Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Wykorzystanie agentów AI w operacjach ofensywnych otwiera nowy rozdział w rozwoju zagrożeń cybernetycznych. W opisanym incydencie autonomiczny agent został użyty do wsparcia działań szpiegowskich wymierzonych w tajskie Ministerstwo Finansów, co pokazuje, że narzędzia oparte na modelach językowych coraz częściej wykraczają poza rolę pomocniczą i stają się elementem praktycznych operacji po uzyskaniu dostępu do środowiska ofiary.
Najistotniejszą cechą tej kampanii była wysoka autonomia narzędzia. Oznacza to, że część zadań związanych z rekonesansem, enumeracją zasobów i działaniami posteksploatacyjnymi mogła być realizowana szybciej i przy mniejszym zaangażowaniu operatora.
W skrócie
Badacze wykryli kampanię cyberwywiadowczą wymierzoną w tajskie Ministerstwo Finansów, w której wykorzystano otwartoźródłowego agenta AI Hermes. Infrastruktura napastnika zawierała otwarte katalogi z exploitami, web shellami, tunelami HTTP oraz skryptami wspierającymi działania po kompromitacji systemów.
- Agent AI miał wspierać enumerację hostów i usług.
- Wykryto narzędzia do eskalacji uprawnień dla systemów Linux i Windows.
- Analiza wskazała zainteresowanie dokumentami i danymi kadrowymi.
- Nie potwierdzono eksfiltracji danych, ale charakter działań sugeruje operację szpiegowską.
Kontekst / historia
Incydent został opisany pod koniec lipca 2026 roku, po ujawnieniu śladów aktywności zarejestrowanych między 9 a 13 lipca 2026 roku. Badacze zidentyfikowali trzy otwarte katalogi hostowane w Hongkongu, zawierające elementy infrastruktury ataku. Z ich zawartości wynikało, że operacja była aktywna, a napastnik stopniowo rozwijał dostęp do środowiska ofiary.
Publikacja informacji o incydencie miała zostać czasowo wstrzymana po zgłoszeniu sprawy do właściwych tajskich instytucji odpowiedzialnych za reagowanie na incydenty. Sam przypadek wpisuje się w szerszy trend rosnącego wykorzystania dużych modeli językowych i agentów autonomicznych do przyspieszania etapów rozpoznania, automatyzacji komend oraz obsługi działań na skompromitowanej infrastrukturze.
Analiza techniczna
Kluczowym elementem technicznym kampanii było użycie narzędzia Hermes w trybie „YOLO”, czyli konfiguracji pozwalającej agentowi wykonywać operacje bez każdorazowego zatwierdzania przez człowieka. Taki model działania może znacząco skrócić czas potrzebny na przeprowadzenie rozpoznania i realizację kolejnych etapów po uzyskaniu dostępu.
Badacze nie ustalili jednoznacznie wektora dostępu początkowego, jednak analiza znalezionej infrastruktury wskazuje, że operacja była już na zaawansowanym etapie. W otwartych katalogach odnaleziono szereg narzędzi i artefaktów używanych przez operatora.
- kod exploitów dla wielu podatności,
- web shelle,
- tunele suo5 HTTP,
- niestandardowe skrypty posteksploatacyjne,
- narzędzia do eskalacji uprawnień dla Linux i Windows.
Szczególną uwagę zwróciły skrypty ukierunkowane na środowisko Hadoop wykorzystywane w resorcie finansów. W analizie wskazano użycie klienta HiveServer2 z twardo zakodowanymi poświadczeniami oraz złośliwej funkcji UDF, która umożliwiała wykonywanie poleceń i zwracanie wyników przez WebHDFS. Taki scenariusz sugeruje próbę wykorzystania komponentów analitycznych i big data jako punktu wejścia do dalszej penetracji lub do wykonywania poleceń w kontekście usług aplikacyjnych.
W infrastrukturze zidentyfikowano również niestandardowy implant „Hades”, napisany w języku Go dla systemów Windows i Linux. Z opisu jego możliwości wynika, że zapewniał szeroki zestaw funkcji typowych dla nowoczesnych narzędzi posteksploatacyjnych.
- interaktywną zdalną powłokę,
- mechanizmy utrzymania persystencji,
- wykonywanie kodu w pamięci,
- transfer plików,
- proxy SOCKS do przekazywania ruchu sieciowego.
Sam agent Hermes miał wspierać operatora w enumeracji hostów, odkrywaniu plików i usług, rozpoznaniu sieci oraz eskalacji uprawnień. Dodatkowo wykorzystywano narzędzie LinPEAS do identyfikacji możliwości ruchu bocznego i dalszego podnoszenia uprawnień w systemach Linux. Analiza logów sugerowała również, że agent otrzymywał polecenia przeglądania katalogów zawierających dokumenty PDF, DOC, XLS oraz rekordy kadrowe związane z biurem stałego sekretarza ministerstwa.
Konsekwencje / ryzyko
Choć badacze nie potwierdzili skutecznej eksfiltracji danych, zakres aktywności wskazuje na istotne ryzyko dla poufności i integralności zasobów państwowych. Napastnik dysponował narzędziami pozwalającymi nie tylko na wykonywanie poleceń zdalnych, ale również na utrzymywanie trwałego dostępu i ukrywanie dalszej aktywności w sieci.
- zdalne wykonywanie poleceń,
- utrzymywanie persystencji,
- rozpoznanie środowiska wewnętrznego,
- wykorzystanie tuneli i proxy do maskowania ruchu,
- potencjalny dostęp do danych administracyjnych i kadrowych.
W praktyce oznacza to możliwość długotrwałej infiltracji środowiska nawet bez potwierdzonego wycieku. Dodatkowym zagrożeniem jest sama automatyzacja działań przez agenta AI, która może zwiększać tempo operacji, obniżać próg wejścia dla mniej doświadczonych operatorów i ułatwiać prowadzenie wielu działań rozpoznawczych równocześnie.
Ciekawym aspektem incydentu była też słaba higiena operacyjna po stronie napastników. Otwarte katalogi udostępniły badaczom kod, skrypty i szczegóły przebiegu operacji, co pokazuje, że automatyzacja nie zawsze wzmacnia bezpieczeństwo atakującego i może pozostawiać więcej artefaktów ułatwiających detekcję.
Rekomendacje
Organizacje publiczne i prywatne powinny potraktować ten incydent jako wyraźny sygnał ostrzegawczy dotyczący ofensywnej automatyzacji wspieranej przez AI. W praktyce warto wdrożyć lub zweryfikować następujące działania:
- sprawdzić konfigurację HiveServer2, zwłaszcza sposób uwierzytelniania i akceptację poświadczeń przekazywanych przez SASL PLAIN,
- ograniczyć lub ściśle kontrolować użycie UDF w środowiskach Hadoop oraz regularnie audytować komponenty WebHDFS,
- przeprowadzić rekursywne skanowanie katalogów aplikacyjnych pod kątem nieautoryzowanych plików PHP, web shelli i niestandardowych skryptów,
- zaktualizować systemy Linux i Windows, szczególnie w obszarze sudo, polkit i lokalnych wektorów eskalacji uprawnień,
- monitorować ruch tunelowany, nietypowe połączenia proxy SOCKS oraz aktywność wskazującą na użycie narzędzi posteksploatacyjnych,
- rozszerzyć detekcję o wskaźniki związane z automatyzacją działań przez agentów AI, w tym powtarzalne sekwencje poleceń i masową enumerację zasobów,
- wdrożyć segmentację sieci i ograniczenia dostępu do systemów analitycznych, repozytoriów dokumentów oraz danych kadrowych,
- utrzymywać procedury szybkiego zgłaszania incydentów oraz regularnie ćwiczyć scenariusze związane z cyberwywiadem.
Podsumowanie
Atak wymierzony w tajskie Ministerstwo Finansów pokazuje, że agenci AI zaczynają odgrywać realną rolę w operacjach cyberwywiadowczych. W tym przypadku nie chodziło o w pełni autonomiczny atak od początku do końca, lecz o skuteczne wsparcie kluczowych etapów po kompromitacji środowiska.
Połączenie agenta Hermes, niestandardowego implantu, narzędzi do eskalacji uprawnień oraz skryptów ukierunkowanych na Hadoop wskazuje na rosnącą dojrzałość tego modelu działania. Dla obrońców oznacza to konieczność rozwijania detekcji nie tylko pod kątem klasycznych technik i procedur ataku, ale również automatyzacji opartej na modelach językowych i agentach wykonawczych.
Źródła
- Dark Reading: https://www.darkreading.com/cyberattacks-data-breaches/ai-agent-espionage-attack-thai-ministry-finance
- Hunt.io: https://hunt.io
- Hermes Agent: https://hermes-agent.org
- LinPEAS: https://github.com/carlospolop/PEASS-ng/tree/master/linPEAS