Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Rosnąca dostępność dużych modeli językowych sprawia, że sztuczna inteligencja coraz częściej wychodzi poza rolę narzędzia wspierającego analityków bezpieczeństwa i staje się elementem aktywnych operacji ofensywnych. Opisany przypadek pokazuje, że model AI może uczestniczyć nie tylko w analizie podatności czy generowaniu kodu, ale także w półautonomicznym rekonesansie, doborze celów oraz inicjowaniu prób eksploatacji.
To jakościowa zmiana w krajobrazie zagrożeń. Gdy AI zostaje połączona z narzędziami wykonawczymi, może znacząco skrócić czas między ujawnieniem podatności a rozpoczęciem działań wymierzonych w rzeczywiste, internetowe cele.
W skrócie
Badacze opisali kampanię prowadzoną przez chińskojęzycznego aktora zagrożeń, który miał zintegrować model DeepSeek z frameworkiem Hermes Agent w celu automatyzacji działań ofensywnych. Z ujawnionych artefaktów wynika, że środowisko było wykorzystywane do skanowania zasobów internetowych, analizowania publicznych exploitów, oceny opłacalności ataku i wyboru kolejnych kroków bez konieczności ciągłego nadzoru operatora.
Choć AI nie osiągała pełnej skuteczności we wszystkich scenariuszach autonomicznych, znacząco przyspieszała selekcję celów i zawężanie przestrzeni ataku. Równolegle operator miał prowadzić także skuteczne działania manualne przeciw wybranym systemom.
Kontekst / historia
Do tej pory wykorzystanie modeli językowych w cyberprzestępczości było najczęściej kojarzone z phishingiem, przygotowywaniem treści socjotechnicznych, pisaniem skryptów czy analizą dokumentacji technicznej. W tym przypadku granica została przesunięta dalej, ponieważ model został osadzony w narzędziu orkiestrującym, które zapewniało dostęp do terminala, mechanizmów wyszukiwania celów oraz komponentów wspierających eksploatację.
Według ujawnionych informacji badacze uzyskali wgląd w operację wskutek błędu po stronie atakującego. Serwer plików uruchomiony w niewłaściwym katalogu miał odsłonić elementy środowiska roboczego, w tym listy celów, logi sesji, historię poleceń, skrypty exploitów oraz klucze API. Dzięki temu możliwe było odtworzenie sposobu działania operatora i określenie roli, jaką pełnił model AI.
Istotne jest również to, że DeepSeek nie był jedynym testowanym modelem. Ślady wskazywały na eksperymenty z innymi modelami językowymi, co sugeruje praktyczne porównywanie skuteczności, kosztów i ograniczeń różnych platform pod kątem zastosowań ofensywnych.
Analiza techniczna
Kluczowym elementem operacji był framework Hermes Agent, działający jako warstwa wykonawcza i orkiestracyjna. DeepSeek pełnił rolę silnika decyzyjnego odpowiedzialnego za analizę podatności, rozumowanie, generowanie kodu i wybór kolejnych działań. Z perspektywy obrony ma to duże znaczenie, ponieważ sam model językowy nie musi posiadać natywnych funkcji atakujących, jeśli zostanie połączony z zestawem narzędzi zapewniających mu dostęp do systemu, sieci i zewnętrznych źródeł danych.
Z ujawnionych materiałów wynika, że operator rozbudował środowisko o funkcje ofensywne obejmujące enumerację zasobów internetowych, obchodzenie ograniczeń modelu oraz wykorzystanie niezabezpieczonych interfejsów WebSocket. Taki zestaw oznacza, że AI nie była ograniczona do ręcznie dostarczonych danych wejściowych, lecz mogła samodzielnie rozszerzać rekonesans i podejmować decyzje na podstawie wyników skanowania.
Szczególnie interesujący był autonomiczny łańcuch decyzyjny. Model miał zidentyfikować podatność w Langflow, pobrać publiczny proof-of-concept i rozpocząć poszukiwanie dostępnych instancji. Gdy napotkał ograniczenia związane z konfiguracją celów, miał porzucić ten wektor i przejść do n8n, uznając go za bardziej perspektywiczny ze względu na większą powierzchnię ataku i dostępność materiałów eksploatacyjnych. To pokazuje nie tylko wykonanie poleceń, ale także priorytetyzację działań i zmianę planu w odpowiedzi na warunki operacyjne.
W kolejnej fazie system miał łączyć informacje o różnych podatnościach, określać zakres wersji narażonych na atak i próbować automatycznie filtrować cele. Nie wszystkie próby kończyły się skuteczną kompromitacją, jednak AI miała przeanalizować dużą liczbę adresów IP, zawęzić zbiór do najbardziej obiecujących hostów i szybciej wykrywać podatne instancje niż pojedynczy operator działający ręcznie.
Badacze wskazali też, że równolegle do działań autonomicznych aktor prowadził klasyczne operacje manualne. Miały one obejmować eksfiltrację danych z wybranych celów wykorzystujących podatność w Citrix NetScaler, wykonanie poleceń na endpointach Marimo notebook, a także próby uzyskania reverse shell na serwerach Apache Tomcat i systemach Windows IKE VPN. Sugeruje to model mieszany, w którym AI odpowiada za szybkie wyszukiwanie, testowanie i selekcję, a najbardziej wrażliwe etapy są nadal realizowane ręcznie.
Konsekwencje / ryzyko
Najważniejszą konsekwencją tej sprawy nie jest pojedyncza podatność ani nawet konkretna kampania, lecz potwierdzenie, że modele AI już dziś mogą realnie zwiększać tempo i skalę działań ofensywnych. Organizacje nie powinny zakładać, że brak pełnej autonomii po stronie atakującego oznacza niski poziom ryzyka. Nawet częściowo autonomiczny system może znacząco skrócić czas od publikacji exploitu do rozpoczęcia masowego skanowania internetu.
Najbardziej narażone pozostają środowiska o dużej ekspozycji zewnętrznej, opóźnionym procesie łatania i ograniczonej telemetrii. Szczególne ryzyko dotyczy systemów wystawionych bezpośrednio do internetu, usług z domyślną lub słabą konfiguracją uwierzytelniania oraz aplikacji workflow wdrażanych poza ścisłym nadzorem zespołów bezpieczeństwa.
- systemy internet-facing z szeroką powierzchnią ataku,
- usługi z niewłaściwie skonfigurowanym uwierzytelnianiem,
- środowiska z opóźnionym zarządzaniem poprawkami,
- platformy automatyzacyjne i narzędzia workflow,
- infrastruktura bez pełnej widoczności nietypowych sekwencji rekonesansu i prób eksploatacji.
Ten model zagrożenia sprzyja również atakom oportunistycznym. Jeżeli AI potrafi sama ocenić, że dany wektor jest nieefektywny i szybko przestawić się na inny, obrońcy muszą liczyć się z dynamicznie zmieniającą się presją na wiele klas podatności jednocześnie.
Rekomendacje
Organizacje powinny potraktować ten incydent jako sygnał do zaostrzenia praktyk związanych z redukcją powierzchni ataku i skróceniem czasu reakcji na nowe podatności. W erze ataków wspieranych przez AI podstawowe kontrole bezpieczeństwa zyskują jeszcze większe znaczenie.
- Ograniczyć ekspozycję usług do internetu wyłącznie do systemów niezbędnych biznesowo.
- Ukryć interfejsy administracyjne, panele workflow, notebooki analityczne i usługi developerskie za VPN, ZTNA lub segmentacją sieciową.
- Wymuszać silne uwierzytelnianie i eliminować konfiguracje domyślne.
- Skrócić cykl zarządzania podatnościami dla systemów internet-facing, zwłaszcza platform automatyzacyjnych i urządzeń brzegowych.
- Rozwijać detekcję behawioralną pod kątem zautomatyzowanego rekonesansu i szybkiego testowania wielu wektorów ataku.
- Aktualizować playbooki SOC i modele CTI o scenariusze AI-assisted intrusion.
Warto podkreślić, że w opisywanym przypadku część prób została zatrzymana nie przez zaawansowane rozwiązania bezpieczeństwa, ale przez poprawnie wdrożone podstawowe mechanizmy kontroli dostępu. To pokazuje, że właściwa konfiguracja nadal skutecznie podnosi koszt ataku.
Podsumowanie
Opisany przypadek pokazuje, że sztuczna inteligencja w cyberatakach przestaje być jedynie dodatkiem, a staje się akceleratorem całego procesu ofensywnego. DeepSeek wykorzystany z frameworkiem wykonawczym miał samodzielnie wyszukiwać cele, analizować podatności, oceniać exploity i podejmować decyzje o zmianie kierunku ataku.
Nawet jeśli nie każda próba zakończyła się skuteczną kompromitacją, sama zdolność do prowadzenia szerokiego rekonesansu i szybkiej selekcji podatnych systemów stanowi istotne zagrożenie dla organizacji utrzymujących usługi wystawione do internetu. Dla obrońców wniosek jest prosty: ograniczanie ekspozycji, silne uwierzytelnianie, szybkie łatanie i dobra widoczność telemetryczna pozostają kluczowe, ale w realiach ataków wspieranych przez AI muszą działać szybciej i bardziej konsekwentnie niż dotąd.
Źródła
- https://securityaffairs.com/196544/ai/ai-runs-the-hack-chinese-actor-automates-cyberattacks-with-deepseek.html
- https://unit42.paloaltonetworks.com/ai-cybercrime-attack-deepseek/
- https://www.deepseek.com/
- https://en.fofa.info/
- https://unit42.paloaltonetworks.com/