Sigurnosni istraživači otkrili su zlonamjerni AI agent koji je dizajniran da preuzima kontrolu nad izloženim AI modelima i koristi ih za autonomno provođenje cyber-napada. Agent je, prema analizi Symantec Threat Hunter Teama, mogao izvršavati do 100.000 koraka bez ljudskog odobrenja, uključujući skeniranje interneta, iskorištavanje ranjivih sistema, krađu podataka i tajno rudarenje kriptovaluta.
Symantec je kompletne upute agenta pronašao tokom ljeta, nakon što je alat namamio u kontrolisano AI “medeno lonce” okruženje. Na taj način istraživači su mogli analizirati kako je sistem napravljen i koje je zadatke bio sposoban obavljati.
AI modeli kao pogonsko gorivo za napade
Agent je bio podešen da na internetu traži krajnje tačke koje prihvataju zahtjeve u stilu OpenAI API-ja bez autentifikacije, kao i one kojima se može pristupiti ukradenim API ključem. Nakon pronalaska takvih sistema, mogao je pokušati izvesti niz napada na različite web tehnologije i razvojne platforme.
Među mogućim aktivnostima navode se izvlačenje baza podataka, prikupljanje akreditiva i tajni iz konfiguracionih datoteka, udaljeno izvršavanje koda, komandna injekcija, napadi na GraphQL interfejse te server-side request forgery. Agent je uključivao i module usmjerene na okruženja kao što su VS Code, Django, Jupyter, Laravel, Supabase, Next.js i Flask/Werkzeug.
Symantec je u konfiguraciji pronašao ukupno 74 definicije ofanzivnih alata. One su pokrivale otkrivanje internet resursa, komunikaciju s botnetima, izvlačenje podataka kroz Prisma i različite načine iskorištavanja ranjivih servera.
“Skynet mode” za automatizovane napade
Posebno zabrinjava dio sistema koji su njegovi tvorci nazvali “Skynet mode”. Ovaj režim je zamišljen kao neprekidna petlja: agent skenira ciljeve, pokušava ih kompromitovati, postavlja rudare kriptovaluta i zatim se vraća na ponovno traženje i reinfekciju drugih sistema.
“Jailbreak” upute korištene za zaobilaženje sigurnosnih ograničenja uglavnom su se oslanjale na već poznate tehnike. Modelu se, između ostalog, pokušavalo sakriti njegov stvarni identitet i predstaviti krađu ključeva, konfiguracija i drugih osjetljivih podataka kao dio legitimnog razvoja softvera. Dodatni slojevi su model trebali navesti da ignoriše vlastita upozorenja i odbijanje opasnih zahtjeva.
“Ništa u pojedinačnim tehnikama nije novo. Ono što se izdvaja jeste to što ih je neko povezao u jednog agenta, prepustio planiranje posuđenom modelu i omogućio mu rad do 100.000 koraka bez čovjeka”, izjavila je za The Register Priti More, istraživačica Symantecova Threat Hunter Teama.
Nema potvrde o stvarnoj upotrebi
Važno je da Symantec zasad nije pronašao dokaze da je ovaj agent korišten u stvarnim napadima. Ipak, istraživači navode da nije riječ samo o konceptu: historija rada koju su analizirali pokazuje korištenje alata protiv stvarne mete, uz rezultate skeniranja koji djeluju vjerodostojno.
U slučaju stvarne upotrebe, žrtve bi bile najmanje dvije grupe. Vlasnik nezaštićenog AI endpointa plaćao bi potrošnju računalnih resursa i inferencije, dok bi kompromitovani serveri mogli izgubiti podatke ili biti iskorišteni za rudarenje kriptovaluta.
Symantec nije povezao agenta s konkretnom osobom ili kriminalnom grupom. Tragovi koji upućuju na Francusku, poput jezika u dijelu uputa i francuske kućne IP adrese, nisu dovoljni za pouzdanu atribuciju jer mogu poticati od VPN-a, proxyja ili javno dostupnih materijala.
Otkriće pokazuje promjenu u načinu zloupotrebe generativne AI. Napadači više ne pokušavaju samo nagovoriti chatbot da zanemari sigurnosna pravila. Umjesto toga, AI model koriste kao mehanizam za razmišljanje i planiranje, dok specijalizovani moduli obavljaju skeniranje, eksploataciju i rudarenje na odvojenim žrtvama.
