Egy kibertámadó mesterséges intelligenciára bízta a támadások jelentős részét: az AI-rendszerek sebezhető weboldalakat kerestek, megpróbáltak bejutni azok rendszereibe, és többször önállóan döntöttek arról, hogyan folytassák az akciót. A nagyszabású AI-támadás - pontosabban támadássorozat - során legalább 119 weboldalra sikerült bankkártyaadatokat lopó kódot elhelyezni, két vállalattól pedig több mint 600 ezer érvényes bankkártya adatai kerültek a támadóhoz. A támadássorozatot a Gambit kiberbiztonsági vállalat kutatói tárták fel. Vizsgálatuk szerint a művelet legalább 2026 júliusa óta zajlott, és szeptember 22-én, a kutatás közzétételekor még mindig aktív volt, írja a Bleeping Computer. Szeptember 10. és 15. között mindössze öt nap alatt 105 támadási hullámot indítottak, és legalább 27 szervezet rendszerébe sikerült valamilyen módon bejutni.

A támadás különlegessége nem egyszerűen az volt, hogy a hacker mesterséges intelligenciát használt. A művelet jelentős részét olyan nyílt forrású AI-ügynökökre bízta, amelyek képesek voltak önállóan végrehajtani a rájuk bízott feladatokat. Három különböző rendszert vetettek be:

• A Strix a lehetséges célpontokat vizsgálta át és biztonsági réseket keresett. 
• A Cairn már ezek kihasználásával próbált hozzáférést szerezni a kiszemelt rendszerekhez. 
• A Hermes pedig egyfajta irányító szerepet töltött be: összehangolta a műveletet, további feladatokat végzett el a sikeres behatolások után, és arról is képes volt önállóan dönteni, hogy mi legyen a támadás következő lépése.

Ez fontos különbség ahhoz képest, amikor valaki egyszerűen egy chatbot segítségét kéri egy kibertámadáshoz. Ebben az esetben a támadónak nem kellett minden egyes műveletet kézzel elvégeznie. Meghatározhatta a célt, az AI-ügynökök pedig a feladat egy részét már önállóan hajtották végre.

A támadások egyik legfontosabb célja olyan rosszindulatú kódok elhelyezése volt, amelyek például egy webáruház fizetési oldalába beépülve képesek megszerezni a vásárlók által beírt bankkártyaadatokat. A rosszindulatú programkódot többféle módszerrel juttatták be a weboldalakba. A támadók JavaScript-fájlokat és fizetési oldalakat módosítottak, gyorsítótárakat és felhőben tárolt tartalmakat változtattak meg. Egyes esetekben még arról is gondoskodtak, hogy ha a kártékony kódot eltávolítják, az automatikusan visszakerüljön az oldalra.

A Gambit legalább 119 olyan weboldalt azonosított, amelyre sikerült ilyen bankkártyaadatokat lopó kódot elhelyezni. A célpontok között nagyvállalatok is voltak: a kutatók beszámolója szerint érintett volt többek között egy Fortune 500-as vendéglátóipari vállalat, egy nagy amerikai légitársaság és egy jelentős ipari beszállító is.

Két megtámadott vállalattól összesen több mint 600 ezer érvényes, még le nem járt bankkártya adatai kerültek a támadóhoz. A Gambit szerint az érintett kártyák mintegy 79 százaléka amerikai kártyabirtokosokhoz tartozott.

A történet egyik legérdekesebb része, hogy az AI használata mennyire olcsóvá tette a nagyszámú célpont átvizsgálását. A kutatók egy, a mesterségesintelligencia-modellek használatához kapcsolódó fiókban körülbelül 7000 dollárnyi költést találtak négy hét alatt, a teljes művelet AI-költségét pedig 12–18 ezer dollárra becsülték. A részletesen megvizsgált esetek alapján egyetlen célpont AI-val történő átvizsgálása átlagosan mindössze 25,46 dollárba került. A legolcsóbb esetben 3,13 dollárt, a legdrágábban pedig 79,31 dollárt emésztett fel a mesterséges intelligencia használata.

Komoly változás jelentenek tehát az AI-ügynökök a kiberbűnözésben. Rengeteg olyan munkát képesek automatizálni, amelyet korábban embereknek kellett elvégezniük. Egy támadó így ugyanannyi idő alatt jóval több weboldalt vizsgálhat át, keresheti meg rajtuk a biztonsági réseket, majd próbálhatja kihasználni azokat. A Gambit által feltárt eset pedig azt mutatja, hogy ez már nem pusztán elméleti veszély.