Skip to content
Хакер успеал со помош на вештачка интелигенција да автоматизира кампања против десетици компании, при што биле украдени повеќе од 600.000 податоци од кредитни картички. Истражувачите предупредуваат дека случајот покажува колку евтини и брзи стануваат нападите во кои најголемиот дел од работата ја преземаат AI агенти.
Напаѓачот, кој според пронајдените инструкции комуницирал на кинески јазик, користел комбинација од DeepSeek, Kimi и постара верзија на Claude, како и автономни алатки кои самостојно барале ранливости, се обидувале да влезат во системите и продолжувале со нападот со минимални дополнителни инструкции од човек.
Само меѓу 10 и 15 септември биле стартувани 105 проекти за напад. Gambit Security, компанијата која ја открила инфраструктурата на напаѓачот, утврдила дека најмалку 27 компании биле компромитирани во различен степен. Forbes наведува дека пристап бил забележан до најмалку 30 веб-страници, додека вкупниот број таргетирани организации бил околу 100. Кампањата, според истражувачите, започнала уште во јули и сè уште била активна во моментот на објавување на анализата.
Меѓу погодените или таргетираните компании имало голема американска авиокомпанија, хотелска група со милијарди долари приходи, индустриски компании и бројни онлајн продавници.
AI барал дупки, влегувал во системите и ги бришел трагите
Напаѓачот користел три главни автономни системи. Strix пребарувал веб-страници и сервери за безбедносни пропусти, Cairn се обидувал самостојно да ги искористи пронајдените слабости и да добие администраторски пристап, додека Hermes ја координирал целата операција.
Човекот често давал само кратки инструкции, а AI продолжувал самостојно со часови. Во еден документиран напад системот успеал да поврзе повеќе различни безбедносни пропусти, да ја заобиколи двофакторската автентикација, да стигне до администраторски пристап и потоа до базата со платежни податоци.
Откако ќе влезеле во некоја онлајн продавница, агентите добивале задача да постават таканаречен skimmer. Тоа е малициозен код кој ги пресретнува податоците од платежната картичка додека купувачот ги внесува при плаќање.
Истражувачите пронашле повеќе од 600.000 активни записи од платежни картички украдени од две компании. Околу 488.000 од нив биле американски картички. Независната компанија Overwatch Data ги анализирала податоците и со висок степен на сигурност оценила дека станува збор за вистински и единствени записи.
Истражувањето открило и поопасна страна на автономните напади. Во инструкциите имало наредби AI системите по кражбата да ги избришат податоците и трагите. Кај еден трговец автоматизираната постапка за „чистење“ погрешно избришала 180 табели од базата, вклучително и резервни податоци на компанијата.
Напади за неколку десетици долари
Особено загрижува цената на целата операција. Според податоците пронајдени од Gambit, просечната цена на еден завршен AI скен била околу 25 долари, а поединечните таргети чинеле од неколку до неколку десетици долари.
За четири недели на една од сметките биле потрошени околу 7.000 долари, додека Gambit проценува дека вкупниот трошок на подолгата кампања можел да достигне меѓу 12.000 и 18.000 долари.
Токму тоа е позначајниот дел од случајот. За напад кој порано би барал тим луѓе, многу време и високо техничко знаење, еден оператор сега може паралелно да испрати автономни системи кон десетици компании.
Anthropic потврдил дека ја идентификувал и блокирал сметката преку која била злоупотребувана постарата верзија на Claude. Истражувачите забележале дека обидите со поновите верзии на моделот биле блокирани од безбедносните механизми. DeepSeek и Moonshot, компанијата зад Kimi, не одговориле на барањата за коментар до објавувањето на првичната анализа.
Gambit нагласува дека истрагата сè уште трае и дека реалниот број погодени компании би можел да биде поголем од досега потврдениот.
