AI przyspiesza cyberataki. Google: tysiące danych logowania skradzione w mniej niż 6 godzin

• Tysiące danych logowania w mniej niż sześć godzin
• AI śledzi ofiarę od rozpoznania do włamania
• Złośliwy dodatek może oszukać programistę i jego asystenta AI
• Hakerzy kradną modele AI, a rachunek za chmurę zostaje po stronie ofiary
• Co może zrobić użytkownik, a co przedsiębiorca

Do niedawna AI była dla cyberprzestępcy głównie pomocnikiem: podpowiadała, jak napisać skrypt, przetłumaczyć przynętę czy zebrać informacje o ofierze. Raport, opisujący obserwacje z II kwartału 2026 r., wskazuje, że ten etap dobiega końca. Atakujący łączą modele językowe z narzędziami, które wykonują zadania bez stałego nadzoru człowieka.

Tysiące danych logowania w mniej niż sześć godzin

Najpoważniejszy przykład pochodzi z dochodzenia zespołu Mandiant. Sprawca najpierw przejął zasoby chmurowe organizacji, a następnie uruchomił w nich wieloagentowy system do masowego skanowania i wykradania danych uwierzytelniających. System planował kolejne czynności, na bieżąco rozwiązywał problemy techniczne i zmieniał adresy IP bez ręcznego sterowania. Od przygotowania narzędzia do przejęcia tysięcy cudzych danych logowania minęło mniej niż sześć godzin.

W innym przypadku Google wykrył serwer zarządzający platformą „Recon". System porządkował, sprawdzał i obsługiwał w czasie rzeczywistym ponad 23,8 tys. wykradzionych sekretów, w tym kluczy API do usług chmurowych i narzędzi AI.

Ekspert zwraca uwagę, że szczególnie trudne w obronie stają się rozwiązania agentowe. „Jak wszystkich martwi nas kwestia podatności, ale AI jest wykorzystywana też w innych obszarach. Szczególnie trudne będzie jej zastosowanie agentowe, które tworzy przeciwnika działającego na dużą skalę i szybciej niż dotąd".

AI śledzi ofiarę od rozpoznania do włamania

Modele językowe wspierają już niemal cały cykl ataku. Powiązana z ChRL grupa cyberszpiegowska BASIN CASTLE wykorzystywała je do typowania ważnych osób, tworzenia i tłumaczenia socjotechnicznych przynęt, zaciemniania złośliwego kodu oraz rozwiązywania problemów po uzyskaniu dostępu do sieci.

Inna grupa z ChRL próbowała zbudować za pomocą Gemini zautomatyzowany system testów penetracyjnych. Agent miał obserwować stan celu, dobierać działania i wykonywać pierwsze etapy rozpoznania, takie jak skanowanie portów i identyfikacja usług. Google zaznacza, że były to próby zbudowania frameworku, a powiązane zasoby zostały wyłączone.

Raport nie twierdzi, że każda kampania odbywa się już bez udziału człowieka. GTIG nie zaobserwował dotąd w realnych atakach w pełni autonomicznego łańcucha, który samodzielnie znajduje nieznaną wcześniej lukę i od razu ją wykorzystuje. Skraca się jednak czas między rozpoznaniem, przygotowaniem narzędzi i atakiem.

Złośliwy dodatek może oszukać programistę i jego asystenta AI

Drugim obszarem ryzyka jest łańcuch dostaw oprogramowania. Grupa UNC6780, znana też jako TeamPCP, atakowała m.in. ekosystemy PyPI, npm i Docker Hub: przejmowała legalne konta programistów, publikowała zainfekowane wersje narzędzi MCP i wprowadzała złośliwy kod do repozytoriów.

Malware DUSTMAKER wykorzystywał katalogi konfiguracyjne asystentów kodowania i środowisk programistycznych, m.in. Claude, Cursor i VS Code. Ukryte instrukcje mogły nakłaniać asystenta AI do uruchamiania poleceń bez wiedzy programisty. Złośliwe zadania w procesach CI/CD otrzymywały przy tym wiarygodnie brzmiące nazwy, np. „Copilot Setup", a malware usuwał logi wykonania, by utrudnić wykrycie.

To ostrzeżenie nie tylko dla dużych spółek technologicznych. Mała firma, software house czy biuro rachunkowe korzystające z dodatków, automatyzacji i zewnętrznych paczek również może wpuścić złośliwy kod razem z pozornie przydatnym narzędziem.

Hakerzy kradną modele AI, a rachunek za chmurę zostaje po stronie ofiary

AI stała się nie tylko narzędziem, lecz także celem. Mandiant badał kradzieże modeli, kodu źródłowego, promptów, danych badawczych i innych firmowych zasobów AI w branżach: technologicznej, ochrony zdrowia, farmaceutycznej oraz medialno-rozrywkowej. W części incydentów sprawcy grozili publikacją danych, jeśli firma nie zapłaci okupu.

Osobnym zjawiskiem jest tzw. LLMjacking, czyli przejmowanie kont i infrastruktury po to, by korzystać z płatnych modeli i kosztownej mocy obliczeniowej na rachunek ofiary. W kwietniu 2026 r. napastnik dostał się do środowiska chmurowego przez ujawniony token GitHub, uruchomił narzędzia AI i wnioskował o zwiększenie limitów dla procesorów GPU oraz o dodatkowe instancje z 48 procesorami wirtualnymi.

Rośnie też podziemny handel kontami do usług AI. Według GTIG średnia cena takiego konta na monitorowanych forach wzrosła w 2026 r. ponad dwukrotnie. Dużą skalę osiągają także próby wydobywania wiedzy z cudzych modeli: Google obserwuje skoordynowane kampanie „destylacji", z których część przekracza 100 mln zapytań.

„Żeby się skalować i zdobyć zasoby AI, sprawcy będą je wykradać" – ostrzega John Hultquist.

Co może zrobić użytkownik, a co przedsiębiorca

Dla zwykłego użytkownika wniosek jest jeden: konto do narzędzia AI bywa równie cenne jak konto pocztowe. Warto włączyć uwierzytelnianie wieloskładnikowe lub klucz dostępu, nie powtarzać haseł, sprawdzać aktywne sesje i usuwać zbędne aplikacje z dostępem do konta. Nietypowe prośby o płatność, hasło czy kod trzeba potwierdzać innym kanałem, bo AI pozwala dziś tworzyć znacznie lepiej dopasowane przynęty.

Firma powinna dodatkowo zinwentaryzować klucze API, tokeny i połączenia używane przez narzędzia AI, ograniczyć ich uprawnienia oraz ustawić alerty kosztowe i limity zasobów w chmurze. Rozszerzenie do IDE, paczkę open source, serwer MCP czy „umiejętność" agenta należy traktować jak każde inne oprogramowanie: sprawdzić źródło, uprawnienia i kod, zamiast ufać rekomendacji asystenta. Google zaleca też ewidencję zależności, krótkotrwałe tokeny, oddzielenie środowisk testowych od produkcyjnych i monitorowanie zmian w procesach CI/CD.

Raport nie dowodzi, że AI stworzyła nowy rodzaj cyberprzestępczości. Pokazuje raczej, że pozwala sprawcom robić znane rzeczy szybciej, taniej i na większą skalę. Dla ofiary oznacza to mniej czasu na wykrycie ataku i reakcję.