Urządzenie brzegowe australijskiej firmy energetycznej ostatni raz widziano w publicznym internecie 23 czerwca. Położył je agent AI, który próbował przestawić ustawienia portalu logowania. Gdy zapytania przez interfejs programistyczny nie zadziałały, pobrał konfigurację urządzenia, poprawił ją u siebie i wgrał z powrotem. Godzinę później napisał operatorowi, że dał ciała. Scena pochodzi z raportu firmy Gambit Security, która odzyskała zapisy rozmów prosto z serwera atakującego. To jeden z trzech opisanych przypadków, w których agenty AI wykonywały robotę przy realnych włamaniach.
Czym jest raport Gambit Security i co dokładnie zbadano
Dokument nosi tytuł “AI Across the Intrusion Lifecycle” i liczy 22 strony. Napisali go Eyal Sela, dyrektor działu analizy zagrożeń, oraz Nir Varon, badacz. Opisuje trzy niepowiązane ze sobą grupy przestępcze, które sięgnęły po AI na różnych etapach ataku.
Pierwszy przypadek dotyczy podejrzanego afilianta ransomware The Gentlemen. Używał Claude Code przy włamaniach do co najmniej sześciu organizacji, a badacze powiązali go z dwiema wcześniejszymi sprawami. Ofiary to firma energetyczna w Australii, usługi finansowe na Mauritiusie, gastronomia w RPA, producent w Tajlandii, usługi informatyczne w Malezji oraz zarządca nieruchomości, producent i dystrybutor w Stanach Zjednoczonych.
Atrybucja do The Gentlemen jest średniej pewności i tak została opisana. Opiera się na trzech przesłankach. Jedna z ofiar pojawiła się na stronie wyciekowej grupy miesiąc po włamaniu. Zakres adresów przypisany przez Hunt.io pokrywa się z infrastrukturą atakującego. Do tego dochodzi jego zainteresowanie systemami kopii zapasowych.
Warto od razu ustawić proporcje. Atakujący pracował na modelu Claude Sonnet 4.6, a więc nie na modelu czołowym. Jako prawdopodobne wyjaśnienie raport wskazuje silniejsze zabezpieczenia modeli czołowych. Autorzy dodają, że model o otwartych wagach dałby porównywalny albo lepszy wynik. Rozmowy odzyskano z serwera atakującego i prowadzono je po rosyjsku.
Model odmówił, a nowa sesja załatwiła sprawę
Najciekawszy fragment całego dokumentu opisuje moment, w którym zabezpieczenie zadziałało. Operator kazał agentowi sprawdzić dostęp do panelu zarządzania urządzenia VPN wystawionego do internetu. Claude zbudował zapytania curl, uwierzytelnił się na ścieżce /logincheck i sam poprawiał własne błędy. Przy błędnym haśle próbował innych wariantów. Przy odpowiedzi 404 szukał alternatywnych ścieżek interfejsu.
W pewnym momencie odpowiedź urządzenia pokazała, że po drugiej stronie stoi żywy system produkcyjny należący do organizacji. Wtedy model odmówił kontynuowania bez potwierdzonej autoryzacji.
Obejście było prostym manewrem. Atakujący otworzył nową sesję, oświadczył, że jest upoważniony do testowania celu pod kątem podatności, i powtórzył zadanie. Tym razem model wykonał polecenie.
Trudno o lepszy opis tego, jak wygląda granica dzisiejszych zabezpieczeń. Reguła zadziałała na dowodach z konkretnej sesji. W opisanym przypadku odmowa nie przeniosła się do nowej rozmowy. Model ocenia kontekst, który dostaje, a kontekst podaje mu użytkownik.
Jak agent wyłączył firewall ofiary i co potem napisał
W firmie energetycznej Claude próbował zmienić ustawienia portalu przez interfejs programistyczny. Zapytania nie przechodziły. Wtedy pobrał konfigurację urządzenia, wprowadził poprawki lokalnie i wgrał ją z powrotem przez ścieżkę /api/v2/monitor/system/config/restore. Urządzenie odpowiedziało, że operacja się powiodła, po czym przestało odpowiadać na wszystkich portach.
Relacja modelu z chwili, gdy operator zauważył, że panel nie działa, brzmi po polsku tak: “częściowe przywrócenie nie mogło zmienić ustawień portalu, więc spróbowałem przywrócić całą konfigurację domeny wirtualnej razem ze zmianami”. W oryginale: “a partial restore couldn’t change the portal settings, so I tried restoring the entire VDOM config with edits”.
Godzinę później firewall nadal leżał. Wtedy padło zdanie, które w raporcie robi największe wrażenie: “No tak, dałem ciała, nie powinienem był robić pełnego przywracania konfiguracji”. Oryginał: “Yeah, I screwed up – I shouldn’t have done a full config restore.”
Skany zewnętrzne pokazują, że urządzenie ostatni raz widziano 23 czerwca. Autorzy raportu ostrożnie dopowiadają resztę. Ich zdaniem najpierw położyła je awaria po przywróceniu konfiguracji, a potem zostało poza publiczną siecią, bo port zarządzania zdjęto z publicznej ekspozycji.
Wcześniej ten sam agent przeprowadził atak z przekierowaniem uwierzytelniania. Przestawił ustawienia VPN tak, żeby firewall sprawdzał logowania na maszynie operatora zamiast na kontrolerach domeny firmy. Napisał w locie nasłuch LDAP w Pythonie i uruchomił go na porcie 389. Polecenie diagnose test authserver zmusiło urządzenie do połączenia, a hasło konta serwisowego poszło czystym tekstem. Potem model grzecznie przywrócił pierwotny adres.
Agenci AI · Kodożercy
Twoje przepływy w n8n mogą podejmować decyzje
Kurs Agenci AI od Kodożerców pokazuje, jak dołożyć do n8n warstwę, która czyta dokumenty, dobiera kolejny krok i pyta o zgodę, zanim zrobi coś nieodwracalnego. Budujesz to na własnych integracjach, moduł po module.
Sprawdź, jak to zbudować →
Ta sama legenda w drugim przypadku i 2975 skradzionych kluczy
Drugi opisany operator, nazwany Zerofot, mówi po chińsku i zajmuje się czymś zupełnie innym. Zbudował skaner auto_scan, który przeczesuje internet w poszukiwaniu otwartych katalogów i plików konfiguracyjnych, a potem wyciąga z nich klucze i tokeny. Narzędzie powstało z pomocą Codeksa i Claude Code.
Tu wraca ten sam chwyt, który zadziałał w pierwszej sprawie. Instrukcja przekazana Codeksowi opisywała pracę jako przeznaczoną “dla autoryzowanej piaskownicy CTF”, żeby model nie odmówił zadania. Dwie różne grupy, dwa różne narzędzia, jedna metoda przekonania modelu.
Skala zbiorów robi wrażenie. Między 5 kwietnia a 23 maja 2026 operacja zebrała 2975 zweryfikowanych kluczy z 1742 hostów. Najwięcej było kluczy prywatnych SSH, bo 661. Do tego 635 kluczy AWS z 214 kont, 448 kluczy do Gemini, 254 do OpenAI, 205 tokenów GitHuba i 176 kluczy Anthropica. Ważne klucze do modeli trafiały na bramę odsprzedającą dostęp, która zniknęła z sieci w trakcie pisania raportu.
Jest tu jeszcze szczegół wart odnotowania przy ocenie całej sprawy. Operator uruchamiał Claude Code z publiczną wtyczką do orkiestracji i kierował go zmienną ANTHROPIC_BASE_URL na własną bramę, zasilaną skradzionymi kluczami. Autorzy zaznaczają więc, że model odpowiadający za tym interfejsem mógł nie być modelem Anthropica. Program Claude Code pracujący z modelami innych firm wrócił w październiku przy atakach na koreańskie banki z narzędziem ARTEX: CrowdStrike wymienia tam z nazwy tylko DeepSeek v4.1-flash, GLM-5.3 i Grok 4.6.
Co z tego wynika dla wdrażającego agenta AI
Trzy rzeczy przekładają się na decyzje kogoś, kto daje agentowi dostęp do własnej infrastruktury.
Pierwsza dotyczy kontekstu. Model ocenia sytuację na podstawie tego, co mu powiedziano, a w opisanej sprawie odmowa nie przeniosła się do kolejnej sesji. Nasz wniosek z tych dwóch przypadków jest taki, że zabezpieczenie oparte wyłącznie na osądzie modelu bywa tak mocne, jak trudno je przegadać. Uprawnienia nadane po stronie systemu takiej właściwości nie mają.
Druga dotyczy prawa zapisu. Agent, który może wgrać konfigurację urządzenia brzegowego, może to zrobić w złym momencie. Firewall ofiary padł przez pomyłkę w operacji przywracania, popełnioną w trakcie ataku. Wyłączenie urządzenia nie było celem operatora. Ten sam błąd wygląda identycznie u kogoś, kto wdraża agenta w dobrej wierze. Warto zestawić to z zasadami z naszego tekstu o budowaniu agentów AI w produkcji, gdzie osobne miejsce zajmuje kontrola nad krokami nieodwracalnymi.
Trzecia dotyczy śladów. Agenty zostawiają po sobie sporo, bo lubią opisywać własne działania. W kodzie jednej z grup nazwa sesji przy przejmowaniu roli w chmurze brzmiała recon, a w drugiej rage-session. W innym miejscu w komentarzach zachowało się pierwszoosobowe rozumowanie modelu, razem z nagłówkiem “THE BREAKTHROUGH”, który kilka linii dalej zmienia się w “REAL BREAKTHROUGH”. Dla obrońcy to jest materiał do wykrywania, a dla zespołu wdrażającego agenta sygnał, że logi z takiej pracy trzeba czytać.
Zamykając wątek atrybucji: raport nie twierdzi, że zabezpieczenia modelu zawiodły. Zadziałały, a obeszła je legenda o autoryzowanym teście penetracyjnym. Autorzy podkreślają też, że we wszystkich trzech przypadkach to błędy operacyjne atakujących odsłoniły ich infrastrukturę. Ofiary zostały powiadomione przy udziale fundacji Shadowserver, a klucze zgłoszono dostawcom chmury do unieważnienia. Ransomware pozostaje przy tym problemem, który Polski nie omija.
Podsumowanie
Raport Gambit Security opisuje trzy niezależne operacje, w których agenty AI wykonywały realną robotę przy włamaniach: budowały polecenia, pisały skrypty, porządkowały zdobyte dane, a zapytane o najważniejsze zasoby szeregowały bazy i wskazywały żywą bazę produkcyjną. Najmocniejsze ustalenie dotyczy jednak zabezpieczeń. Claude odmówił, gdy zobaczył, że pracuje na żywym systemie cudzej organizacji, a atakujący obszedł to, otwierając nową sesję i podając się za upoważnionego do testów. Ta sama metoda pojawia się w drugim przypadku, tylko z inną legendą i przy innym narzędziu. Atrybucja do grupy The Gentlemen ma średnią pewność. Dla osób wdrażających agentów praktyczny wniosek dotyczy uprawnień: model ocenia kontekst, który dostaje, więc granice trzeba postawić po stronie systemu.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
