Kampania hakerska zamknięta w sześciu godzinach
Google Threat Intelligence Group (GTIG), zespół Google analizujący zagrożenia w sieci, opublikował we wrześniu 2026 r. raport „Od podpowiedzi do autonomii. Ewolucja wrogiej sztucznej inteligencji” (w oryginale: „From Prompting to Autonomy: The Evolution of Adversarial AI”). Dokument opisuje, jak grupy powiązane z Chinami, Rosją, Iranem i Koreą Północną, a także zwykli przestępcy nastawieni na zysk, wykorzystują modele językowe przeciwko firmom, programistom i infrastrukturze chmurowej.
Najbardziej wymowna liczba w raporcie to niespełna sześć godzin. Tyle zajęło jednemu z napastników obserwowanych przez Mandiant (należący do Google zespół zajmujący się reagowaniem na incydenty) zaplanowanie, zbudowanie i uruchomienie kampanii masowego pozyskiwania danych uwierzytelniających po uprzednim przejęciu zasobów chmurowych ofiary. GTIG ujmuje to wprost: opóźnienie wynikające z udziału człowieka w podejmowaniu decyzji drastycznie się zmniejsza, a razem z nim kurczy się okno czasowe, w którym zaatakowana firma może zareagować.
Sztuczna inteligencja przestała być dla przestępców jedynie sprawniejszym edytorem wiadomości phishingowych[1]. Według GTIG weszli oni w kolejną fazę:
- budują środowiska złożone z wielu współpracujących agentów, które samodzielnie prowadzą skanowanie w poszukiwaniu luk, na bieżąco usuwają własne błędy techniczne i zmieniają adresy IP, by zmylić systemy obronne,
- automatyzują planowanie i część decyzji operacyjnych, ograniczając udział człowieka w kolejnych krokach ataku,
- przejmują dostęp do zasobów chmurowych ofiary, by uruchamiać w nich własne, kosztowne obliczenia AI na jej rachunek — tzw. LLMJacking (nieautoryzowane wykorzystywanie zasobów chmurowych do uruchamiania modeli).
„Napastnicy wdrażają wieloagentowe środowiska, które samodzielnie zarządzają procesami skanowania, usuwają błędy operacyjne i prowadzą zbieranie danych uwierzytelniających na masową skalę” — ostrzega GTIG.
Ważne
GTIG wyraźnie zaznacza, że w pełni autonomiczne cyberataki, w których AI samodzielnie wykrywa i wykorzystuje podatności w operacjach na żywo, nie stały się jeszcze standardem. Zmiana polega na tym, że agenci AI przejmują coraz więcej etapów operacji i radykalnie skracają czas potrzebny napastnikowi.
- Polskie dane w chmurze. Czy zachowamy suwerenność cyfrową? Google Cloud odpowiada Forsalowi
- Nasza edukacja to wiedza bez umiejętności. Znamy ułamki i procenty, a nie umiemy rozliczyć PIT-u. Komunikacja kuleje, gdy blokujemy się podczas rozmowy, w tym w języku obcym
- Niemcy tłumaczą się przed międzynarodowym trybunałem. Chodzi o dostawy broni dla Izraela
Tysiące sekretów na hakerskim serwerze
Analitycy GTIG natrafili na udostępniony w publicznej sieci serwer dowodzenia i kontroli (C2), na którym działał w pełni zautomatyzowany system zarządzania łupem o kryptonimie „Recon”. Pulpit nawigacyjny w czasie rzeczywistym porządkował, sprawdzał poprawność i obsługiwał ponad 23,8 tys. wykradzionych sekretów — w tym klucze dostępowe (API) do usług chmurowych i narzędzi AI.
Google nazywa to przełomem w metodach napastników: przejściem od biernych programów kradnących dane z pojedynczych komputerów do ofensywnego zbierania informacji przez agenty AI. Przestępca nie czeka już, aż złośliwe oprogramowanie coś przyniesie — system oparty na agentach samodzielnie skanuje, selekcjonuje i natychmiast wykorzystuje to, co znalazł.
Kto stoi za atakami
GTIG wskazuje konkretne grupy, które w II kw. 2026 r. nadużywały narzędzi AI. Przykłady różnią się celem i skalą, ale łączy je jedno: AI nie musi samodzielnie przeprowadzać całego włamania, by zmienić jego ekonomikę. Przyspiesza rozpoznanie, tworzenie kodu, obchodzenie zabezpieczeń i analizę skradzionych danych.
Grupy hakerskie
I. Powiązane z państwami
BASIN CASTLE (Chiny) — wykorzystuje model Gemini do rozpoznania i profilowania celów, przygotowania spersonalizowanych przynęt (m.in. przekładu treści na formalne, anglojęzyczne raporty polityczne i dyplomatyczne), tworzenia zamaskowanego złośliwego oprogramowania i naprawiania błędów w skryptach PowerShell już po włamaniu.
CALANQUE ION (Iran, dawniej APT42) — używa Gemini do wyszukiwania adresów e-mail ofiar, prowadzenia białego wywiadu (OSINT), tłumaczenia treści na języki lokalne na potrzeby phishingu oraz prób odtworzenia działania cudzego oprogramowania.
RAVINE CASTLE (Chiny, dawniej COULEE / APT24) — tworzy propagandę polityczną, bada sposoby anonimowego przekazywania wycieków dziennikarzom i twórcom internetowym, przetwarza wykradzione dane w uporządkowane raporty wywiadowcze. Szukał też sposobów na wykorzystanie luk w platformach VMware vCenter.
SANDWORM RELIC (Rosja, dawniej APT44) — przy pomocy Gemini pisał skrypty w Pythonie do automatycznego testowania popularnych haseł na wielu kontach i rozpoznawania urządzeń w sieci ofiary, a serwery sterujące ukrywał za pośrednikami. Prowadzi operacje wymierzone w Ukrainę.
UNC6508 (Chiny) — kampania szpiegowska wymierzona w instytucje naukowe, medyczne i wojskowe w Ameryce Północnej. Według ustaleń GTIG grupa atakuje zastrzeżone badania nad AI, kod źródłowy i wyniki badań; w przejętej chmurze ofiary instaluje lokalne modele o otwartych wagach, by ominąć nadzór, jakiemu podlegają komercyjne usługi.
Korea Północna — co najmniej jedna grupa fałszywych informatyków masowo rejestrowała dostęp do modeli językowych z przejętych kont. Generuje życiorysy, opisy stanowisk i fałszywe profile lub persony rekruterów, by wniknąć do firm technologicznych.
II. Nastawione na zysk
UNC6780 / TeamPCP — działa od marca 2026 r. Atakuje łańcuch dostaw oprogramowania o otwartym kodzie (PyPI, npm, Docker Hub), rozsiewa program DUSTMAKER wykradający dane uwierzytelniające i sprzedaje je grupom ransomware albo na forach. W jednym przypadku przekazał kontrolę nad przejętą organizacją innemu napastnikowi, który zażądał okupu pod szyldem LAPSUS.
UNC6240 / ShinyHunters — masowa kradzież danych z usług chmurowych i wymuszenia. Za pomocą poleceń kierowanych do modelu Claude pisze zamaskowany kod i obchodzi zabezpieczenia Cloudflare, a wykradzione katalogi przetwarza przy użyciu narzędzi podpiętych do asystenta.
MIDNIGHT NEPTUNE (Korea Północna, dawniej UNC1069) — kradnie kryptowaluty. Tworzy przy użyciu AI fałszywe tożsamości i trojany zdalnego dostępu w Pythonie. Grupa zatruwała repozytoria z konfiguracją asystenta Claude i podmieniała jego skrypty uruchamiane automatycznie, instalując tylne drzwi (SOMBERMEME) w chwili, gdy programista sięgał po narzędzie.
Zatrute narzędzia hakerów dla programistów
Najgroźniejszy trend II kw. 2026 r. dotyczy nie firm, lecz ich dostawców oprogramowania. GTIG odnotował kolejno:
- na początku 2026 r. próby pobierania złośliwych zasobów AI o otwartym kodzie w firmach w Ameryce Północnej i Azji;
- w kwietniu potwierdzony przypadek, w którym agent programistyczny pomógł włączyć złośliwy pakiet jako zależność do bazy kodu legalnego projektu kryptowalutowego;
- w maju złośliwe pakiety w repozytorium PyPI instalujące pośrednika pozwalającego omijać regionalne ograniczenia dostępu do modeli.
Grupa UNC6780 poszła dalej. Przejęła konta prawdziwych programistów, by publikować pod ich nazwiskami zainfekowane kopie serwerów MCP - łączących asystentów AI z zewnętrznymi narzędziami i danymi (m.in. tiktoken_mcp) - i wstrzykiwała złośliwy kod do firmowych repozytoriów na GitHubie. Tylne drzwi trafiały do środowisk deweloperskich automatycznie: pobierał je sam asystent przy klonowaniu repozytorium.
Program DUSTMAKER został zaprojektowany tak, by nie rzucać się w oczy. Ukrywa pliki w katalogach obsługiwanych przez narzędzia AI (.claude, .vscode, .cursor), gdzie giną w codziennym szumie. Stosuje też wstrzykiwanie poleceń (prompt injection) — ukryte w plikach konfiguracyjnych instrukcje, które każą asystentowi wykonywać rozkazy napastnika bez wiedzy programisty. W jednej z próbek napastnicy umieścili w kodzie ukryte polecenie z drastycznymi treściami o broni biologicznej i jądrowej. Cel był chłodno praktyczny: sprowokować model analizujący bezpieczeństwo kodu do odmowy i w ten sposób uniknąć kontroli.
Klucze do modeli AI na czarnym rynku
Cyberprzestępcy wyraźnie zainteresowali się plikami konfiguracyjnymi narzędzi AI. Analiza poleceń wydawanych znanym programom kradnącym dane (LUMMAC.V2, STEALC.V2, VIDAR, ACRSTEALER) pokazała, że w maju 2026 r. ACRSTEALER zaczął celować w konkretne pliki: secrets.json z narzędzia Cline (dawniej Claude Dev) oraz config.yaml z Continue AI, przejętego w czerwcu 2026 r. przez Cursora. Oba potrafią przechowywać klucze dostępowe i adresy usług w postaci zwykłego tekstu, co daje napastnikowi bezpośredni dostęp do płatnych limitów korzystania z modeli i do infrastruktury ofiary.
Średnie ceny kont związanych z AI na śledzonych przez Google forach przestępczych wzrosły w 2026 r. ponad dwukrotnie, z koncentracją popytu na kontach Claude i Gemini oraz narzędzi do autonomicznego kodowania. To najprostszy wskaźnik: dostęp do mocy obliczeniowej AI stał się towarem, który opłaca się kraść.
Modele AI i prompty jako łup
Po raz pierwszy Google tak wyraźnie stwierdza, że modele, kod źródłowy, polecenia (prompty) i dane badawcze same w sobie stały się celem szpiegostwa i wymuszeń. W II kw. 2026 r. Mandiant badał m.in. włamanie do firmy z sektora ochrony zdrowia, gdzie skradziono dane korporacyjne, wyniki badań nad lekami i zastrzeżony model — z groźbą ich upublicznienia — oraz atak na spółkę tworzącą narzędzia AI dla mediów, z której wyniesiono kod źródłowy, biblioteki poleceń, skrypty modeli i sekrety, użyte następnie jako dźwignia w wymuszeniu.
„Firmowe zasoby sztucznej inteligencji, od wag modeli po limity mocy obliczeniowej w chmurze, to cenne cele szpiegostwa, wymuszeń i kradzieży zasobów” — podsumowuje GTIG.
Raport odnotowuje też rosnącą skalę tzw. destylacji, czyli prób odtworzenia logiki cudzego modelu przez zasypywanie go zapytaniami. Google obserwuje skoordynowane kampanie liczące ponad 100 mln poleceń, których celem jest powielenie możliwości modeli Gemini.
Lista kontrolna: co zrobić w firmie
Dla polskich firm z raportu płyną dwa praktyczne wnioski. Narzędzia AI trzeba traktować jako nową drogę wejścia do organizacji, a modele, dane treningowe, prompty i klucze dostępowe - jako wartościowy cel kradzieży oraz wymuszeń.
Ochrona nie sprowadza się do zainstalowania kolejnego programu. Firmy powinny uporządkować pięć obszarów: dostęp do kont, bezpieczeństwo oprogramowania, infrastrukturę chmurową, własność intelektualną oraz przygotowanie pracowników.
1. Zacznij od kont i kluczy dostępowych
Klucz API zapisany w zwykłym pliku może pozwolić napastnikowi korzystać z firmowych usług AI — nawet jeśli konto użytkownika jest chronione dodatkowym składnikiem logowania.
• Sprawdź konfiguracje narzędzi takich jak Cursor, Cline, Continue i Copilot. Usuń klucze zapisane zwykłym tekstem i przenieś je do menedżera sekretów, np. Vault lub AWS Secrets Manager.
• Włącz uwierzytelnianie wieloskładnikowe (MFA), ale pamiętaj, że nie ochroni ono działającego klucza API. Dostępy maszynowe powinny być krótkotrwałe, ograniczone i możliwe do szybkiego unieważnienia.
• Ustaw alerty na gwałtowny wzrost zużycia usług, połączenia z nieznanych adresów IP, tworzenie kont serwisowych i eksport kluczy.
2. Sprawdź łańcuch dostaw oprogramowania
Zagrożenie może kryć się w pozornie wiarygodnym pakiecie, aktualizacji lub konfiguracji narzędzia.
• Sprawdzaj pochodzenie i integralność pakietów z PyPI, npm i Docker Hub, zanim trafią do środowiska produkcyjnego.
• Weryfikuj podpisy kryptograficzne i poświadczenia SLSA, ale nie traktuj ich jak gwarancji. DUSTMAKER publikował złośliwe pakiety z prawidłowym poświadczeniem SLSA Build Level 3, uzyskanym dzięki tokenom wykradzionym z procesów CI/CD.
• Monitoruj katalogi .claude, .vscode i .cursor. Szukaj nieznanych plików, zmian konfiguracji oraz poleceń kierowanych do asystenta AI — mogą one służyć do wstrzykiwania instrukcji.
• Serwery MCP, łączące asystentów AI z zewnętrznymi narzędziami i danymi, traktuj jak oprogramowanie zewnętrzne wymagające kontroli kodu, dostawcy i uprawnień.
3. Kontroluj infrastrukturę chmurową
Przejęte konto lub token mogą posłużyć zarówno do kradzieży danych, jak i uruchomienia kosztownych obliczeń na rachunek firmy.
• Przeprowadź audyt uprawnień IAM. W ataku opisanym w raporcie napastnik utworzył konto serwisowe z uprawnieniami edytora i wyeksportował jego klucze.
• Ustaw limity zasobów oraz alerty na próby ich zwiększenia. Napastnicy starali się uzyskać dodatkowe procesory graficzne i rdzenie CPU do własnych obliczeń AI.
• Ogranicz uprawnienia tokenów GitHub PAT i mechanizmów logowania OIDC. Blokuj też nieautoryzowane usługi wystawione publicznie i regularnie sprawdzaj reguły zapory sieciowej.
4. Chroń modele i prompty jak tajemnicę przedsiębiorstwa
Własnością intelektualną firmy może być nie tylko gotowy model, lecz także zestaw danych, biblioteka promptów i sposób wykorzystania AI.
- Obejmij te zasoby kontrolą dostępu, rejestrowaniem operacji i zabezpieczeniami umownymi.
- sprawdzaj automatyzacje w GitHub Actions. DUSTMAKER tworzył złośliwe zadania CI/CD pod nazwami przypominającymi znane narzędzia, np. „Copilot Setup”.
- zastosuj systemy DLP, zapobiegające wyciekom modeli, promptów i danych treningowych.
5. Przygotuj pracowników na nowe metody ataku
Techniczne zabezpieczenia nie wystarczą, jeśli pracownicy nie wiedzą, że złośliwe instrukcje mogą być ukryte nawet w komentarzu w kodzie.
- ucz programistów rozpoznawania podejrzanych poleceń w konfiguracjach, dokumentacji i kodzie.
- weryfikuj tożsamość rekruterów oraz kandydatów do projektów IT. Grupy północnokoreańskie tworzą fałszywe profile jednych i drugich.
- przygotuj procedurę reagowania na LLMJacking, czyli przejęcie kont lub zasobów chmurowych w celu prowadzenia cudzych obliczeń AI.
Najczęściej zadawane pytania
Czym jest LLMJacking i po czym go poznać?
To przejęcie dostępu do firmowej infrastruktury chmurowej po to, by uruchamiać w niej kosztowne obliczenia AI na rachunek ofiary. Sygnały ostrzegawcze: nagły, niewyjaśniony wzrost rachunków za chmurę, nieznane instancje z procesorami graficznymi, nowe konta serwisowe lub reguły zapory, wnioski o podniesienie limitów zasobów.
Czy mój asystent AI może zostać użyty przeciwko mnie?
Tak — i jest to udokumentowane. Napastnicy wstrzykiwali instrukcje do plików konfiguracyjnych oraz podmieniali skrypty uruchamiane automatycznie przez asystenta, instalując tylne drzwi w chwili, gdy programista sięgał po narzędzie. Minimum to regularny przegląd tych plików i zasada ograniczonego zaufania wobec katalogów narzędzi AI.
Czy ataki z użyciem AI to już standard?
Według GTIG to trend stały i rosnący, stosowany przez grupy państwowe i cyberprzestępcze na wszystkich etapach ataku. Raport opisuje operacje obserwowane na bieżąco, nie scenariusze przyszłościowe. Jednocześnie GTIG zastrzega, że w pełni autonomiczne ataki, w których AI samodzielnie wykrywa i eksploituje podatności bez udziału człowieka, nie stały się jeszcze standardem. Dotychczasowa zmiana polega głównie na skróceniu czasu i zmniejszeniu zasobów ludzkich potrzebnych do przeprowadzenia znanych technik.
Jak chronić klucze dostępowe?
Nie przechowywać ich w plikach konfiguracyjnych narzędzi deweloperskich. Klucze powinny trafiać wyłącznie do dedykowanego menedżera sekretów, być cyklicznie wymieniane i objęte monitoringiem. Warto ustawić alert na pierwsze użycie nowego klucza z nieznanego adresu lub regionu, to sygnał do weryfikacji, a przy podejrzeniu wycieku, do natychmiastowego unieważnienia.
Źródło: Google Threat Intelligence Group, „GTIG AI Threat Tracker: From Prompting to Autonomy — The Evolution of Adversarial AI”, wrzesień 2026 r.
[1]Wiadomości phishingowe to fałszywe e-maile, SMS-y lub komunikaty, które podszywają się pod zaufaną osobę albo instytucję. Ich celem jest nakłonienie odbiorcy do ujawnienia danych, kliknięcia niebezpiecznego linku, otwarcia zainfekowanego załącznika lub wykonania przelewu.
prawnik, autor licznych publikacji z prawa podatkowego