ARTEX miał pomagać ekspertom bezpieczeństwa, a trafił do cyberprzestępców. Agenci AI samodzielnie szukają luk i przejmują systemy.
Haker wyznacza cel, uruchamia sztuczną inteligencję i może zająć się czymś innym. Program sam szuka luk, próbuje przejmować serwery i wyciągać z nich dane. Badacze Check Pointa zajrzeli do paneli sterowania takim systemem. Zobaczyli m.in. operację, podczas której AI przejęła ponad 300 certyfikatów do podpisywania aplikacji na iPhone’y.
Narzędzie nazywa się ARTEX. Powstało do legalnych testów bezpieczeństwa, ale zaczęli wykorzystywać je cyberprzestępcy. Według raportu w internecie ujawniono ponad 1800 jego instancji, a 10 źle zabezpieczonych serwerów pozwoliło badaczom prześledzić całe kampanie. Niepokojące jest zwłaszcza to, jak kilka musieli robić sami przestępcy.
Hakerzy uruchomili AI i zostawili ją samą sobie
Przez blisko dwa tygodnie, od 14 do 29 października, dwa systemy ARTEX próbowały włamać się do 10 serwisów zajmujących się nieoficjalną dystrybucją aplikacji na iPhone’y. Ich operator nie siedział przez ten czas przed monitorem wydając szczegółowe polecenia. Z zapisów rozmów wynika, iż najczęściej pytał jedynie o postępy i o to, który cel jest najbliższy przejęcia.
Resztą zajmowała się sztuczna inteligencja. Agenci analizowali strony internetowe, szukali błędów w zabezpieczeniach, zdobywali dostęp do baz danych i sprawdzali, czy odnalezione certyfikaty można wykorzystać do podpisywania aplikacji iOS. W całej operacji przetworzono około 36 mld tokenów.
Jaki był tego efekt? Ponad 300 certyfikatów wraz z hasłami. Po sprawdzeniu ważności i pozostałych wymagań tylko 3 nadawały się do zakładanego zastosowania. Mimo to cyberprzestępca uzyskał dostęp do danych, których samodzielne pozyskanie wymagałoby znacznie większego nakładu pracy.
Według wyliczeń Check Pointa koszt wykorzystania modeli AI w tej operacji wyniósł od 700 do 1500 dol. Nie była to więc wielomilionowa kampania prowadzona przez rozbudowaną grupę hakerską. Całą pracę wykonały przede wszystkim agenci wykorzystujący modele DeepSeek i Kimi.
190 tys. danych do kont w grach. AI przeszukiwała serwery przez 5 dni
Inna ujawniona kampania była wymierzona w serwisy obsługujące handel kontami do chińskich gier mobilnych. Cyberprzestępca wskazał agentom 13 stron i polecił zdobyć przechowywane tam dane dostępowe.
Przez około 5 dni system analizował aplikacje oraz zaplecze techniczne tych witryn. Odkrył m.in., iż niektóre serwery przechowują wrażliwe dane w zwykłych plikach dostępnych przez internet. W jednym z nich znajdowało się 21,5 MB informacji umożliwiających przejmowanie kont.
Agenci zdobyli ponad 190 tys. zestawów danych związanych z grą Honor of Kings. Testy próbki wskazały, iż około 3,3 proc. przez cały czas umożliwiało dostęp do kont. Badacze oszacowali na tej podstawie, iż w całym zbiorze mogło znajdować się około 6000 aktywnych danych dostępowych.
Operator nie musiał prowadzić agentów przez kolejne etapy włamania. Wystarczyło początkowe polecenie, a program samodzielnie szukał informacji i sprawdzał ich użyteczność.
Na Spider’s Web opisywaliśmy już przypadek autonomicznych agentów AI, które wykonywały nieautoryzowane działania przeciwko platformie Hugging Face. W przypadku ARTEX nie mamy jednak do czynienia z nieoczekiwanym zachowaniem eksperymentalnego narzędzia. Tutaj cyberprzestępcy świadomie zlecali maszynom włamania.
Chcieli ukraść kryptowaluty. AI pracowała 4 dni i nie zarobiła nic
Najbardziej osobliwa z opisanych operacji dotyczyła kradzieży kryptowalut. Jej organizator wskazał agentom 292 cele związane z obsługą płatności i zlecił przejmowanie zgromadzonych tam środków. Gdy pierwsze próby nie przyniosły pieniędzy, pozwolił systemowi samodzielnie wyszukiwać kolejne potencjalne ofiary.
Przez 4 dni agenci wygenerowali ponad 400 tys. komunikatów i zgłosili 230 znalezisk dotyczących bezpieczeństwa. Odkrywali podatności, uzyskiwali dostęp do baz danych i analizowali mechanizmy płatności. W kilku przypadkach AI zapewniała choćby operatora, iż udało się skutecznie wypłacić kryptowaluty.
Tyle iż portfel przestępcy pozostawał pusty. Sprawdzenie historii transakcji wykazało 0 wpływów. Model błędnie interpretował odpowiedzi systemów jako potwierdzenie udanej kradzieży, choć pieniądze nigdzie nie zostały przesłane.
Podczas tej samej kampanii agenci odkryli jednak poważną lukę w innej usłudze. Pozwoliła im uzyskać możliwość modyfikowania plików wykorzystywanych do dystrybucji aplikacji iOS. System przeprowadził nieautoryzowaną zmianę i zweryfikował jej wykonanie. Właściciele infrastruktury później przywrócili pierwotne pliki, a badacze nie znaleźli dowodów na skuteczne wyprowadzenie pieniędzy.
Nieskuteczność finansowa nie oznaczała więc braku rzeczywistych włamań. AI potrafiła naruszyć bezpieczeństwo systemów, choć nie umiała doprowadzić do zakładanego rezultatu. Dla porównania niedawno opisywaliśmy kradzież kryptowalut z Binance, której początkiem była fałszywa rekrutacja programisty. Cyberprzestępcy przez cały czas korzystają z tradycyjnych metod oszustwa. ARTEX pozwala im jednak automatyzować techniczne etapy ataku.
Kiedy AI odmawiała, hakerzy po prostu zmieniali model
W przeanalizowanych instalacjach ARTEX dominowały chińskie modele językowe, szczególnie rodzina DeepSeek Flash. Ich wykorzystanie wiązało się z kosztami na tyle niskimi, iż choćby wielodniowe kampanie nie wymagały ogromnego budżetu.
W 3 z 10 zbadanych instancji skonfigurowano również modele amerykańskich dostawców. Badacze zaobserwowali uruchamianie mechanizmów ochronnych podczas korzystania z Claude Opus 5.5 firmy Anthropic. Gdy model blokował wykonywanie określonych poleceń, operator przełączał się na inne rozwiązanie.
ARTEX umożliwia przedstawianie działań jako autoryzowanych testów penetracyjnych. W takiej konfiguracji część wykorzystywanych modeli nie blokowała operacji, które w rzeczywistości były prowadzone przeciwko cudzym systemom bez zgody ich właścicieli.
Równocześnie sztuczna inteligencja staje się bardzo skuteczna w legalnym wykrywaniu podatności. Dosłownie kilka dni temu opisywaliśmy eksperyment OpenAI, podczas którego autonomiczny system znalazł 948 unikalnych luk w jądrze Linuksa. W tamtym przypadku odkrycia służyły przygotowywaniu poprawek. ARTEX wykorzystuje podobną zdolność wyszukiwania błędów do realizowania zadań wyznaczonych przez napastników.
Haker nie musi być ekspertem. Wystarczy, iż ustawi cel
Raport Check Pointa ujawnia, iż największą przewagą ARTEX nie jest odkrywanie nieznanych wcześniej, wyjątkowo skomplikowanych podatności. Agenci często wykorzystywali błędy znane od lat: słabe hasła, brak kontroli dostępu, niewłaściwie zabezpieczone interfejsy i dane pozostawione w publicznie dostępnych plikach.
Przykładem zagrożenia wynikającego z pojedynczego błędu jest niedawno opisana luka w OpenSSH, pozwalająca w określonych konfiguracjach obejść zablokowane logowanie hasłem. Gdy takie problemy pozostają niewykryte, automatyczne narzędzia mogą sprawdzać ogromną liczbę potencjalnych celów bez nieustannego udziału człowieka.
W opublikowanym 5 listopada raporcie pojawia się jeszcze jeden istotny szczegół. Okazuje się, iż spośród działających, publicznie dostępnych serwerów ARTEX 882 znajdowały się w amerykańskich centrach danych, 295 w Hongkongu, a 103 w Chinach. Lokalizacja hostingu nie pozwala jednak ustalić narodowości operatorów ani miejsca, z którego prowadzono ataki.
Według australijskiego wywiadu sztuczna inteligencja już teraz przyspiesza przygotowywanie cyberataków i analizowanie danych ofiar. Check Point pokazał, jak wygląda to od strony samych sprawców: zamiast manualnie sprawdzać kolejne systemy, ustawiają zadanie i czekają na raport.
Dla firm oznacza to konieczność znacznie szybszego wykrywania i usuwania podatności. Co ciekawe, polska energetyka tworzy właśnie własny zespół CSIRT, który ma usprawnić reagowanie na podobne zagrożenia. Automatyczne skanowanie systemów, kontrola uprawnień i szybkie aktualizacje będą miały coraz większe znaczenie, gdy po drugiej stronie sieci działa program zdolny do testowania zabezpieczeń przez całą dobę.
Powiedzmy to wyraźnie – ARTEX nie jest sztuczną inteligencją, która postanowiła zbuntować się przeciwko ludziom. To człowiek przez cały czas wybiera ofiarę i cel ataku, ale coraz rzadziej musi wiedzieć, jak samodzielnie przeprowadzić włamanie. Wystarczy uruchomić odpowiednie narzędzie i pozwolić mu pracować.
*Źródło zdjęcia wprowadzającego: Wavebreakmedia, Getty Images, Canva Pro
