# KI-hacking

> Oversikt over hendelser der KI-modeller kjørte selve angrepet, ikke bare hjalp et menneske med å gjøre det.

Source: https://fmcybersecurity.com/insights/ai-hacking/
Locale: Norwegian (nb-NO)
Other locale: https://fmcybersecurity.com/en/insights/ai-hacking/

Hver oppføring bygger på rapporten fra parten som gransket hendelsen eller ble rammet av den. Listen tar med angrep som er gjennomført, ikke skadevare som bare er funnet under utvikling. Flere av hendelsene er kjent gjennom leverandøren som eide modellen, og da står det i raden.

## Registrerte hendelser

- **CrowdStrike: fire agentaktører** (2026-10-21). CrowdStrike fant fire aktører som lot KI-agenter velge og kjøre kommandoer i ekte innbrudd. Én agent hentet domenekontrollerens påloggingsdata på rundt 20 minutter. Minst 15 argentinske helseforetak ble rammet. Aktørene omgikk modellenes sikkerhetssperrer. Hva KI gjorde: KI kjørte angrepet. Modell: Claude Code (minst to av aktørene); resten ikke oppgitt. Mål: Argentinske helseforetak, offentlige virksomheter i to land og en amerikansk CRM-leverandør. Aktør: Fire ikke navngitte aktører, mai–august 2026. Forbehold: Kjent hovedsakelig gjennom CrowdStrike, som bygger på angripernes egne logger og verktøy i åpne kataloger. Tallene er ikke bekreftet av ofrene. Modell er oppgitt kun for noen av aktørene. Kilde: CrowdStrike (primary) https://www.crowdstrike.com/en-us/resources/reports/agentic-ai-attack-campaigns/ | Cybersecurity Dive (media) https://www.cybersecuritydive.com/news/agentic-ai-cyberattacks-harnesses-crowdstrike/833714/
- **Storm-0940 og ConnectWise** (2026-10-21). Microsoft sier Storm-0940 brukte ARTEX-agenter med stjålne ConnectWise-identiteter til å forsøke innlogging mot over 2 250 miljøer. Mye feilet, men aktøren fikk varig tilgang hos mange på få timer. ConnectWise stengte tjenester. Hva KI gjorde: Agentsverm. Modell: ARTEX, åpent agentrammeverk; modellene er ikke oppgitt. Mål: Over 2 250 Microsoft 365-miljøer, via ConnectWise sine skytjenester. Aktør: Storm-0940, kinesisk statstilknyttet. Forbehold: Kjent hovedsakelig gjennom Microsoft. 2 250 er antall miljøer det ble forsøkt innlogging mot, ikke antall brudd; Microsoft oppgir ikke hvor mange som ble kompromittert. Hvilke modeller som ble brukt er ikke oppgitt. Kilde: Microsoft (primary) https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/ | The Hacker News (media) https://thehackernews.com/2026/10/china-linked-hackers-use-artex-ai.html | CSO Online (media) https://www.csoonline.com/article/4239028/china-linked-hackers-used-agentic-ai-in-attack-on-2250-microsoft-365-tenants.html
- **Cairn-kampanjen** (2026-10-19). Fra 25. september lot en operatør agenter på Cairn-plattformen angripe over 1 200 nettsteder og plante webshell. Over 100 skal være brutt. NorForge fant åpne kontrollpaneler, mer enn 20 av dem trolig ondsinnede. Hva KI gjorde: Agentsverm. Modell: Cairn, åpen agentplattform; modellene er ikke bekreftet. Mål: Over 100 selskapers nettsteder i USA, Canada, Australia og Japan. Aktør: Kinesisktalende operatør. Forbehold: Tallene og kostnadsanslaget kommer fra NorForge slik Reuters og andre medier gjengir dem, og de varierer mellom oppslagene. Hvilke modeller som ble brukt er ikke bekreftet. Kan overlappe delvis med nettbutikk-kampanjen fra 22. september. Kilde: NorForge (primary) https://norforge.com/blog/inside_cairn | The Next Web (media) https://thenextweb.com/news/ai-agents-hacker-cairn-100-sites-deere-norforge | Tom's Hardware (media) https://www.tomshardware.com/tech-industry/artificial-intelligence/a-chinese-hacker-used-ai-agents-to-break-into-more-than-100-company-websites-deere-and-sharkninja-among-websites-hit-by-open-source-ai-powered-problem-solving-platform-demo
- **CERT-In-varselet** (2026-10-15). KI-modeller under forskning og evaluering nådde virksomhetenes levende systemer og leste forretningsdata, med åpne påloggingsdata i konfigurasjon, kodelagre og skyroller. Ingen ofre merket det; modellleverandørene meldte fra etter intern gjennomgang. Hva KI gjorde: KI kjørte angrepet (Ubestilt). Modell: Ikke navngitte modeller under evaluering. Mål: Indiske virksomheter, ikke navngitt. Forbehold: CERT-In oppgir verken KI-selskapene, modellene eller virksomhetene. Hvor mange som er rammet, er ikke oppgitt. Samme varsel nevner også kriminelle som bruker åpne agentverktøy, uten detaljer. Kilde: CERT-In (primary) https://www.cert-in.org.in/s2cMainServlet?VLCODE=CIAD-2026-0049&pageid=PUBVLNOTES02 | Business Standard (media) https://www.business-standard.com/technology/artificial-intelligence/cert-in-alert-on-ai-agents-an-early-warning-no-major-financial-loss-126101601525_1.html | The Hacker News (media) https://thehackernews.com/2026/10/cert-in-warns-ai-agents-accessed.html
- **ARTEX og sørkoreanske banker** (2026-10-07). Fra slutten av september til begynnelsen av oktober brukte en ukjent aktør det åpne agentverktøyet ARTEX til å kartlegge og angripe sørkoreanske finansforetak. Data ble hentet ut. CrowdStrike fant øktloggene fordi aktøren hadde latt dem ligge åpne. Hva KI gjorde: KI kjørte angrepet. Modell: ARTEX med flere språkmodeller, blant dem Claude Code. Mål: Sørkoreanske finansinstitusjoner. Forbehold: Kjent hovedsakelig gjennom CrowdStrike. Aktøren er ikke navngitt; CrowdStrike vurderer med moderat sikkerhet at vedkommende er kinesisktalende. Medieoppslag er uenige om antall ofre og hvilke modeller som ble brukt. Kilde: CrowdStrike (primary) https://www.crowdstrike.com/en-us/blog/unknown-threat-actor-uses-artex-to-target-south-korean-finance.html | Infosecurity Magazine (media) https://www.infosecurity-magazine.com/news/chinese-hacker-ai-korean-banks/ | The Register (media) https://www.theregister.com/cyber-crime/2026/10/08/crowdstrike-finds-possible-bank-hackers-cv-among-exposed-ai-logs/5301908
- **DIVD og Zammad-hullene** (2026-09-30). 21. september brøt en angriper seg inn i DIVDs Zammad-system med to ukjente sårbarheter. DIVD mener en KI-agent sto bak: støyende, rotete og med forklarende kommentarer i skriptene. Deler av data ble trolig hentet ut. Hva KI gjorde: KI kjørte angrepet. Modell: Ukjent språkmodell. Mål: Det nederlandske instituttet for sårbarhetsvarsling (DIVD). Forbehold: At en KI-agent sto bak er DIVDs vurdering ut fra atferden. Verken aktør eller modell er identifisert, og det er uklart om det var et ekte angrep eller en test. Kilde: DIVD (primary) https://www.divd.nl/newsroom/articles/when-no-if/ | DIVD CSIRT (primary) https://csirt.divd.nl/cases/DIVD-2026-00014/ | BleepingComputer (media) https://www.bleepingcomputer.com/news/security/divd-says-zammad-zero-days-enabled-ai-driven-network-breach/ | Sysdig (primary) https://www.sysdig.com/blog/ai-agent-exploits-zammad-zero-days-in-divd-breach-what-we-know-and-how-to-detect-it
- **Australske myndighetssystemer** (2026-09-24). I juni ble en OpenAI-agent nektet data fra Medicares statistikkportal, gikk rundt kontrollene, leste ikke-offentlige filer og skrev filer til en intern server. Statsministeren fortalte om det 24. september. En lignende sak i New South Wales fulgte 2. oktober. Hva KI gjorde: KI kjørte angrepet (Ubestilt). Modell: OpenAI-agent under evaluering. Mål: Services Australia (Medicare-statistikk) og NSW National Parks. Forbehold: OpenAI oppdaget hendelsen i august og varslet først i september. Ingen personopplysninger ser ut til å være hentet, og det er omstridt hvor godt portalen faktisk var sikret. Kilde: ABC News (Australia) (media) https://www.abc.net.au/news/2026-09-24/ai-agent-accessed-australian-government-site-pm-says/107189078 | The Hacker News (media) https://thehackernews.com/2026/09/openai-agent-bypassed-australian.html | ABC News (Australia) (media) https://www.abc.net.au/news/2026-10-02/rogue-open-ai-agent-breach-nsw-government-website/107223108
- **Nettbutikk-kampanjen** (2026-09-22). Tre åpne agentverktøy fant sårbarheter, brøt seg inn og plantet kortskimmere nesten uten tilsyn, til rundt 25 dollar per mål. Over 600 000 kortnumre er stjålet, og 27 virksomheter ble kompromittert 10.–15. september alene. Kampanjen pågår. Hva KI gjorde: Agentsverm. Modell: Ikke navngitt modell via OpenRouter; Hermes, Strix og Cairn. Mål: Hundrevis av nettbutikker, de fleste på Magento. Aktør: Økonomisk motivert aktør. Forbehold: Bygger på Gambit Securitys analyse av angriperens egen server. Ofrene er ikke navngitt. Kilde: Gambit Security (primary) https://gambit.security/blog-posts/autonomous-ai-agents-online-retailers-25-a-company | SecurityWeek (media) https://www.securityweek.com/ai-powered-campaign-targets-hundreds-of-online-retailers/ | Hackread (media) https://hackread.com/open-source-ai-agents-breach-credit-card-records/
- **RubyGems-angrepet** (2026-09-11). 11. og 12. mai lastet OpenAI-agenter opp over 2000 pakker med navn som exploit.rb og ssrf.rb til pakkeregisteret RubyGems. Over 500 ondsinnede pakker ble fjernet, og nye registreringer ble stengt i fire dager. Det ble kjent i september. Hva KI gjorde: Agentsverm (Ubestilt). Modell: OpenAI-agenter under trening og evaluering. Mål: RubyGems (Ruby Central). Forbehold: Koblingen til OpenAI kom fra uavhengige forskere. OpenAI bekrefter at agentene brukte RubyGems, men kaller oppgavene ufarlige. Ruby Central fant ingen tegn på at forsøkene lyktes. Kilde: Kitts, Larsen and Von Arx (researchers) (secondary) https://rubyhack.ai/ | CSO Online (media) https://www.csoonline.com/article/4222474/hundreds-of-openai-agents-attack-rubygems-platform.html | The Decoder (media) https://the-decoder.com/openai-agents-launched-a-2000-package-cyberattack-on-rubygems-just-to-collect-data-anyone-could-google/
- **GTG-20006** (2026-09-10). Et spionasjeløp mot 24 av 27 utvalgte ukrainske mål over 130 dager. Agenter fulgte med på om skadevaren ble oppdaget av sikkerhetsprodukter, og bygde den om på egen hånd til den ikke lenger ble fanget opp. Hva KI gjorde: Menneske styrte, KI utførte. Modell: Claude. Mål: Ukrainske departementer, forsvarsorganer og droneleverandører. Aktør: Russisk statsaktør (samsvarer med Midnight Blizzard). Forbehold: Kjent gjennom Anthropics egen trusselrapport. Mennesker tok fortsatt beslutningene om mål og datauthenting, og ofrene er ikke navngitt. Kilde: Anthropic (primary) https://www.anthropic.com/threat-intelligence-report-september-2026 | Cyber Kendra (media) https://www.cyberkendra.com/2026/09/anthropic-threat-report-says-ai-now.html
- **PaperCut-kampanjen** (2026-09-09). Hundrevis av agenter bygde og kjørte angrepet selv mot to ferske PaperCut-sårbarheter. Det gikk under fire timer fra tomt arbeidsbord til første innbrudd, og elleve virksomheter falt på 26 sekunder. Skoler og universiteter ble hardest rammet. Hva KI gjorde: Agentsverm. Modell: OpenAI Codex med en DeepSeek-modell. Mål: 440 PaperCut NG/MF-servere hos 395 virksomheter i 48 land. Aktør: Russisktalende aktør (mistanke). Kilde: GreyNoise (primary) https://www.greynoise.io/blog/ai-orchestrated-campaign-against-papercut-ng-mf | CISA Known Exploited Vulnerabilities (primary) https://www.cisa.gov/known-exploited-vulnerabilities-catalog | BleepingComputer (media) https://www.bleepingcomputer.com/news/security/ai-powered-attack-exploited-papercut-flaws-to-hack-395-organizations/ | Help Net Security (media) https://www.helpnetsecurity.com/2026/09/11/ai-agents-papercut-ng-mf-attack-campaign/
- **Ti timer-innbruddet** (2026-09-02). En løsepengeaktør lot KI-agenter utføre selve innbruddet. De kartla nettverket, hentet hemmeligheter fra kodelagre, tok over CI/CD og fikk nøklene til offerets sky. Over 50 teknikker ble brukt på under ti timer, mot rundt to uker for et menneskelig team. Hva KI gjorde: Menneske styrte, KI utførte. Modell: Ikke navngitte frontier-modeller og agentrammeverk. Mål: Ikke navngitt virksomhet. Forbehold: Bygger på Unit 42s hendelseshåndtering. At agenter sto bak hvert steg, sa angriperen selv til forhandlerne; modellene er ikke navngitt. Kilde: Palo Alto Networks Unit 42 (primary) https://unit42.paloaltonetworks.com/ai-assisted-cyber-attack-inside-a-unit-42-investigation/ | Cybernews (media) https://cybernews.com/security/ai-agents-ransomware-attack-security-audit/
- **Anthropic-evalueringene** (2026-07-30). Testmiljøet skulle vært uten nettilgang, men en feil i oppsettet ga maskinene åpen linje ut. Modellene møtte reelle systemer under øvingsoppgaver og behandlet dem som en del av øvelsen. I september meldte Anthropic om en fjerde berørt virksomhet. Hva KI gjorde: KI kjørte angrepet (Ubestilt). Modell: Claude Opus 4.6 (tidlig versjon), Claude Opus 4.7, Claude Mythos 5, intern testmodell. Mål: Fire virksomheter, ikke navngitt. Forbehold: Kjent gjennom Anthropics egen gjennomgang. Den fjerde hendelsen skjedde i januar 2026: modellen fikk administratortilgang og leste én persons personopplysninger. METR gjør en uavhengig gransking. Kilde: Anthropic (primary) https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals | The Hacker News (media) https://thehackernews.com/2026/09/anthropic-ai-models-breached-real.html | Al Jazeera (media) https://www.aljazeera.com/news/2026/9/10/anthropic-discloses-fourth-ai-breach-as-researcher-quits-over-safety
- **Hugging Face-bruddet** (2026-07-21). Under en test av angrepsevne fant modellene en ukjent sårbarhet i en pakkeserver, jobbet seg ut av testmiljøet og videre inn hos Hugging Face. De kjørte kode på titalls servere, fikk full tilgang på en av dem og hentet ut noe privat data. Hva KI gjorde: KI kjørte angrepet (Ubestilt). Modell: GPT-5.6 Sol og en ulansert OpenAI-modell. Mål: Hugging Face. Forbehold: Dette var ikke et angrep noen hadde bestilt. Modellene var satt opp med færre sperrer for testens skyld. Kilde: OpenAI / Hugging Face (primary) https://openai.com/index/hugging-face-model-evaluation-security-incident/ | Hugging Face (primary) https://huggingface.co/blog/agent-intrusion-technical-timeline | OpenAI (primary) https://openai.com/index/hugging-face-incident-and-the-road-ahead/ | CNBC (media) https://www.cnbc.com/2026/07/22/open-ai-cyber-models-hack-hugging-face.html
- **JADEPUFFER** (2026-07-01). Den første dokumenterte utpressingsoperasjonen som en språkmodell kjørte fra start til slutt. Den kom inn via en Langflow-sårbarhet, krypterte 1342 konfigurasjonsoppføringer, slettet databasetabeller og la igjen et krav om betaling i bitcoin. Hva KI gjorde: KI kjørte angrepet. Modell: Ikke navngitt språkmodell. Mål: Ikke navngitt virksomhet med produksjonsdatabase og Nacos-konfigurasjonstjeneste. Aktør: Storm-3168 (Microsofts navn). Forbehold: Bygger på Sysdigs og Microsofts egen telemetri. Ofrene er anonymisert, og hvilken modell som ble brukt er ikke oppgitt. Microsoft beskrev i september et andre, ødeleggende angrep mot en Azure-kunde. Kilde: Sysdig Threat Research Team (primary) https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion | Dark Reading (media) https://www.darkreading.com/cyberattacks-data-breaches/jadepuffer-first-complete-llm-driven-ransomware-attack | Microsoft Threat Intelligence (primary) https://www.microsoft.com/en-us/security/blog/2026/09/25/storm-3168-agentic-driven-cloud-attacks-using-compromised-service-principals/ | BleepingComputer (media) https://www.bleepingcomputer.com/news/security/jadepuffer-agentic-ai-attacks-target-azure-destroy-cloud-resources/
- **GTG-1002** (2025-11-13). Den første rapporterte spionasjekampanjen der KI kjørte selve innbruddet. Anthropic anslår at 80 til 90 prosent av arbeidet gikk uten menneskelig inngripen, fra kartlegging til uthenting av data. Et fåtall av innbruddene lyktes. Hva KI gjorde: KI kjørte angrepet. Modell: Claude Code. Mål: Rundt 30 mål globalt: teknologiselskaper, finansinstitusjoner, kjemisk industri og offentlige etater. Aktør: Kinesisk statsstøttet gruppe. Forbehold: Kjent gjennom Anthropics egen rapportering. Målene er ikke navngitt. Kilde: Anthropic (primary) https://www.anthropic.com/news/disrupting-AI-espionage
- **GTG-2002** (2025-08-27). En utpressingskampanje der modellen gjorde kartleggingen, hentet ut passord, tok seg inn i nettverk, valgte hvilke data som var verdt å stjele, satte kravbeløpet og skrev selve utpressingsbrevet. Hva KI gjorde: KI kjørte angrepet. Modell: Claude Code. Mål: Minst 17 virksomheter innen helse, beredskap, offentlig sektor og trossamfunn. Forbehold: Kjent gjennom Anthropics egen rapportering. Ofrene er ikke navngitt. Kilde: Anthropic (primary) https://www.anthropic.com/news/detecting-countering-misuse-aug-2025
- **s1ngularity (Nx)** (2025-08-27). Ondsinnede versjoner av byggeverktøyet Nx lå på npm i rundt fem timer. Ved installasjon startet de KI-verktøyene utvikleren selv hadde, med sperrene slått av, og ba dem lete etter nøkler, tokens og kryptolommebøker. Over 2300 hemmeligheter havnet åpent på GitHub. Hva KI gjorde: Språkmodell i skadevaren. Modell: Claude Code, Gemini CLI og Amazon Q på offerets egen maskin. Mål: Utviklere som installerte kompromitterte Nx-pakker fra npm. Forbehold: Modellene tilhørte ofrene, ikke angriperen, og angrepet virket bare der minst ett av de tre verktøyene var installert. Kilde: StepSecurity (primary) https://www.stepsecurity.io/blog/supply-chain-security-alert-popular-nx-build-system-package-compromised-with-data-stealing-malware | GitGuardian (primary) https://blog.gitguardian.com/the-nx-s1ngularity-attack-inside-the-credential-leak/ | Vercel (primary) https://vercel.com/changelog/s1ngularity-supply-chain-attack-in-nx-packages
- **LAMEHUG** (2025-07-17). Den første kjente skadevaren som spør en språkmodell mens den kjører. Den kom som vedlegg i phishing-e-post og lot modellen skrive kommandoene som samlet inn systeminformasjon og dokumenter, i stedet for å ha dem ferdig kodet. Hva KI gjorde: Språkmodell i skadevaren. Modell: Qwen2.5-Coder via Hugging Face. Mål: Ukrainske sikkerhets- og forsvarsorganer. Aktør: APT28 (UAC-0001). Kilde: CERT-UA (primary) https://cert.gov.ua/article/6284730 | Google Threat Intelligence Group (primary) https://cloud.google.com/blog/topics/threat-intelligence/threat-actor-usage-of-ai-tools | The Hacker News (media) https://thehackernews.com/2025/07/cert-ua-discovers-lamehug-malware.html

---

For the full documentation index, see https://fmcybersecurity.com/llms.txt
For the complete corpus as a single document, see https://fmcybersecurity.com/llms-full.txt