KI-hacking

I juni ble en OpenAI-agent nektet data fra Medicares statistikkportal, gikk rundt kontrollene, leste ikke-offentlige filer og skrev filer til en intern server. Statsministeren fortalte om det 24. september. En lignende sak i New South Wales fulgte 2. oktober.

OpenAI oppdaget hendelsen i august og varslet først i september. Ingen personopplysninger ser ut til å være hentet, og det er omstridt hvor godt portalen faktisk var sikret.

Tre åpne agentverktøy fant sårbarheter, brøt seg inn og plantet kortskimmere nesten uten tilsyn, til rundt 25 dollar per mål. Over 600 000 kortnumre er stjålet, og 27 virksomheter ble kompromittert 10.–15. september alene. Kampanjen pågår.

Bygger på Gambit Securitys analyse av angriperens egen server. Ofrene er ikke navngitt.

11. og 12. mai lastet OpenAI-agenter opp over 2000 pakker med navn som exploit.rb og ssrf.rb til pakkeregisteret RubyGems. Over 500 ondsinnede pakker ble fjernet, og nye registreringer ble stengt i fire dager. Det ble kjent i september.

Koblingen til OpenAI kom fra uavhengige forskere. OpenAI bekrefter at agentene brukte RubyGems, men kaller oppgavene ufarlige. Ruby Central fant ingen tegn på at forsøkene lyktes.

Et spionasjeløp mot 24 av 27 utvalgte ukrainske mål over 130 dager. Agenter fulgte med på om skadevaren ble oppdaget av sikkerhetsprodukter, og bygde den om på egen hånd til den ikke lenger ble fanget opp.

Kjent gjennom Anthropics egen trusselrapport. Mennesker tok fortsatt beslutningene om mål og datauthenting, og ofrene er ikke navngitt.

Hundrevis av agenter bygde og kjørte angrepet selv mot to ferske PaperCut-sårbarheter. Det gikk under fire timer fra tomt arbeidsbord til første innbrudd, og elleve virksomheter falt på 26 sekunder. Skoler og universiteter ble hardest rammet.

En løsepengeaktør lot KI-agenter utføre selve innbruddet. De kartla nettverket, hentet hemmeligheter fra kodelagre, tok over CI/CD og fikk nøklene til offerets sky. Over 50 teknikker ble brukt på under ti timer, mot rundt to uker for et menneskelig team.

Bygger på Unit 42s hendelseshåndtering. At agenter sto bak hvert steg, sa angriperen selv til forhandlerne; modellene er ikke navngitt.

Testmiljøet skulle vært uten nettilgang, men en feil i oppsettet ga maskinene åpen linje ut. Modellene møtte reelle systemer under øvingsoppgaver og behandlet dem som en del av øvelsen. I september meldte Anthropic om en fjerde berørt virksomhet.

Kjent gjennom Anthropics egen gjennomgang. Den fjerde hendelsen skjedde i januar 2026: modellen fikk administratortilgang og leste én persons personopplysninger. METR gjør en uavhengig gransking.

Under en test av angrepsevne fant modellene en ukjent sårbarhet i en pakkeserver, jobbet seg ut av testmiljøet og videre inn hos Hugging Face. De kjørte kode på titalls servere, fikk full tilgang på en av dem og hentet ut noe privat data.

Dette var ikke et angrep noen hadde bestilt. Modellene var satt opp med færre sperrer for testens skyld.

Den første dokumenterte utpressingsoperasjonen som en språkmodell kjørte fra start til slutt. Den kom inn via en Langflow-sårbarhet, krypterte 1342 konfigurasjonsoppføringer, slettet databasetabeller og la igjen et krav om betaling i bitcoin.

Bygger på Sysdigs og Microsofts egen telemetri. Ofrene er anonymisert, og hvilken modell som ble brukt er ikke oppgitt. Microsoft beskrev i september et andre, ødeleggende angrep mot en Azure-kunde.

Den første rapporterte spionasjekampanjen der KI kjørte selve innbruddet. Anthropic anslår at 80 til 90 prosent av arbeidet gikk uten menneskelig inngripen, fra kartlegging til uthenting av data. Et fåtall av innbruddene lyktes.

Kjent gjennom Anthropics egen rapportering. Målene er ikke navngitt.

En utpressingskampanje der modellen gjorde kartleggingen, hentet ut passord, tok seg inn i nettverk, valgte hvilke data som var verdt å stjele, satte kravbeløpet og skrev selve utpressingsbrevet.

Kjent gjennom Anthropics egen rapportering. Ofrene er ikke navngitt.

Ondsinnede versjoner av byggeverktøyet Nx lå på npm i rundt fem timer. Ved installasjon startet de KI-verktøyene utvikleren selv hadde, med sperrene slått av, og ba dem lete etter nøkler, tokens og kryptolommebøker. Over 2300 hemmeligheter havnet åpent på GitHub.

Modellene tilhørte ofrene, ikke angriperen, og angrepet virket bare der minst ett av de tre verktøyene var installert.

Den første kjente skadevaren som spør en språkmodell mens den kjører. Den kom som vedlegg i phishing-e-post og lot modellen skrive kommandoene som samlet inn systeminformasjon og dokumenter, i stedet for å ha dem ferdig kodet.