Chińscy hakerzy używają AI do ataków na 200 organizacji

Chińska grupa hakerska określana przez badaczy z CrowdStrike jako Vapor Panda przeprowadziła zakrojoną na szeroką skalę kampanię cyberszpiegowską, w której kluczową rolę odegrały autonomiczne agenty sztucznej inteligencji. Operacja, rozpoczęta 17 października, objęła ponad 200 podmiotów w 14 państwach - od resortów rządowych, przez operatorów telekomunikacyjnych, aż po przedsiębiorstwa z sektorów farmaceutycznego, półprzewodników, obronności, energetyki jądrowej i finansów.

To, co wyróżnia ten incydent na tle wcześniejszych działań, to skala automatyzacji. Jak podkreślają specjaliści CrowdStrike, mamy do czynienia z jakościowym skokiem - przejściem od pojedynczych włamań do wielu równoległych operacji nadzorowanych przez jednego człowieka. Wykorzystanym narzędziem był ARTEX - otwartoźródłowy framework do testów penetracyjnych oparty na architekturze multi-agentowej.

Jak przebiegała operacja Vapor Panda

Według ustaleń CrowdStrike napastnicy zdołali przejąć kontrolę nad co najmniej dziewięcioma organizacjami. Wobec kolejnych dwunastu podmiotów o wysokim priorytecie prowadzono działania rozpoznawcze oraz ataki typu password spraying, polegające na próbach logowania z użyciem popularnych haseł do wielu kont jednocześnie.

Potwierdzone ofiary to między innymi operatorzy telekomunikacyjni ze Stanów Zjednoczonych i Belgii, instytucje rządowe z Grecji, Bliskiego Wschodu i Ameryki Łacińskiej oraz amerykańskie koncerny farmaceutyczne. W przypadku greckiego podmiotu publicznego agenty AI miały sfałszować token administratora i uzyskać dostęp do skrzynek pocztowych, wykorzystując klucze uwierzytelniające pochodzące z eksportu katalogu serwera pocztowego z 2022 roku.

Rola modeli językowych w koordynacji ataku

Poza frameworkiem ARTEX operatorzy sięgnęli po DeepSeek oraz drugi, niezidentyfikowany komercyjny model językowy. Narzędzia te odpowiadały za planowanie oraz koordynację działań agentów wykonawczych w ramach wielu równoczesnych intrusion. Instrukcje wydawano w języku chińskim, a ludzki operator interweniował wyłącznie w punktach wymagających krytycznych decyzji.

Zakres zadań realizowanych przez agenty obejmował pełne spektrum działań ofensywnych: rekonesans, eksploatację podatności, wdrażanie web shelli, pozyskiwanie danych uwierzytelniających oraz poszukiwanie alternatywnych ścieżek ataku w sytuacjach blokady. Co istotne, napastnicy wydali agentom wyraźne polecenie pomijania maszyn z systemem Windows chronionych przez Falcon - rozwiązanie CrowdStrike do ochrony punktów końcowych - i koncentracji na hostach pozbawionych zabezpieczeń.

Skala zaangażowania zasobów modeli okazuje się przy tym ogromna. W jednym z włamań agenty AI miały zużyć ponad 1,4 miliarda tokenów wejściowych - parametr obrazujący zarówno intensywność, jak i koszt prowadzonych działań. Badacze odnotowali również wykorzystanie backdoora BLOODALCHEMY, aktywnego od 2023 roku, wymierzonego w podmioty rządowe w Ameryce Łacińskiej i na Bliskim Wschodzie.

ARTEX - narzędzie stworzone do testów, użyte do ataków

Framework ARTEX powstał jako otwartoźródłowy projekt chińskich deweloperów, przeznaczony do legalnego testowania bezpieczeństwa systemów. Sytuacja zmieniła się jednak po tym, gdy narzędzie zaczęto wykorzystywać w rzeczywistych atakach - w tym w kampanii przeciwko południowokoreańskim instytucjom finansowym. W odpowiedzi twórcy zdecydowali się zamknąć kod i przejść na model własnościowy.

Historia ta dobrze ilustruje szerszy problem związany z dostępnością zaawansowanych narzędzi AI w rękach niepowołanych osób. To, co miało służyć poprawie bezpieczeństwa, stosunkowo szybko zostało zaadaptowane do celów przestępczych - a bariera wejścia okazała się niższa, niż mogłoby się wydawać.

Holenderski incydent pokazuje autonomię agentów

Osobny, równie niepokojący przypadek ujawnił Dutch Institute for Vulnerability Disclosure (DIVD). Instytucja ta padła ofiarą ataku we wrześniu 2026 roku, który - jak wynika z najnowszych ustaleń - został przeprowadzony właśnie z użyciem ARTEX AI działającego w trybie autonomicznym.

Przebieg zdarzenia budzi szczególny niepokój ze względu na tempo. Według komunikatu DIVD opublikowanego w serwisie LinkedIn, agenty przejść miały od uzyskania początkowego dostępu do pełnych uprawnień roota w zaledwie 12 minut. Wykorzystano w tym celu łańcuch dwóch podatności zero-day: luki w systemie Zammad oraz drugiej, umożliwiającej lokalną eskalację przywilejów.

Agent prowadził wiele zadań jednocześnie - czytał zawartość przejętej skrzynki mailowej, skanował sieć wewnętrzną, wyodrębniał tokeny logowania i podejmował próby resetowania haseł. Instytucja odnotowała ponad 450 tysięcy żądań oraz 2,5 tysiąca skryptów powiązanych z incydentem, opisując całą aktywność jako wyjątkowo hałaśliwą i chaotyczną.

Co to oznacza dla bezpieczeństwa organizacji

Opisane przypadki układają się w wyraźny wzorzec: sztuczna inteligencja przestaje być jedynie narzędziem wspomagającym, a staje się samodzielnym wykonawcą operacji ofensywnych. Multi-agentowe frameworki pozwalają na prowadzenie wielu równoległych działań przy minimalnym udziale człowieka, a modele językowe odpowiadają za planowanie i adaptację do zmieniających się warunków.

Dla organizacji płyną z tego konkretne wnioski. Po pierwsze, ochrona punktów końcowych przestaje wystarczać, jeśli napastnicy mogą precyzyjnie omijać chronione hosty i kierować ataki na słabiej zabezpieczone zasoby. Po drugie, szybkość działania agentów - mierzona minutami, a nie godzinami - radykalnie skraca okno reakcji dla zespołów bezpieczeństwa. Po trzecie wreszcie, dostępność otwartoźródłowych narzędzi ofensywnych w połączeniu z komercyjnymi modelami AI obniża próg wejścia dla mniej zaawansowanych aktorów.

Badacze CrowdStrike zwracają uwagę, że kampania Vapor Panda wyznacza nowy etap w ewolucji zagrożeń ze strony podmiotów powiązanych z Chinami. To już nie pojedyncze, ręcznie prowadzone włamania, lecz zautomatyzowane, równoległe operacje, w których człowiek pełni rolę nadzorcy, a nie wykonawcy. Czy w nadchodzących miesiącach zobaczymy kolejne grupy sięgające po podobne metody? Wszystko wskazuje na to, że pytanie brzmi nie "czy", lecz "kiedy".