Security
AI kontra AI, dziura w WordPressie i agentowy chaos
Hugging Face odparło autonomiczny atak AI. GPT znalazło RCE w WordPressie. Agenci AI mają ten sam problem.
Pierwszy potwierdzony atak autonomicznego agenta AI na platformę AI
Hugging Face ujawniło szczegóły ataku, który określa jako pierwszy publicznie znany przypadek cyberprzestępczości w pełni prowadzonej przez autonomiczny system agentów AI przeciwko dużej platformie AI. Atak rozpoczął się od złośliwego zestawu danych, który wykorzystał dwie luki w potoku przetwarzania danych Hugging Face, umożliwiając wykonanie kodu na serwerze roboczym. Atakujący uzyskał dostęp na poziomie węzła, zebrał poświadczenia chmury i klastra, a następnie przemieszczał się po kilku wewnętrznych klastrach przez weekend. Firma podkreśla, że kampanię prowadziło autonomiczne ramy agentowe, wykonujące tysiące indywidualnych działań w roju krótkotrwałych piaskownic, z samomigrującym dowodzeniem i kontrolą hostowaną na publicznych usługach. Co istotne, gdy Hugging Face próbowało wykorzystać komercyjne modele AI dostępne przez API do analizy ataku, żądania zostały zablokowane, ponieważ zabezpieczenia tych modeli nie odróżniały atakującego od zespołu bezpieczeństwa badającego incydent. Firma ostatecznie użyła chińskiego modelu GLM 5.2 na własnej infrastrukturze. Dzięki AI przeanalizowano ponad 17 000 zarejestrowanych zdarzeń, zrekonstruowano oś czasu ataku i zidentyfikowano naruszone poświadczenia w ciągu godziny, co normalnie zajęłoby dni. Hugging Face wciąż ustala, czy ucierpiały dane klientów, ale nie znaleziono dotąd dowodów na ingerencję w publiczne modele, zbiory danych ani Spaces.
Hugging Face: We Used AI to Catch the First Confirmed AI Agent Breach of a Major AI Platform →
Model AI znalazł krytyczną lukę RCE w WordPressie w 10 godzin za 25 dolarów
Badacz bezpieczeństwa z Searchlight Cyber wykorzystał model OpenAI GPT5.6 Sol Ultra do odkrycia łańcucha exploitów prowadzącego do zdalnego wykonania kodu (RCE) w standardowej instalacji WordPressa z MySQL. Model po około sześciu godzinach znalazł lukę typu SQL injection przed uwierzytelnieniem, którą badacz zweryfikował, instalując czystą instancję WordPressa i każąc modelowi wykraść e-mail administratora. Następnie model spędził kolejne cztery godziny na potwierdzeniu, że read-only SQLi można eskalować do pełnego RCE. Całkowity koszt użycia modelu wyniósł około 25 dolarów, czyli 50% tygodniowego limitu na subskrypcji za 200 dolarów. Początkowa luka leży w API batch WordPressa, wprowadzonym w wersji 5.6, gdzie pętle walidacji i wykonania są zdesynchronizowane. Model zbudował złożony łańcuch exploitów: od wstrzyknięcia SQL, przez zatrucie pamięci podręcznej, wykorzystanie funkcji embed do tworzenia fałszywych wpisów, po przejęcie roli administratora i ostateczne wgranie backdoora jako wtyczki. Badacz stwierdził, że żaden ludzki badacz bezpieczeństwa nie byłby w stanie znaleźć i ukończyć tego łańcucha w takim czasie bez pomocy AI. Pełny exploit powstał w nieco ponad 10 godzin.
HOLLOWGRAPH – malware zamieniający kalendarze Microsoft 365 w kanały C2
Firma Group-IB zidentyfikowała malware HOLLOWGRAPH, przypisany z wysoką pewnością do frameworku Cavern. Jest to skompilowana biblioteka DLL .NET NativeAOT, która wykorzystuje Microsoft Graph API przez skompromitowane konto Microsoft 365 w Izraelu do komunikacji z operatorami. Malware traktuje kalendarz skrzynki pocztowej jako dwukierunkową skrytkę: operatorzy umieszczają zadania jako wydarzenia w kalendarzu, a implant eksfiltruje skradzione pliki, tworząc własne wydarzenia z zaszyfrowanymi danymi w załącznikach. Wszystkie wydarzenia datowane są na 13 maja 2050 roku. Group-IB zidentyfikowało 12 ofiar, z których około trzy aktywnie komunikowały się z atakującym. Najwcześniejsza obserwowana komunikacja miała miejsce 3 czerwca 2026, a najpóźniejsza 9 lipca 2026. Malware wspiera dwa polecenia: get i send, a także drugi kanał wykorzystujący tunelowanie DNS przez zapisy AAAA/IPv6 na domenę cloudlanecdn[.]com do odświeżania poświadczeń Microsoft Entra ID. Wszystkie ładunki Graph są zabezpieczone hybrydowym szyfrowaniem RSA + AES z dwiema oddzielnymi parami kluczy. Atak silnie celuje w izraelskie podmioty, a Group-IB ocenia potencjalne powiązanie z grupą Lyceum, ale z niską pewnością.
RedHook – zaawansowany trojan zdalnego dostępu przejmujący kontrolę nad Androidem
Group-IB przeanalizował RedHook, ulepszonego trojana zdalnego dostępu dla Androida, który nadużywa funkcji Wireless Debugging wprowadzonej w Androidzie 11 do uzyskania uprawnień na poziomie powłoki. Atak zaczyna się od socjotechniki: przestępcy podszywający się pod pracowników banków, przedstawicieli rządu lub agentów wsparcia kierują ofiary na fałszywe strony udające oficjalne serwisy lub Google Play, skąd ofiary instalują APK. Po instalacji aplikacja nakłania ofiarę do włączenia Accessibiliy, a następnie wykorzystuje to uprawnienie do symulowania dotknięć, otwierania ustawień, włączania opcji programistycznych i Wireless Debugging. RedHook zawiera 53 komendy, z których część jest niedokończona. Działające funkcje pozwalają na strumieniowanie ekranu, przechwytywanie zrzutów ekranu, rejestrowanie klawiszy i zbieranie poświadczeń blokady, symulowanie dotknięć i gestów, zbieranie kontaktów, SMS-ów i listy aplikacji, instalowanie lub usuwanie APK bez zgody użytkownika, tworzenie fałszywych okien weryfikacyjnych, aktywację kamery oraz zdalne blokowanie, odblokowywanie i restartowanie telefonu. Do utrzymania się w systemie RedHook odtwarza ciche audio, używa WakeLock, wdraża dwa wzajemnie monitorujące się serwisy i ustawia alarm co pięć minut. Zwykłe zamknięcie aplikacji nie usuwa zagrożenia.
RedHook Android malware can quietly hijack your phone →
Cztery zespoły obnażyły tę samą fundamentalną słabość agentów AI
W ciągu dziesięciu dni w lipcu 2025 roku cztery niezależne badania wykazały osobne podatności w agentach AI, wszystkie wynikające z tego samego podstawowego błędu: sam agent działa poprawnie, ale systemy wokół niego – kliknięcia, pamięć, wagi, łączniki – są niebezpieczne. Manifold Security wykazało, że każde rozszerzenie przeglądarki zainstalowane obok Claude for Chrome może sfałszować kliknięcie użytkownika w sześciu linijkach kodu. Osobne badanie opublikowane na arXiv pokazało, że pojedynczy starannie napisany e-mail może zasiać fałszywe wspomnienie w agencie AI, a w ponad połowie przypadków agent zapisał instrukcje atakującego w pamięci długoterminowej bez ostrzeżenia użytkownika. Specjaliści z Semgrep zatruli model open-weight w około godzinę za mniej niż 75 funtów – dziesięć zanieczyszczonych przykładów sprawiło, że model pisał kod z ukrytą luką. Firma PromptArmor zbadała łączniki łączące ChatGPT i Claude z usługami zewnętrznymi, odkrywając, że zmieniają się średnio co dziewięć minut, a dwa na pięć łączników Claude’a po cichu wywołują inne usługi AI. Wspólny wzorzec jest taki, że agenci są wpięci w wrażliwe konta szybciej, niż budowane są zabezpieczenia – cztery zespoły zademonstrowały tę lukę w dziesięć dni.
Four teams just broke AI agents four ways in ten days. The flaw is the same one. →