Wprowadzenie do problemu / definicja
Autonomiczne agenty oparte na dużych modelach językowych przestają być wyłącznie wsparciem dla analityków i programistów. Coraz częściej są zdolne do samodzielnego wykonywania kolejnych etapów operacji ofensywnych — od rozpoznania środowiska, przez wykorzystanie podatności, po ruch boczny i eksfiltrację danych. To jakościowa zmiana w krajobrazie zagrożeń, ponieważ skraca czas potrzebny do przeprowadzenia skutecznego ataku i ogranicza konieczność bieżącego sterowania przez człowieka.
W skrócie
Badacze opisali przypadek, w którym agent LLM zrealizował pełny łańcuch ataku po uzyskaniu dostępu do środowiska ofiary. Punktem wejścia było wykorzystanie podatności w notebooku marimo, co umożliwiło zdalne wykonanie kodu.
- Agent przejął dane z obciążenia, w tym poświadczenia AWS.
- Następnie przeprowadził rekonesans środowiska chmurowego.
- Odnaleziono klucz SSH przechowywany w AWS Secrets Manager.
- Klucz posłużył do dostępu do jump hosta.
- Finalnie agent dotarł do bazy PostgreSQL i wyprowadził dane.
- Cała operacja miała zająć mniej niż godzinę.
Kontekst / historia
Przez lata pojęcie „atak wspierany przez AI” odnosiło się głównie do generowania treści phishingowych, automatyzacji rekonesansu czy przyspieszania analizy podatności. Najnowsze obserwacje wskazują jednak, że rozwój agentów AI przesuwa granicę znacznie dalej — od prostego wsparcia operatora do częściowej autonomii w planowaniu i wykonywaniu działań po kompromitacji.
W klasycznym modelu to człowiek analizował wyniki poleceń, podejmował decyzje o eskalacji i ręcznie prowadził ruch boczny. W nowym podejściu agent działa iteracyjnie, wykorzystuje wyniki poprzednich kroków jako dane wejściowe do następnych i dynamicznie dostosowuje przebieg operacji do stanu środowiska. To szczególnie niebezpieczne w chmurze oraz środowiskach hybrydowych, gdzie mnogość usług, sekretów i mechanizmów dostępowych zwiększa powierzchnię ataku.
Analiza techniczna
Z technicznego punktu widzenia incydent pokazuje, jak szybko AI może przejść od pojedynczej podatności do pełnego naruszenia danych. Wykorzystanie luki w marimo zapewniło możliwość zdalnego wykonania kodu, ale kluczowe znaczenie miała późniejsza automatyzacja działań post-exploitation.
Po uzyskaniu wykonania kodu agent zebrał informacje z przejętego workloadu, w tym poświadczenia AWS. Następnie użył ich do rozpoznania usług i zasobów w środowisku chmurowym. Szczególnie istotne jest to, że potrafił łączyć dane z różnych źródeł i przekładać je na kolejne działania operacyjne. W opisanym scenariuszu doprowadziło to do wykrycia klucza SSH przechowywanego w AWS Secrets Manager.
Kolejna faza obejmowała użycie pozyskanego klucza do uzyskania dostępu do serwera pośredniczącego typu jump host. Był to klasyczny ruch boczny, lecz zrealizowany przez system zdolny do dynamicznego podejmowania decyzji. Po wejściu na host agent zidentyfikował osiągalną bazę PostgreSQL i przeprowadził eksfiltrację danych.
Badacze wskazali także oznaki sugerujące, że polecenia nie były odtwarzane z wcześniej przygotowanego skryptu, lecz generowane na bieżąco przez model językowy. Przemawiały za tym improwizacja wobec nieznanego wcześniej celu, widoczne ślady planowania, forma komend dostosowana do przetwarzania maszynowego oraz wykorzystywanie rezultatów jednych działań jako podstawy dla kolejnych etapów.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem takich incydentów jest drastyczne skrócenie czasu ataku. Czynności, które wcześniej wymagały wielu godzin pracy operatora, mogą zostać wykonane w kilkadziesiąt minut. To znacząco zmniejsza okno czasowe na wykrycie i reakcję po stronie zespołów SOC, IR oraz administratorów chmury.
Drugie ryzyko dotyczy obniżenia progu wejścia dla mniej zaawansowanych napastników. Jeśli agent potrafi sam planować i wykonywać złożone sekwencje działań, skuteczne operacje mogą stać się dostępne także dla grup o mniejszych kompetencjach technicznych. Nie musi to oznaczać pojawienia się nowych exploitów, ale z pewnością przyspiesza i skaluje wykorzystanie już znanych technik.
Szczególnie zagrożone pozostają środowiska, w których współwystępują podatne aplikacje chmurowe, nadmierne uprawnienia IAM, słaba segmentacja, niewłaściwe zarządzanie sekretami oraz ograniczona telemetria. W takim układzie nawet pojedyncze naruszenie może bardzo szybko przerodzić się w incydent obejmujący dane, tożsamości i krytyczne zasoby produkcyjne.
Rekomendacje
Organizacje powinny przyjąć założenie, że przeciwnik może działać z prędkością maszyny. Oznacza to konieczność skracania czasu detekcji i reakcji, a nie wyłącznie wzmacniania warstwy prewencyjnej.
- Przyspieszyć zarządzanie podatnościami i usuwać usługi narażone na zdalne wykonanie kodu, zwłaszcza w środowiskach developerskich, analitycznych i eksperymentalnych.
- Wdrożyć zasadę najmniejszych uprawnień, rotację kluczy, krótkotrwałe tokeny oraz ścisłą kontrolę dostępu do sekretów.
- Monitorować odczyty z menedżerów sekretów, nietypowe działania IAM, uruchamiane procesy na hostach oraz anomalie w ruchu do baz danych.
- Ograniczać ruch boczny poprzez segmentację sieci, izolację środowisk, kontrolę dostępu między workloadami i ochronę jump hostów.
- Regularnie ćwiczyć scenariusze reagowania na incydenty o bardzo wysokiej dynamice, w których pełny łańcuch ataku zamyka się w czasie krótszym niż godzina.
Podsumowanie
Opisany przypadek potwierdza, że autonomiczne agenty AI stają się realnym akceleratorem cyberataków. Największym zagrożeniem nie jest już sama automatyzacja pojedynczych zadań, lecz zdolność do połączenia rozpoznania, przejęcia poświadczeń, ruchu bocznego i eksfiltracji w jeden spójny, szybki proces. Dla obrońców oznacza to konieczność projektowania zabezpieczeń z myślą o przeciwniku, który działa szybciej, adaptuje się dynamicznie i skutecznie wykorzystuje istniejące słabości środowiska.
Źródła
- https://www.infosecurity-magazine.com/news/chatgpt55-to-execute-full/
- https://www.securitymagazine.com/articles/102325-ai-agent-conducted-a-cyberattack-on-its-own-it-took-less-than-one-hour
- https://www.infosecurity-magazine.com/news/threat-actor-agentic-ai-cloud/
- https://www.infosecurity-magazine.com/news/russian-threat-actor-genai/
- https://arxiv.org/abs/2605.06713