Agenci kodujący AI włączają alarmy bezpieczeństwa przeznaczone dla hakerów

Firma Sophos przeanalizowała siedem dni własnej telemetrii bezpieczeństwa z systemów Windows i odkryła, że agenci kodujący AI regularnie uruchamiają te same reguły behawioralne, które mają wyłapywać hakerów. Claude Code, Cursor i OpenAI Codex nie robią nic złośliwego, po prostu wykonują zwykłe zadania deweloperskie w sposób, który dla silnika wykrywania ataków wygląda identycznie jak działanie intruza.

Sophos zastrzega, że to wąski wycinek danych z floty jednego dostawcy, a nie spis całej branży. Firma sama określa swoje ustalenia jako wczesny sygnał, a nie ostateczny wyrok, choć kierunek zmiany uznaje za wyraźny.

Co konkretnie wywoływało alarmy

Największą grupę alarmów, 42,6 procent wszystkich zgłoszeń związanych z poświadczeniami, wywołała pojedyncza reguła wykrywająca użycie Windows DPAPI do odszyfrowywania haseł zapisanych w przeglądarce. Sophos zaobserwował ten wzorzec przy pracy Claude Code korzystającego z popularnego pakietu umiejętności GStack, którego funkcja /browse uruchamia skrypt PowerShell odwołujący się właśnie do DPAPI.

W innym przypadku Claude Code zamknął aktywną przeglądarkę, wyciągnął z niej zapisane dane logowania za pomocą skryptu, a następnie uruchomił polecenie cmdkey /list, by przejrzeć zawartość Menedżera poświadczeń Windows. OpenAI Codex z kolei próbował pobrać instalator Pythona poleceniem certutil, a po zablokowaniu tej ścieżki przełączył się na bitsadmin, czyli dwa legalne, ale często wykorzystywane przez atakujących narzędzia systemowe.

Cursor i folder startowy

Cursor został przyłapany na użyciu PowerShell do zapisania skryptu w folderze startowym Windows, czyli technice, którą systemy obronne oznaczają niezależnie od intencji. Sophos przyznaje, że nie był w stanie ustalić, co dokładnie ten skrypt miał robić, co samo w sobie pokazuje, jak trudno odróżnić rutynową automatyzację agenta od próby uzyskania trwałości w systemie.

To wczesny sygnał, nie wyrok - Sophos, raport o telemetrii bezpieczeństwa

Dlaczego reguły łapią legalną pracę

Problem wynika z szerszej zmiany w wykrywaniu ataków. Raport CrowdStrike 2026 Global Threat Report, cytowany przez Sophos, pokazał, że 82 procent detekcji z 2025 roku nie wiązało się z żadnym malware, bo atakujący coraz częściej poruszają się za pomocą skradzionych, ale prawdziwych poświadczeń i zaufanych narzędzi systemowych zamiast podrzucać złośliwe pliki. To właśnie przesunęło wykrywanie w stronę analizy zachowań, a nie sygnatur plików.

Kłopot w tym, że agenci AI generują dokładnie te same wzorce zachowań z zupełnie niewinnych powodów, zapychając sygnał, na którym opierają się zespoły bezpieczeństwa. Odszyfrowanie hasła z przeglądarki, pobranie pliku certutilem czy zapis w folderze startowym są od dawna traktowane jako wysoce wiarygodne wskaźniki ataku. Zmieniło się to, kto je generuje, bo na obserwowanych przez Sophos maszynach coraz częściej robi to asystent AI dewelopera wykonujący codzienną pracę.

Co radzi Sophos

Firma proponuje rozdzielenie reguł według tego, co faktycznie łapią. Szum związany z wykonywaniem poleceń powinien być ograniczany przez powiązanie reguł z procesem nadrzędnym agenta, jak claude.exe czy cursor.exe, jego katalogiem roboczym lub reputacją adresu, z którego coś jest pobierane. Dostęp do magazynów poświadczeń Sophos każe jednak traktować jako twardą granicę, którą należy blokować niezależnie od tego, czy stoi za nią człowiek czy agent.

Sophos rekomenduje też wyłączenie trybu --dangerously-skip-permissions w Claude Code przez scentralizowaną konfigurację zarządzaną, zwracając uwagę, że sama dokumentacja Anthropic ostrzega przed używaniem tego trybu. Otwartym pytaniem, jakie stawia raport, pozostaje to, do czego w ogóle agent kodujący powinien mieć dostęp na końcówce, a magazyny poświadczeń wskazano jako sensowne miejsce na wytyczenie pierwszej granicy.

Znaczenie dla zespołów deweloperskich

Dla firm korzystających z Claude Code, Cursora czy Codexa oznacza to konkretne zadanie do wykonania w konfiguracji zespołów bezpieczeństwa: albo nauczą się odróżniać ruch agentów od ruchu atakujących, albo będą zalewani fałszywymi alarmami, aż w końcu zaczną je ignorować, co jest dokładnie tym scenariuszem, którego systemy wykrywania miały unikać. Sophos nie twierdzi, że problem dotyczy całej branży, ale sam fakt, że trzy z najpopularniejszych narzędzi kodujących z AI wywołują wysoko wiarygodne alarmy w normalnej pracy, jest sygnałem, że polityki dostępu i konfiguracje EDR pisane pod ludzi wymagają rewizji pod kątem agentów.