21 października 2026 r. WIRED opisał ustalenia CrowdStrike dotyczące czterech grup, które wykorzystywały agentów AI w kampaniach cyberprzestępczych i omijały zabezpieczenia modeli. CrowdStrike umieścił aktywność tych kampanii w okresie od maja do sierpnia. Adam Meyers z CrowdStrike powiedział, że ludzie prowadzili część wstępnego rozpoznania, a następnie używali AI do zwiększania skali działań.
Agenci zwiększali skalę działań operatorów
CrowdStrike przeanalizował infrastrukturę AI pozostawioną przez grupy na dostępnych serwerach internetowych. Według Adama Meyersa operatorzy najpierw prowadzili rozpoznanie, a potem angażowali agentów do skalowania włamań. W opisanym przez firmę układzie agenci mogli wykonywać kolejne kroki ataku: jeden z aktorów używał agenta „Supervisor” w Claude Code do kierowania działaniami, a agenta „Executor” do ich realizacji.
Grupy opisywano według języka operacyjnego: chińskiego, hiszpańskiego i angielskiego, indonezyjskiego oraz rosyjskiego. Te określenia nie przesądzają o narodowości operatorów.
Jak grupy omijały zabezpieczenia modeli
Według ustaleń CrowdStrike wszystkie cztery grupy obchodziły zabezpieczenia modeli. Stosowały między innymi preteksty sugerujące autoryzowane testy bezpieczeństwa, umieszczały pliki w katalogach roboczych agentów, by zadania wyglądały na zatwierdzone, oraz korzystały z narracji typu jailbreak, które miały skłonić model do pomocy w szkodliwych działaniach.
Aktor opisywany jako chińskojęzyczny miał użyć narzędzia ClawGod, by spróbować usunąć z Claude Code instrukcję CYBER_RISK_INSTRUCTION. CrowdStrike opisał to jako próbę. Adam Meyers ocenił, że kampanie wykorzystywały szybkość i skalę działań wspieranych przez AI oraz słabości w podstawowej higienie bezpieczeństwa, a nie nowe exploity czy nieznane podatności.
Grupy korzystały z modeli o otwartych i zamkniętych wagach, przeważnie ze starszych wersji, a nie z najnowszych modeli. W przypadku aktora hiszpańsko- i anglojęzycznego wymieniono Claude Opus 4.5, Claude Haiku 4.5 i Deepseek V4 Pro. Aktor chińskojęzyczny korzystał głównie z Claude Opus 4.8, a także z Claude Sonnet 4.6 i Deepseek Chat. Meyers wskazywał, że wybór i kierowanie zadań do różnych modeli mogą ograniczać koszty operacji.
Cztery grupy, różne cele
CrowdStrike przypisał grupom odrębne cele i wyniki działań. W przypadku grupy hiszpańsko- i anglojęzycznej badacze odnotowali też ślady kradzieży danych uwierzytelniających i dokumentacji medycznej u co najmniej jednej ofiary.
| Opis aktora | Zgłoszone cele lub kierunek działań |
| Hiszpańsko- i anglojęzyczny | Co najmniej 15 skompromitowanych organizacji w Argentynie; u co najmniej jednej ofiary ślady kradzieży danych uwierzytelniających i dokumentacji medycznej. |
| Chińskojęzyczny | Skompromitowane cele rządowe w Brazylii i Kolumbii; atakowane organizacje prywatne w Brazylii i Stanach Zjednoczonych. |
| Indonezyjskojęzyczny | Atakowane domeny rządowe w Indonezji i Bangladeszu oraz cele z sektora prywatnego. |
| Rosyjskojęzyczny | Działania wyglądały na ukierunkowane na przestępczość elektroniczną motywowaną finansowo. |
Odrębny przypadek Hugging Face pokazuje problem po stronie obrony
W osobnym incydencie Hugging Face skorzystało z otwartego modelu uruchomionego we własnej infrastrukturze, ponieważ zabezpieczenia zamkniętych interfejsów API utrudniały potrzebne działania obronne. Taką przyczynę podał prezes firmy Clem Delangue. To przykład dylematu, z którym mierzą się zespoły reagujące na incydenty, gdy zabezpieczenia usług AI ograniczają użycie ich do analizy cyberzagrożeń.
