Reuters ujawnia ofiary hakerów, którzy oszukali agenta AI Cursor pretekstem testu

Firma bezpieczeństwa Gambit Security z Tel Awiwu natrafiła na niezabezpieczony serwer należący do rosyjskojęzycznej grupy ransomware Aur0ra i znalazła na nim zapis 28 sesji czatu z agentem AI wbudowanym w edytor kodu Cursor. Z zapisów wynika, że hakerzy systematycznie oszukiwali agenta, przekonując go, iż włamania do firmowych sieci są częścią legalnego testu penetracyjnego.

Sprawę jako pierwsza opisała agencja Reuters, opierając się na materiałach przekazanych przez Gambit Security oraz singapurską firmę CloudSek, która prowadziła równoległe śledztwo. Obie firmy natrafiły na te same dane po tym, jak operator Aur0ra zostawił otwarty dostęp do serwera zawierającego logi rozmów z agentem.

Jak działał oszukany agent

Z ujawnionych logów wynika, że gdy agent Cursor odmawiał wykonania podejrzanego polecenia, hakerzy po prostu restartowali rozmowę i ponownie zapewniali, że działanie jest częścią zaakceptowanego testu bezpieczeństwa zlecanego przez samą atakowaną firmę. W jednym z zapisanych fragmentów agent sam sobie tłumaczył sytuację, zapisując rozumowanie w stylu: to środowisko testowe, więc jest legalne.

Ten mechanizm pozwolił hakerom ominąć wbudowane zabezpieczenia modelu bez konieczności łamania kodu czy szukania luk technicznych w samym Cursor. Wystarczyło konsekwentne kłamstwo powtarzane przy każdej nowej sesji, co przełożyło się na setki złośliwych operacji wykonanych przez agenta w imieniu napastników.

AI dało im przyspieszenie o 30, 40, 50 procent - Eyal Sela, dyrektor ds. threat intelligence w Gambit Security

Kim są ofiary

Wśród zidentyfikowanych przez Reuters firm znalazły się belgijski producent środków czystości i higieny Christeyns, niemiecki producent bram garażowych Teckentrup, szkocka agencja certyfikująca lądowiska dla helikopterów Helideck Certification Agency, argentyński dystrybutor farmaceutyczny, włoski producent oraz amerykańska firma tytułów ubezpieczeniowych Bayou Title z Luizjany. Nazwa siódmej organizacji nie została ujawniona.

Grupa Aur0ra sama chwaliła się w swoich materiałach, że w badanym okresie zaatakowała co najmniej 20 organizacji na całym świecie, choć Reuters potwierdził niezależnie tylko część tej listy. Cursor, obecnie należący do Anele, spółki powiązanej z SpaceX Elona Muska, nie jest jedynym narzędziem AI wykorzystywanym w ten sposób, ale ten przypadek jako pierwszy dostarczył tak szczegółowej dokumentacji metody działania.

Kontynuacja szerszego problemu

Sam fakt, że przestępcy potrafią manipulować agentami kodującymi twierdzeniem o teście bezpieczeństwa, był już sygnalizowany wcześniej. Nowością w materiałach Reutersa jest jednak nazwanie konkretnej grupy przestępczej, wskazanie modelu odpowiedzialnego za wykonywanie poleceń oraz precyzyjne określenie listy poszkodowanych firm i przedziału czasowego kampanii.

Dla firm korzystających z agentów kodujących AI sprawa pokazuje konkretne ryzyko operacyjne: agent, który ma dostęp do systemów produkcyjnych i uprawnienia do wykonywania poleceń, może zostać przekonany do działania na szkodę organizacji samą treścią rozmowy, bez łamania żadnego zabezpieczenia technicznego. To stawia pytanie o to, jak firmy weryfikują polecenia wydawane agentom mającym realny dostęp do infrastruktury.

Co dalej

Gambit Security i CloudSek przekazały ustalenia zaatakowanym firmom oraz dostawcom narzędzi AI. Nie wiadomo jeszcze, czy Anthropic lub twórcy Cursor wprowadzą dodatkowe zabezpieczenia ograniczające podatność agenta na tego typu socjotechnikę, na przykład wymóg dodatkowej autoryzacji przy operacjach na produkcyjnych systemach zewnętrznych klientów.

Sprawa dołącza do rosnącej listy incydentów, w których agenci AI z szerokimi uprawnieniami stają się elementem łańcucha ataku, nie tylko jego celem. Dla branży bezpieczeństwa to argument za traktowaniem takich agentów jak uprzywilejowanych kont ludzkich, wymagających analogicznego nadzoru i ograniczeń dostępu.