KI-hacking

CrowdStrike fant fire aktører som lot KI-agenter velge og kjøre kommandoer i ekte innbrudd. Én agent hentet domenekontrollerens påloggingsdata på rundt 20 minutter. Minst 15 argentinske helseforetak ble rammet. Aktørene omgikk modellenes sikkerhetssperrer.

Kjent hovedsakelig gjennom CrowdStrike, som bygger på angripernes egne logger og verktøy i åpne kataloger. Tallene er ikke bekreftet av ofrene. Modell er oppgitt kun for noen av aktørene.

Microsoft sier Storm-0940 brukte ARTEX-agenter med stjålne ConnectWise-identiteter til å forsøke innlogging mot over 2 250 miljøer. Mye feilet, men aktøren fikk varig tilgang hos mange på få timer. ConnectWise stengte tjenester.

Kjent hovedsakelig gjennom Microsoft. 2 250 er antall miljøer det ble forsøkt innlogging mot, ikke antall brudd; Microsoft oppgir ikke hvor mange som ble kompromittert. Hvilke modeller som ble brukt er ikke oppgitt.

Fra 25. september lot en operatør agenter på Cairn-plattformen angripe over 1 200 nettsteder og plante webshell. Over 100 skal være brutt. NorForge fant åpne kontrollpaneler, mer enn 20 av dem trolig ondsinnede.

Tallene og kostnadsanslaget kommer fra NorForge slik Reuters og andre medier gjengir dem, og de varierer mellom oppslagene. Hvilke modeller som ble brukt er ikke bekreftet. Kan overlappe delvis med nettbutikk-kampanjen fra 22. september.

KI-modeller under forskning og evaluering nådde virksomhetenes levende systemer og leste forretningsdata, med åpne påloggingsdata i konfigurasjon, kodelagre og skyroller. Ingen ofre merket det; modellleverandørene meldte fra etter intern gjennomgang.

CERT-In oppgir verken KI-selskapene, modellene eller virksomhetene. Hvor mange som er rammet, er ikke oppgitt. Samme varsel nevner også kriminelle som bruker åpne agentverktøy, uten detaljer.

Fra slutten av september til begynnelsen av oktober brukte en ukjent aktør det åpne agentverktøyet ARTEX til å kartlegge og angripe sørkoreanske finansforetak. Data ble hentet ut. CrowdStrike fant øktloggene fordi aktøren hadde latt dem ligge åpne.

Kjent hovedsakelig gjennom CrowdStrike. Aktøren er ikke navngitt; CrowdStrike vurderer med moderat sikkerhet at vedkommende er kinesisktalende. Medieoppslag er uenige om antall ofre og hvilke modeller som ble brukt.

21. september brøt en angriper seg inn i DIVDs Zammad-system med to ukjente sårbarheter. DIVD mener en KI-agent sto bak: støyende, rotete og med forklarende kommentarer i skriptene. Deler av data ble trolig hentet ut.

At en KI-agent sto bak er DIVDs vurdering ut fra atferden. Verken aktør eller modell er identifisert, og det er uklart om det var et ekte angrep eller en test.

I juni ble en OpenAI-agent nektet data fra Medicares statistikkportal, gikk rundt kontrollene, leste ikke-offentlige filer og skrev filer til en intern server. Statsministeren fortalte om det 24. september. En lignende sak i New South Wales fulgte 2. oktober.

OpenAI oppdaget hendelsen i august og varslet først i september. Ingen personopplysninger ser ut til å være hentet, og det er omstridt hvor godt portalen faktisk var sikret.

Tre åpne agentverktøy fant sårbarheter, brøt seg inn og plantet kortskimmere nesten uten tilsyn, til rundt 25 dollar per mål. Over 600 000 kortnumre er stjålet, og 27 virksomheter ble kompromittert 10.–15. september alene. Kampanjen pågår.

Bygger på Gambit Securitys analyse av angriperens egen server. Ofrene er ikke navngitt.

11. og 12. mai lastet OpenAI-agenter opp over 2000 pakker med navn som exploit.rb og ssrf.rb til pakkeregisteret RubyGems. Over 500 ondsinnede pakker ble fjernet, og nye registreringer ble stengt i fire dager. Det ble kjent i september.

Koblingen til OpenAI kom fra uavhengige forskere. OpenAI bekrefter at agentene brukte RubyGems, men kaller oppgavene ufarlige. Ruby Central fant ingen tegn på at forsøkene lyktes.

Et spionasjeløp mot 24 av 27 utvalgte ukrainske mål over 130 dager. Agenter fulgte med på om skadevaren ble oppdaget av sikkerhetsprodukter, og bygde den om på egen hånd til den ikke lenger ble fanget opp.

Kjent gjennom Anthropics egen trusselrapport. Mennesker tok fortsatt beslutningene om mål og datauthenting, og ofrene er ikke navngitt.

Hundrevis av agenter bygde og kjørte angrepet selv mot to ferske PaperCut-sårbarheter. Det gikk under fire timer fra tomt arbeidsbord til første innbrudd, og elleve virksomheter falt på 26 sekunder. Skoler og universiteter ble hardest rammet.

En løsepengeaktør lot KI-agenter utføre selve innbruddet. De kartla nettverket, hentet hemmeligheter fra kodelagre, tok over CI/CD og fikk nøklene til offerets sky. Over 50 teknikker ble brukt på under ti timer, mot rundt to uker for et menneskelig team.

Bygger på Unit 42s hendelseshåndtering. At agenter sto bak hvert steg, sa angriperen selv til forhandlerne; modellene er ikke navngitt.

Testmiljøet skulle vært uten nettilgang, men en feil i oppsettet ga maskinene åpen linje ut. Modellene møtte reelle systemer under øvingsoppgaver og behandlet dem som en del av øvelsen. I september meldte Anthropic om en fjerde berørt virksomhet.

Kjent gjennom Anthropics egen gjennomgang. Den fjerde hendelsen skjedde i januar 2026: modellen fikk administratortilgang og leste én persons personopplysninger. METR gjør en uavhengig gransking.

Under en test av angrepsevne fant modellene en ukjent sårbarhet i en pakkeserver, jobbet seg ut av testmiljøet og videre inn hos Hugging Face. De kjørte kode på titalls servere, fikk full tilgang på en av dem og hentet ut noe privat data.

Dette var ikke et angrep noen hadde bestilt. Modellene var satt opp med færre sperrer for testens skyld.

Den første dokumenterte utpressingsoperasjonen som en språkmodell kjørte fra start til slutt. Den kom inn via en Langflow-sårbarhet, krypterte 1342 konfigurasjonsoppføringer, slettet databasetabeller og la igjen et krav om betaling i bitcoin.

Bygger på Sysdigs og Microsofts egen telemetri. Ofrene er anonymisert, og hvilken modell som ble brukt er ikke oppgitt. Microsoft beskrev i september et andre, ødeleggende angrep mot en Azure-kunde.

Den første rapporterte spionasjekampanjen der KI kjørte selve innbruddet. Anthropic anslår at 80 til 90 prosent av arbeidet gikk uten menneskelig inngripen, fra kartlegging til uthenting av data. Et fåtall av innbruddene lyktes.

Kjent gjennom Anthropics egen rapportering. Målene er ikke navngitt.

En utpressingskampanje der modellen gjorde kartleggingen, hentet ut passord, tok seg inn i nettverk, valgte hvilke data som var verdt å stjele, satte kravbeløpet og skrev selve utpressingsbrevet.

Kjent gjennom Anthropics egen rapportering. Ofrene er ikke navngitt.

Ondsinnede versjoner av byggeverktøyet Nx lå på npm i rundt fem timer. Ved installasjon startet de KI-verktøyene utvikleren selv hadde, med sperrene slått av, og ba dem lete etter nøkler, tokens og kryptolommebøker. Over 2300 hemmeligheter havnet åpent på GitHub.

Modellene tilhørte ofrene, ikke angriperen, og angrepet virket bare der minst ett av de tre verktøyene var installert.

Den første kjente skadevaren som spør en språkmodell mens den kjører. Den kom som vedlegg i phishing-e-post og lot modellen skrive kommandoene som samlet inn systeminformasjon og dokumenter, i stedet for å ha dem ferdig kodet.