Google: przestępcy wykradli tysiące haseł w niecałe sześć godzin dzięki autonomicznym agentom AI

Google Threat Intelligence Group opublikowała 8 września 2026 roku raport "From Prompting to Autonomy: The Evolution of Adversarial AI", w którym opisuje przypadek, gdy przestępcy zestawili w pełni autonomiczny system ataku z chatbota kodującego AI, jednego promptu i zestawu instrukcji dla agenta. Efektem była masowa kampania kradzieży danych logowania przeprowadzona w mniej niż sześć godzin od uzyskania dostępu do infrastruktury ofiary.

Jak działał autonomiczny atak

Według GTIG atakujący nie musieli już ręcznie prowadzić kolejnych etapów włamania. Wystarczyło złożyć framework z gotowych elementów: chatbota AI zdolnego do pisania i wykonywania kodu, jednego wyjściowego promptu opisującego cel oraz zestawu instrukcji sterujących zachowaniem agenta. Zaprogramowane z góry playbooki w formacie markdown poprowadziły cały proces skanowania infrastruktury i wyłuskiwania poświadczeń bez dalszej ingerencji człowieka.

To pierwszy udokumentowany przez Google przypadek, w którym etap rekonesansu, wykorzystania luki i zbierania danych logowania połączono w jeden zautomatyzowany łańcuch działający w czasie realnym, a nie w formie odrębnych, ręcznie sterowanych kroków rozłożonych na dni czy tygodnie.

Kto stoi za atakami

Raport wymienia kilka aktorów odpowiedzialnych za nową falę ataków. Grupa UNC6780, śledzona też jako TeamPCP, w marcu 2026 roku zatruła bramkę LiteLLM służącą do integracji różnych dostawców modeli językowych, a następnie rozsyłała trojanizowane serwery Model Context Protocol wśród deweloperów korzystających z ekosystemów PyPI, npm i Docker Hub.

Drugim opisanym aktorem jest UNC6508, grupa powiązana z Chinami, która od kilku lat prowadzi kampanię wymierzoną w amerykańskie instytucje akademickie, medyczne i wojskowe, koncentrując się w szczególności na kradzieży danych związanych z badaniami nad sztuczną inteligencją. Google odnotował też próbę zbudowania przez inną grupę powiązaną z Chinami zautomatyzowanego frameworku do testów penetracyjnych opartego na modelu Gemini.

Złośliwe oprogramowanie uczy się kontekstu

Znaleziony przez badaczy malware DUSTMAKER wykorzystywał zaufanie systemów do katalogów narzędzi programistycznych, ukrywając swoje pliki w folderach powiązanych z asystentami kodującymi Claude, Cursor i Visual Studio Code. Tego typu lokalizacje rzadziej są skanowane przez tradycyjne oprogramowanie zabezpieczające, bo traktuje się je jako zaufane środowisko pracy deweloperów.

GTIG opisał również próbki złośliwego kodu zawierające wstrzyknięte prompty odnoszące się do broni biologicznej i jądrowej. Celem takich fragmentów tekstu nie jest realne działanie, lecz próba zmylenia systemów bezpieczeństwa opartych na AI, które automatycznie skanują i klasyfikują podejrzany kod pod kątem treści wysokiego ryzyka.

Rynek skradzionego dostępu do AI

Oprócz kradzieży poświadczeń do systemów firmowych raport opisuje rozwijający się proceder LLMjacking, czyli przejmowanie płatnych kont do usług AI. Serwer zarządzający platformą o nazwie Recon obsługiwał bazę 23,8 tysiąca wykradzionych sekretów, w tym kluczy API i danych logowania, które następnie trafiały do sprzedaży na forach przestępczych. Według cytowanych danych średnia cena konta dającego dostęp do usług AI na takich forach w 2026 roku wzrosła ponad dwukrotnie.

Kryminaliści, tacy jak ci, którzy przeprowadzili masową kampanię wykorzystania podatności w zaledwie sześć godzin, będą ciążyć ku atakom szybszym, niż jesteśmy w stanie na nie zareagować - John Hultquist, główny analityk Google Threat Intelligence Group

Co to oznacza dla firm

Dla działów bezpieczeństwa kluczowy jest sam skok skali czasowej. Klasyczna reakcja na incydent zakładająca wykrycie włamania, analizę i reakcję w ciągu godzin lub dni traci sens, gdy cały cykl ataku od uzyskania dostępu po masowe wyprowadzenie danych zamyka się w niecałych sześciu godzinach. Google rekomenduje monitorowanie nietypowej aktywności w katalogach narzędzi AI używanych przez programistów oraz traktowanie kluczy API do modeli językowych jako zasobu równie wrażliwego jak hasła administracyjne.

Raport trafia też do polskich firm korzystających z narzędzi takich jak GitHub Copilot, Claude Code czy Cursor w codziennej pracy zespołów programistycznych. Popularność trojanizowanych serwerów Model Context Protocol pokazuje, że łańcuch dostaw oprogramowania rozszerzył się o nową kategorię ryzyka, jaką są rozszerzenia i integracje AI instalowane bezpośrednio w środowiskach deweloperskich.

Google zapowiada, że GTIG będzie publikować kolejne aktualizacje w miarę pojawiania się nowych technik wykorzystania AI przez atakujących, a firma rozwija równolegle własne narzędzia obronne oparte na sztucznej inteligencji, w tym system Big Sleep do wykrywania nieznanych podatności oraz CodeMender do automatycznego łatania luk w kodzie.