Wprowadzenie do problemu
Rosnąca popularność usług opartych na sztucznej inteligencji sprawia, że stają się one coraz cenniejszym celem dla cyberprzestępców. Najnowsze obserwacje pokazują, że przejęcie kont AI nie musi opierać się wyłącznie na kradzieży loginu i hasła. Coraz większe znaczenie mają tokeny sesyjne, JWT, JWE oraz klucze API wykradane przez malware typu infostealer.
Jeżeli takie artefakty uwierzytelniające pozostają ważne po kradzieży, mogą zostać ponownie wykorzystane przez atakującego do uzyskania dostępu do konta. W praktyce oznacza to możliwość obejścia klasycznych mechanizmów MFA, ponieważ przestępca nie loguje się od zera, lecz przejmuje już uwierzytelnioną sesję.
W skrócie
Badacze analizujący publicznie ujawnione logi infostealera zidentyfikowali tysiące aktywnych artefaktów uwierzytelniających powiązanych z usługami AI. Wśród nich znalazły się tokeny sesyjne i klucze API, które mogły umożliwić przejęcie dostępu do kont użytkowników oraz nadużycia zasobów obliczeniowych.
- wykryto tokeny JWT i JWE związane z usługami AI,
- część przejętych artefaktów pozostawała aktywna w momencie analizy,
- problem dotyczy zarówno dostępu do danych, jak i ryzyka finansowego,
- skuteczne użycie skradzionego tokenu może ominąć logowanie hasłem i MFA.
Kontekst i historia zagrożenia
Infostealery od lat należą do podstawowych narzędzi używanych przez cyberprzestępców. Ich zadaniem jest wykradanie danych zapisanych w przeglądarkach, systemach operacyjnych i aplikacjach użytkownika, w tym haseł, cookies, tokenów sesyjnych, zawartości pamięci przeglądarki oraz kluczy API.
W ostatnim czasie szczególnej wartości nabrały dane związane z platformami AI. Powód jest prosty: dostęp do modeli językowych, narzędzi deweloperskich wspieranych przez AI oraz kosztownych zasobów obliczeniowych ma bezpośrednią wartość finansową i operacyjną. Przejęte konta mogą być wykorzystywane do generowania kosztów, eksfiltracji danych, automatyzacji działań przestępczych lub dalszej odsprzedaży dostępu.
Analiza techniczna
Sednem problemu są replayable tokens, czyli tokeny, które można ponownie wykorzystać poza pierwotnym kontekstem sesji. Jeżeli aplikacja akceptuje ważny token bez dodatkowego powiązania z urządzeniem, adresem IP, kanałem kryptograficznym lub innym atrybutem kontekstowym, taki sekret może działać jak uniwersalny klucz do konta.
W analizowanym przypadku badacze wyodrębnili dane z publicznego zrzutu o rozmiarze około 7 GB, pochodzącego z 5871 zainfekowanych maszyn w 162 krajach. Wśród 44 791 unikalnych tokenów JWT wskazano 555 tokenów prawdopodobnie związanych z uwierzytelnianiem do usług AI. Dodatkowo wykryto 2937 struktur JWE reprezentujących zaszyfrowane tokeny JWT.
Zaszyfrowana forma JWE utrudnia odczytanie zawartości, ale nie eliminuje ryzyka ponownego użycia. Jeżeli token nadal pozostaje ważny i jest akceptowany przez aplikację, atakujący może użyć go bez konieczności poznania hasła ofiary.
Szczególnie niepokojące jest to, że w chwili publikacji badanego zbioru nadal aktywnych było 1843 niewygasłych tokenów JWT i JWE. Oznacza to realne okno czasowe, w którym cyberprzestępcy mogli przejmować konta bez klasycznego procesu logowania. Dodatkowo część tokenów zawierała dane osobowe zapisane jawnym tekstem, takie jak imię, numer telefonu czy adres e-mail, co zwiększa ich wartość w kampaniach phishingowych i socjotechnicznych.
Analiza objęła również klucze API. W zbiorze odnaleziono 24 nadal ważne klucze dla usług związanych z AI. Takie poświadczenia mogą zostać wykorzystane do nieautoryzowanego wywoływania modeli, generowania kosztów po stronie ofiary oraz budowy trwałego dostępu do zasobów organizacji. Zjawisko to wpisuje się w trend określany jako LLMjacking.
Ataki tego typu są dodatkowo wspierane przez anti-detect browsere i frameworki automatyzujące pracę ze skradzionymi danymi sesyjnymi. Tego rodzaju narzędzia potrafią ładować przejęte cookies, tokeny i dane przeglądarki, a następnie odtwarzać środowisko ofiary przy użyciu proxy oraz manipulacji fingerprintem, co utrudnia wykrywanie anomalii.
Konsekwencje i ryzyko
Ryzyko dla użytkowników indywidualnych i organizacji ma charakter wielowymiarowy. W pierwszej kolejności przejęcie konta AI może oznaczać dostęp do historii rozmów, wgrywanych plików, promptów, danych projektowych oraz informacji objętych tajemnicą przedsiębiorstwa.
W środowiskach deweloperskich wspieranych przez AI konsekwencje mogą być jeszcze poważniejsze. Ujawnieniu mogą ulec fragmenty kodu źródłowego, sekrety aplikacyjne, dane klientów czy szczegóły architektury systemów. W przypadku aktywnych kluczy API dochodzi również bezpośrednie ryzyko finansowe związane z nieautoryzowanym wykorzystaniem modeli i infrastruktury.
Obecność danych osobowych w tokenach i logach zwiększa ponadto skuteczność późniejszych ataków socjotechnicznych. Przestępcy mogą łączyć informacje o użytkowniku z używaną usługą AI, co ułatwia przygotowanie wiarygodnych wiadomości phishingowych, fałszywych zgłoszeń do wsparcia technicznego lub prób resetu konta.
Warto podkreślić, że klasyczne MFA nie rozwiązuje tego problemu w pełni. Jeżeli atakujący odtwarza już uwierzytelnioną sesję zamiast przechodzić standardowy proces logowania, druga składowa może zostać całkowicie pominięta. To wymusza zmianę podejścia z ochrony samych poświadczeń na ochronę całego cyklu życia sesji.
Rekomendacje
Organizacje powinny traktować tokeny sesyjne i klucze API jak poświadczenia uprzywilejowane. Oznacza to konieczność ich ścisłego monitorowania, rotacji i ograniczania zakresu uprawnień.
- stosować krótkie czasy życia tokenów i częstą reautoryzację operacji wysokiego ryzyka,
- wiązać sesje z urządzeniem lub kontekstem klienta, aby utrudnić reuse tokenów,
- wymuszać limity i monitoring wykorzystania kluczy API,
- korelować dane z EDR, IAM, CASB, logów aplikacyjnych i platform chmurowych,
- wzmacniać ochronę stacji roboczych przed infekcją infostealerem,
- prowadzić regularne skanowanie środowiska pod kątem wycieków sekretów.
Po stronie dostawców usług AI kluczowe znaczenie ma minimalizacja danych umieszczanych w tokenach, eliminowanie jawnych danych osobowych z payloadów oraz projektowanie architektury sesji z założeniem, że część tokenów może zostać skradziona z urządzeń końcowych użytkowników.
Podsumowanie
Cyberprzestępcy szybko dostosowują swoje metody do rosnącej roli usług AI. Wykradzione przez infostealery tokeny sesyjne, JWT, JWE i klucze API stają się nową walutą umożliwiającą przejęcie kont, obejście MFA, kradzież danych oraz nadużycia kosztowe.
Najważniejszy wniosek jest jednoznaczny: skuteczna ochrona kont AI nie może kończyć się na haśle i uwierzytelnianiu wieloskładnikowym. Równie istotne jest zabezpieczenie sesji, tokenów, kluczy API oraz urządzeń końcowych, z których te sekrety mogą zostać wykradzione.