generowaniem treści z użyciem AI.

Osobnym zjawiskiem są próby destylacji modeli. Google informuje, że niektóre skoordynowane kampanie obejmowały ponad 100 mln promptów. Atakujący wykorzystywali tysiące przejętych danych uwierzytelniających i fałszywych kont, aby utrudnić wykrycie źródła aktywności.

AI zwiększa ryzyko w łańcuchu dostaw

Google zwraca uwagę na bezpieczeństwo ekosystemu open source. Asystenci programowania przyspieszają rozwój oprogramowania, a rosnąca liczba zasobów open source i tempo pracy mogą prowadzić do mniejszej kontroli nad wykorzystywanymi pakietami i zależnościami.

GTIG opisuje działalność UNC6780, znanego jako TeamPCP. Grupa prowadziła ataki na ekosystemy PyPI, npm i Docker Hub. W ramach swoich działań przejmowała legalne konta deweloperów, publikowała złośliwe wersje narzędzi oraz wprowadzała kod do istniejących repozytoriów.

Ciekawy jest przykład prompt injection wymierzonego w narzędzia bezpieczeństwa. Malware DUSTMAKER zawierał instrukcje skierowane do modeli analizujących kod. Złośliwy tekst miał sprawić, że skaner oparty na LLM odmówi analizy dalszej części kodu z powodu własnych mechanizmów bezpieczeństwa.

SANDWORM wykorzystuje Gemini przeciwko Ukrainie

Google wskazuje, że AI jest używana na różnych etapach cyberoperacji przez grupy związane z Chinami, Iranem, Rosją i Koreą Północną. Służy między innymi do rozpoznania, przygotowywania socjotechniki, rozwijania malware i analizy danych.

W przypadku rosyjskiej grupy SANDWORM RELIC, znanej wcześniej między innymi jako SANDWORM i APT44, działania były wymierzone w Ukrainę. GTIG obserwował wykorzystanie Gemini do przygotowywania i poprawiania skryptów służących do password sprayingu, profilowania hostów oraz rozwijania mechanizmów ukrywających infrastrukturę C2 za serwerami proxy.

Grupa tworzyła również lokalne projekty komunikujące się bezpośrednio z API Gemini w celu automatyzowania wybranych zadań.

Dezinformacja bez przełomowej zmiany

Generatywna AI pozostaje częścią operacji informacyjnych powiązanych między innymi z interesami politycznymi Chin, Iranu i Rosji. Modele służyły do tworzenia fikcyjnych person, generowania i dopracowywania narracji, prowadzenia badań oraz tłumaczenia materiałów.

GTIG podkreśla, że nie odnotował w tym obszarze przełomowej zmiany możliwości aktorów zagrożeń. AI zwiększa przede wszystkim produktywność istniejących operacji. Google obserwuje zainteresowanie interaktywnymi agentami i botami, jednak nie stwierdził jeszcze ich skutecznego wykorzystania w realnych operacjach wpływu.

Kradzież kont AI i LLMJacking

Dostęp do zaawansowanych modeli i dużej mocy obliczeniowej kosztuje, dlatego cyberprzestępcy próbują przejmować cudze konta i infrastrukturę.

GTIG obserwuje rosnący popyt na konta usług AI na podziemnych forach. Szczególnie poszukiwane są dane uwierzytelniające do Claude i Gemini oraz dostęp do Cursor Pro i Devin. Według Google średnie ceny takich kont wzrosły w 2026 roku ponad dwukrotnie.

Drugim zjawiskiem jest LLMJacking. Atakujący przejmują środowiska chmurowe organizacji, aby na koszt ofiary uruchamiać własne obciążenia związane z AI.

Autonomiczny haker jeszcze nie działa sam

Raport pokazuje wzrost automatyzacji cyberataków, ale studzi część najbardziej alarmistycznych scenariuszy.

GTIG nie zaobserwował dotychczas, aby aktorzy zagrożeń wykorzystywali przeciwko rzeczywistym celom w pełni autonomiczne systemy prowadzące cały proces eksploitacji bez udziału człowieka.

Zmiana ma bardziej stopniowy charakter. AI przejmuje kolejne elementy cyklu ataku, przyspiesza pracę napastników i pozwala automatyzować zadania wymagające wcześniej większego udziału człowieka. Google ocenia, że rozwój agentowej AI może dalej zwiększać zakres tej automatyzacji.