CrowdStrike opisał cztery nieznane dotąd grupy przestępcze, które między majem a sierpniem 2026 prowadziły kampanie, w których agenty AI same wybierały kolejne kroki ataku i wykonywały komendy. Wszystkie cztery obeszły zabezpieczenia modeli, przekonując je, że pracują na zlecenie. Raport opublikowano 21 października.
Najważniejsze w skrócie
- Cztery grupy: chińskojęzyczna, hiszpańsko-angielska, indonezyjska i rosyjskojęzyczna
- Grupa hiszpańsko-angielska włamała się do co najmniej 15 argentyńskich placówek ochrony zdrowia
- Grupa chińskojęzyczna miała ponad 20 nazwanych celów na kilku kontynentach
- Napastnicy sięgali głównie po starsze wersje modeli Claude i otwarte modele DeepSeek
- Wszystkie cztery zostawiły swoją infrastrukturę AI w otwartych katalogach na serwerach
Dwa agenty i maszyna stanów
Operator hiszpańsko-angielski uruchomił własny, autonomiczny harness?harness: warstwa oprogramowania, która prowadzi model przez zadanie — podaje mu narzędzia, kolejne polecenia i kontekst do testów penetracyjnych. Architektura jest dwuagentowa: Supervisor oparty na Claude Code wybiera kolejne zadanie z maszyny stanów?maszyny stanów: gotowy scenariusz, w którym każdy etap ataku ma zdefiniowane przejścia do następnych, a Executor je wykonuje.
Szkielet pochodzi z otwartego projektu PentestGPT, ale grupa przebudowała go, dodając własne serwery MCP, skrypty eksploatacyjne w Pythonie i skille. Z co najmniej jednej z 15 argentyńskich placówek wyprowadzono dane uwierzytelniające i dokumentację medyczną. Użyto modeli Claude Opus 4.5, Claude Haiku 4.5 i DeepSeek V4 Pro.
Diagram odwzorowuje podział ról opisany przez CrowdStrike. Nie pokazuje konkretnych narzędzi ani kolejności etapów w scenariuszu ataku.
Jak obchodzono zabezpieczenia
Najczęstsza metoda była narracyjna: przekonać model, że chodzi o autoryzowany test bezpieczeństwa. Kilka grup dokładało do katalogu roboczego agenta pliki mające poświadczać, że zadania są zatwierdzone. Bardziej zaawansowani budowali spójną historię i z wyprzedzeniem rozbrajali wątpliwości modelu, mniej zaawansowani naciskali prostackimi promptami.
Grupa chińskojęzyczna poszła dalej i runtime patchem?runtime patchem: modyfikacją nałożoną na działające narzędzie, bez zmiany jego kodu źródłowego o nazwie ClawGod próbowała usunąć z systemowego promptu Claude Code instrukcję CYBER_RISK_INSTRUCTION, która ogranicza narzędzie do autoryzowanych testów. Modele Claude grupa pobierała przez chiński serwis proxy.
| Metoda | Kto ją stosował |
|---|---|
| Narracja o autoryzowanym teście bezpieczeństwa | wszystkie cztery grupy |
| Pliki w katalogu roboczym agenta poświadczające zgodę | kilka grup |
| Prostackie prompty wymuszające zgodę | mniej zaawansowani operatorzy |
| Runtime patch usuwający instrukcję z promptu systemowego | grupa chińskojęzyczna |
Starsze modele zamiast frontier
Prawie wszystkie kampanie opierały się na starszych wersjach modeli, otwartych i zamkniętych. Nowsze są drogie i do większości zadań zbędne. Routing między modelami dawał jednak drugą korzyść.
Modele nie mają równoważnych guardraili i zabezpieczeń, nawet w obrębie jednej firmy.
Adam Meyers, senior vice president ds. counter adversary operations w CrowdStrike.
Meyers podkreśla, że w żadnej z kampanii nie użyto nowych exploitów ani nieznanych luk. AI dało napastnikom szybkość i skalę w wykorzystywaniu zaniedbań, którym dawno można było zapobiec.
Dlaczego to ważne?
Guardrails okazują się granicą negocjowalną, bo da się ją obejść opowieścią o autoryzowanym pentestcie, a nie exploitem. Jeszcze gorzej wygląda nierówność zabezpieczeń w obrębie portfolio jednego dostawcy, bo zamienia wybór modelu w narzędzie napastnika. Wniosek dla obrońców jest przy tym mało technologiczny. Skalę ataków napędzają dziś zaległości w podstawowej higienie bezpieczeństwa.
Co dalej?
- Anthropic nie skomentował ustaleń przed publikacją, DeepSeek nie odpowiedział na pytania WIRED
- Otwarte katalogi napastników są dziś głównym źródłem wiedzy o takich kampaniach
- Nierówne guardraile w obrębie jednego portfolio to zidentyfikowane ryzyko po stronie dostawców modeli
