Kibervédelmi kutatók három olyan támadás részleteit hozták nyilvánosságra, amelyek japán szervezeteket vettek célba, és amelyekben a mesterséges intelligencia (AI) kulcsszerepet játszott: vagy teljesen átvette az irányítást, vagy egy emberi támadót segített.

A TrendAI, amely elemezte a fenyegető szereplők által rosszindulatú műveletekre használt három, nyilvánosan elérhető szerverkörnyezetet, úgy írta le ezeket, mint a korábban dokumentált támadásoktól eltérő eseteket. Azok a támadások az ARTEX autonóm AI-sérülékenységvizsgáló keretrendszert használták dél-koreai és japán célpontok ellen.

„Ezekben a környezetekben felderítő és támadó eszközök, scriptek, célpontlisták, eredmények, naplók és parancselőzmények voltak” – mondták Bakuei Matsukawa és Joseph C. Chen biztonsági kutatók. „A skála a főként kézzel, gyakorlott operátorok által használt munkaterületektől egészen az AI-ügynök platformokig terjedt, amelyek az egész munkafolyamatot automatizálták, beleértve a command and control funkciókat is.”

A három támadás közül az első a CyberStrikeAI eszközt használta ki, egy másik nyílt forráskódú sérülékenységvizsgáló eszközt, amelyet korábban már bevetettek Fortinet FortiGate eszközöket célzó kampányban. A mostani tevékenység egy rövid időszakra koncentrálódott 2026 októberében.

Az AI-vezérelt tevékenység ezt a támadó biztonsági eszközt használja arra, hogy a támadás életciklusának különböző szakaszait automatizálja, és ismételhető munkafolyamattá szervezze. A folyamat a felderítéssel, a sebezhetőségek felderítésével és ellenőrzésével indul, majd a kihasználáson, a command-and-control (C2) csatornák kiépítésén, a tartós jelenlét biztosításán és az adatexfiltráción át egészen az automatikus jelentéskészítésig tart.

A rendszer 44 ügynök között osztja szét a feladatokat, amelyek a támadás különböző részeit kezelik, és közben lehetővé teszi űrlapok és hamis bejelentkezési oldalak generálását japán nyelven.

„Rövid idő alatt legalább 19 azonosítható szervezetet, köztük legalább 16 japán célt vontak be az ellenőrzési tevékenységbe” – közölte a Trend Micro vállalati biztonsági részlege. „Mindegyikhez ugyanabban a formátumban készült jelentés és bizonyítékjegyzék. Ezek egy strukturált, a platform által futtatott folyamat kimenetei voltak, nem pedig egy operátor alkalmi jegyzetei.”

A második esetben ember által irányított támadásról van szó, amelyet egy nagy nyelvi modell (LLM) segített a tervezés és az eszközfejlesztés felgyorsításában. Az infrastruktúra és a nyomok elemzése arra utal, hogy a kampány célja AI-alapú workflow platformok és inference szolgáltatások támadása, hogy a támadók nagy mennyiségű inference kapacitáshoz jussanak alacsony költséggel.

Az egyik behatolás során egy olyan térinformatikai rendszer (GIS) szervert vettek célba, amelyet alapértelmezett hitelesítő adatokkal értek el. Ennek eredményeként kataszteri és kereskedelmi nyilvántartásokat, Windows-hitelesítő adatokat és e-mail adatokat loptak el. A teljes kampány 24 napig tartott 2026 augusztusában és szeptemberében.

A harmadik esetben az AI szerepe az operátor eszközeinek és scriptjeinek fejlesztésére korlátozódott, ami arra utal, hogy a technológia csak korlátozottan vett részt abban a több kampányból álló sorozatban, amely edge eszközöket célzott meg a Cisco, a Citrix, az F5 és a Yamaha termékei közül. Ehhez publikált sebezhetőségeket, menedzsmentfunkciókat, illetve a konfigurációs fájlokban található hitelesítő adatokat használták ki.

A fenyegető szereplő becslések szerint legalább hat kampányt futtatott 2026 januárja és októbere között, alkalomszerűen támadva nyilvánosan elérhető VPN-eszközöket és WebLogic szervereket. „Az operátor tapasztalt volt, kiforrott automatizálási és bizonyítékkezelési gyakorlattal” – közölték a kutatók.

Jelenleg semmi sem utal arra, hogy a három incidens mögött ugyanaz az operátor állna. Az sem ismert, hogy a támadások érintettek-e más régiókat, illetve milyen AI modelleket használnak a támadások végrehajtásához.

Mindemellett a szóban forgó fenyegető szereplők támadásai nem korlátozódnak Japánra és a szomszédos országokra, például Dél-Koreára. Az első eset mögött álló operátor tajvani és hongkongi szervezeteket is célba vett, míg a harmadik esetben az Egyesült Királyságban, Franciaországban, Olaszországban, Katarban és Kolumbiában működő szervezetek is szerepeltek a WebLogic-felderítési listákon.

„Az AI megnövelte a támadók munkaerejét, de a munka lényege továbbra is az, hogy nyitva hagyott ajtókat keressenek” – fogalmazott a TrendAI. „Az ajtók típusa és a gyengeségek, amelyek nyitva hagyják őket, nem változtak. Ami megváltozott, az az, hogy egyszerre több ezret tudnak kipróbálni, alkalmazkodnak a célország nyelvéhez, és fáradhatatlanul folytatják.”

A fejlemény egybeesik több olyan kampány felfedezésével, amelyekben különböző motivációjú fenyegető szereplők agentic AI-t építettek be a meglévő offenzív security workflow-kba. Így fel tudják gyorsítani a kutatást, a malware-fejlesztést, a social engineeringet és a támadások más részeit.

Tovább rontja a helyzetet, hogy az AI-t egyre gyakrabban használják a felderítés felgyorsítására, a döntéshozatal automatizálására és a social engineering iparszerűvé tételére, ami lerövidíti az időt a sebezhetőség felfedése és kihasználása között. A Microsoft 2026-os Digital Defense Report jelentése szerint az AI a sebezhetőségek felfedezése és fegyverré alakítása közötti medián időt jóval 24 óra alá szorította.

A Windows gyártója szerint a rosszindulatú szereplők által használt AI csökkenti az időt, a szükséges szakértelmet és a költséget, ami a gyenge pontok felderítéséhez és kihasználásához kell, miközben a támadók és a védők is nagyobb sebességgel, nagyobb léptékben és nagyobb önállósággal tudnak dolgozni.

„A fő kérdés nem egyszerűen az, hogy egy szereplő rendelkezik-e csúcskategóriás AI-jal” – fogalmazott a Trend Micro közleménye. „A kellően fejlett modellekhez való hozzáférés már most is érdemi operatív előnyt ad. Az ökoszisztéma mélysége viszont azt határozza meg, mennyire megbízhatóan, mennyire önállóan és mekkora léptékben lehet ezeket a képességeket fenntartani.”

„Az AI már nem kísérleti funkció a apt csoportok számára; a kampányok szerves, operatív részeként használják.”

A fenyegető szereplők növekvő igénye az AI-eszközök iránt új pénzkereseti lehetőséget is megnyitott: ellopott AI-szolgáltatói session tokeneket és támadó AI-eszközöket árulnak, például az APEX AI-t, a MessiahGPT-t és a DarkGPT-t. Ez tovább árucikké silányítja a kiberbűnözést, és még lejjebb viszi a belépési küszöböt a kifinomult, tartós és nehezen észlelhető támadásokhoz.

A múlt héten a Microsoft közölte, hogy egy, Kínához köthető fenyegető szereplő feltörte egy ConnectWise felhőalapú backup alkalmazást, és ARTEX segítségével több mint 2250 Microsoft 365 tenantba jelentkezett be. A tevékenységet a Storm-0940-nek tulajdonítják, amely a Microsoft szerint már legkésőbb 2026 szeptemberétől használja a frameworköt, hogy jelszószórásos támadásokat automatizáljon több száz szervezet ellen.

„Bár a célpontok többségénél nem járt sikerrel, a Storm-0940 rövid idő alatt sok szervezetnél elérte, hogy tartós, kiemelt jogosultságú hozzáférést szerezzen a felhőben” – írta a Microsoft. „A Storm-0940 tevékenysége jól mutatja, hogyan tud egy széles célpontlistával dolgozó fenyegető szereplő agentic AI-eszközt és kiemelt hitelesítési adatokat használni arra, hogy gyorsan megpróbáljon sok szervezetet kompromittálni.”

Dél-koreai helyi sajtóbeszámolók szerint a hatóságok hét gyanúsítottat azonosítottak egy olyan kibercsapathoz kapcsolódva, amely több mint 90 szervezetbe tört be az országban, többnyire ARTEX segítségével. A 32 éves, feltételezett irányító 2019 és 2022 között egy kiberbiztonsági cégnél dolgozott, ahol behatolástesztelésben szerzett gyakorlatot.

A 90 esetből 38-ban a támadók 360 millió wont (270 000 dollárt) követeltek váltságdíjként azért, hogy ne szivárogtassák ki az ellopott adatokat. A feltételezések szerint több mint 8,2 millió rekordot szívtak el a kompromittált szervezetektől.

Az elmúlt hetekben dokumentált, AI-ra építő kampányok közül néhány:

• A BUGSTER néven ismert, anyagi haszonszerzésre törekvő fenyegető szereplő a Hermes Agent frameworköt úgy állította be, hogy a következtetési motor szerepét a DeepSeek V4 töltse be, másodlagos eszközként pedig a Cursort használta (mindkettőnél kikapcsolta a biztonsági korlátozásokat). Így indított brute force támadást egy indiai egyetem WordPress-alapú weboldala ellen, és REST API-feltérképezési jelentést készített róla.
  • A támadó egy második indiai állami egyetem rendszerébe is betört, és több mint 5200 rekordot tartalmazó adatbázist szivárogtatott ki, benne a hallgatók személyazonosításra alkalmas adataival (PII). Egy harmadik támadás során egy népszerű e-kereskedelmi platformon működő indiai oldalról gyűjtött adatokat: storefront API tokent, adminisztrátori e-mail-címeket, telefonszámokat és fizetési szolgáltatók azonosítóit.
  • „A szereplő speciális AI botprofilokat is létrehozott, hogy beszélgetésen keresztül VoIP-csalási ismereteket szerezzen, és automatizált pipeline-okat tartott fenn Wi-Fi-jelszófeltöréshez és kriptovaluta-whale felderítéshez (vagyis nagy kriptovaluta-vagyonnal rendelkező tulajdonosok azonosításához)” – közölte a Palo Alto Networks Unit 42 jelentése. „Figyelemre méltó, hogy a Wi-Fi-feltörő képességhez a célpont közvetlen fizikai közelsége szükséges, ami arra utal, hogy a szereplő helyben is hozzáfért a támadott helyszínekhez.”
• A CyberCartel néven ismert e-bűnözői csoportnál megfigyelték, hogy a CARLIY0S nevű multi-agent rendszert használja latin-amerikai bankok és fizetési szolgáltatók elleni támadások összehangolására. A framework egy kognitív rajt alkalmaz, amely négy, eltérő szerepre specializált Claude modellt fog össze: ezek „megvitatják az egyes célpontokat, majd egy döntnökre bízzák a végső szót”, mielőtt a fő orkchesztrátor lépne. „A csoport különböző feladatokat osztott ki a kereskedelmi AI modelleknek: célpontok elemzését, támadások kidolgozását és a műveletek koordinálását” – mondta Straiker.
• Fenyegető szereplők egy offenzív AI agentet is kifejlesztettek, amelynek célja, hogy átvegye az irányítást nyilvánosan elérhető AI endpointok felett, és autonóm támadásokat futtasson rajtuk. Az utasításkészlet akár 100 000 lépés végrehajtását is engedélyezi emberi jóváhagyás nélkül, miközben a nyitva hagyott endpoint jogos tulajdonosa fizeti a futtatás költségét. A rendszer egy Skynet mód nevű rosszindulatú hurkot tartalmaz, amely 74 eszközből álló készletet használ célpontok keresésére, fertőzésére, kriptobányászok telepítésére és a már kompromittált gépek újbóli megfertőzésére.
• A The Gentlemen zsarolóvírus-hálózat egyik partnere Anthropic Claude Code eszközt használt legalább hat szervezet ellen, 2026 júniusának végén végrehajtott betörések során. A modellt felderítő és kihasználó parancsok generálására és futtatására, rosszindulatú scriptek írására, tűzfal-szabályok módosítására és nagy értékű üzleti rendszerek azonosítására fogták be.
• A Zerofot fedőnevű hitelesítőadat-lopó művelet egy „auto_scan” nevű scannert készített, amely OpenAI Codexet és Claude Code-ot integrált, és több ezer, az interneten kitett gépről gyűjtött össze tömegesen API-kulcsokat és tokeneket.
• A RAGE nevű, AI által generált Python frameworköt internetre nyitott szolgáltatások (például Redis, Elasticsearch, Docker, Apache Tomcat, Jenkins, Hadoop YARN, Confluence és Supervisord) pásztázására, sebezhető telepítések kihasználására, hitelesítő adatok megszerzésére és kriptobányászok telepítésére használták.
• Egy emberi támadó élvonalbeli AI modelleket vetett be, hogy 10 órán keresztül gyakorlatilag önállóan törjön be egy vállalati hálózatba. „A szereplő egy nyilvánosan elérhető webszolgáltatás feltörésével alagutat nyitott a hálózatba, majd egy automatizált felderítő agentet telepített a belső mikroszolgáltatások feltérképezésére” – közölte a Unit 42 jelentése. „A sub-agentek átfésülték a vállalati kódtárolókat, és kinyerték a beégetett tokeneket és szolgáltatásjelszavakat.” A támadó ezután megszerezte a mester adminisztrátori hitelesítő adatokat, eltérített egy vállalati kódalkalmazást, és azon keresztül szivárogtatta ki a felhőhozzáférési kulcsokat. A lopott felhőkulcsokat végül arra használta, hogy az áldozat AI endpointjait a kompromittálás utáni infrastruktúra részévé tegye.
• Egy feltételezhetően orosz anyanyelvű kibertámadó AI-val támogatott munkafolyamatot vetett be PaperCut NG/MF szerverek kihasználására, és több száz példányt kompromittált. „A kampány jóval a kezdeti kihasználáson túlmutatott, és egy felépített utólagos kihasználási pipeline-t valósított meg, amely magában foglalta a Windows-hitelesítő adatok gyűjtését, szolgáltatás-hitelesítők megszerzését, a belső hálózaton való továbblépést, a Metasploit automatizálását és az áldozatok csomagolását” – közölte a Hunt.io jelentése.
• Egy kínaiul beszélő fenyegető szereplő több mint 100 cég – köztük a Deere, a SharkNinja és a Cummins – weboldalát törte fel a Cairn nevű autonóm penetrációs tesztmotorral. A rendszert arra utasította, hogy pásztázza a célpontokat, keressen olyan biztonsági gyengeségeket, amelyek kódfuttatáshoz vagy fiókátvételhez vezethetnek, próbáljon betörni, és lopjon érzékeny adatokat.

„Az AI egyszerre erősítő tényező és egyre növekvő támadási felület” – közölte a Rapid7 jelentése. „A generatív AI felgyorsítja a már ismert támadási módszereket azzal, hogy jelentősen csökkenti az időt, a szaktudást és az összehangolást, amelyekre korábban szükség volt a nagyszabású végrehajtásukhoz.”

„Ahelyett, hogy teljesen új kihasználási kategóriákat hoznának létre, a fenyegető szereplők az AI-t a meglévő munkafolyamataikba építik be. Ipari méretűvé teszik az adathalászatot, automatizálják a felderítést, és nagyobb sebességgel, pontosabban csiszolják a kártékony scripteket.”