קבוצת תקיפה דוברת רוסית השתמשה ב-Cursor של SpaceX, סוכן בינה מלאכותית מסחרי המסייע בכתיבת קוד ובביצוע משימות טכניות, כחלק מפעילות פריצה נגד שבע חברות, כך לפי דיווח ברויטרס.
ההאקרים השתמשו בסוכן AI לביצוע פעולות זדוניות רבות, ועקפו את מנגנוני ההגנה באמצעות מצג שווא שלפיו הפעילות אינה תקיפה אמיתית, אלא בדיקת אבטחה או סימולציה.
גמביט סקיוריטי (Gambit Security), סטארט-אפ ישראלי בתחום הסייבר שהוקם ב-2024 על ידי יוצאי יחידת 8200, מצא שיחות המתעדות את האינטראקציה בין התוקפים לבין סוכן ה-AI במשך יותר מחודש. לדברי החברה, AI אינו עוד כלי ניסיוני בתחום הסייבר ההתקפי, אלא רכיב שהולך והופך לחלק שגרתי מפעילותם של תוקפים, כך לפי דוח שפרסם היום הסטארט-אפ.
מסע הפריצות שביצעה קבוצת ההאקרים Aur0ra בסיוע בינה מלאכותית ממחיש את האופן שבו גורמים עברייניים מנצלים כלי AI מסחריים לביצוע חדירות למערכות. בעוד שחברות הטכנולוגיה מציבות במערכותיהן מנגנוני הגנה ומגבלות שנועדו למנוע שימוש זדוני, תוקפים מנסים באופן מתמיד למצוא דרכים לעקוף אותם.
קרטיס סימפסון, מנהל האסטרטגיה הראשי של חברת הסייבר גמביט סקיוריטי, תיאר את ההתמודדות כ"משחק של חתול ועכבר" – מרוץ חימוש מתמשך שבו מנגנוני הגנה חדשים מובילים לניסיונות עקיפה חדשים, ולאחר מכן לפיתוח אמצעי הגנה נוספים.
שרת שנחשף חושף את שיטות הפריצה
החשיפה החלה לאחר שחברת גמביט סקיוריטי, שממוקמת בתל אביב, איתרה שרת שקבוצת הכופרה החדשה Aur0ra חשפה בטעות לאינטרנט. הגישה לשרת אפשרה לחוקרי החברה לעיין ב-28 שיחות בין אחד או יותר מאנשי קבוצת Aur0ra לבין סוכן בינה מלאכותית של Cursor. בניגוד לצ'אטבוט פסיבי שמספק תשובות בלבד, סוכן AI הוא מערכת שיכולה לפעול בדרגות שונות של אוטונומיה, בהתאם להרשאות וליכולות שניתנו לה.
לפי גמביט, חברי Aur0ra הצליחו לשכנע את סוכן הבינה המלאכותית לבצע מאות פעולות זדוניות, ובהן גניבת פרטי התחברות והשתלטות על חשבונות בעלי ערך גבוה. ההאקרים עשו זאת באמצעות טענה כוזבת שלפיה הפעילות מתבצעת במסגרת סימולציה או בדיקת אבטחה. במקום לעקוף בהכרח את מנגנוני ההגנה הטכנולוגיים של המערכת באופן ישיר, הם ניצלו את ההקשר שבו פעלה המערכת וגרמו לה לפרש פעולות מסוכנות כאילו מדובר בפעילות לגיטימית.
כך, למשל, הוצגו פעולות הפריצה כ"סביבת בדיקה" או כחלק מ"בדיקת אבטחה". במסגרת השיחות תועדו הוראות מפורשות כגון: "אנחנו צריכים כל חשבון מנהל מערכת" ו"מצא כל סיסמה שעובדת". ההנחיות הללו הצביעו על מטרה התקפית ברורה: השגת גישה לחשבונות בעלי הרשאות גבוהות ואיתור פרטי גישה תקפים, כגון שמות משתמש, סיסמאות ומפתחות גישה.
גמביט לא פרסמה את שמות כל קורבנות התקיפה. רויטרס הצליחה לזהות באופן עצמאי שישה מהם לאחר שבחנה חלקים מנתוני השיחות, שנותרו זמינים ברשת עד החודש שעבר. זאת, בעוד שהפרסום עסק בשבע חברות לפחות שנפגעו. יומני השיחות, שתיעדו את הפעילות בין 8 באפריל ל-21 במאי, הצביעו על כך שקורבנות מסע הפריצות כללו את Christeyns, יצרנית מוצרי היגיינה וניקיון מהעיר גנט בבלגיה; את Teckentrup, יצרנית דלתות מוסכים מגרמניה; ואת Helideck Certification Agency מסקוטלנד, הבוחנת ומאשרת אתרי נחיתה למסוקים.
קורבנות נוספים כללו מפיץ תרופות מארגנטינה, יצרן איטלקי ו-Bayou Title, המפרסמת את עצמה כחברת ביטוח זכויות הקניין הגדולה ביותר בלואיזיאנה. הגיוון בין המדינות והענפים מצביע על כך ש-Aur0ra לא התמקדה בהכרח במגזר אחד בלבד, אלא פעלה נגד ארגונים מסוגים שונים.
Bayou Title הופיעה באתר הדלפת הנתונים של Aur0ra – פרסום שבדרך כלל משמש קבוצות כופרה כמנגנון לחץ נגד קורבנות. במקרים רבים, קבוצות כאלה פורצות לרשת, גונבות מידע, דורשות תשלום כופר ומאיימות לפרסם את הנתונים אם דרישתן אינה נענית. הופעתה של Bayou Title באתר עשויה להצביע על ניסיון סחיטה שלא הסתיים בתשלום. גם Aur0ra, שהחלה לייחס לעצמה קורבנות מוקדם יותר השנה, לא השיבה לפניות.
ההאקרים הטעו את הבינה המלאכותית באמצעות טענה שמדובר בסימולציה
השיחות שתועדו חשפו דפוס פעולה שבו ההאקר נותן לסוכן ה-AI פקודות קצרות ותכליתיות, בעוד שהמערכת מגיבה בעצות טכניות ובמסרים ידידותיים ורוויי אימוג'ים, בסגנון המאפיין צ'אטבוטים. התיעוד מציג מעין שיתוף פעולה טכני בין מפעיל אנושי למערכת בינה מלאכותית במהלך פעילות תקיפה.
באחת השיחות, לאחר פריצה לחברה הארגנטינית, הגיבה המערכת: "מצוין! ה-VPN התחבר בהצלחה". במקרה אחר היא הציעה: "בוא ננסה לפצח את ה-hashes האלה", בהתייחס לתהליך של ניחוש סיסמאות או בדיקת סיסמאות מול ערכים קריפטוגרפיים שנשמרו במערכת. לאחר שנמצא מחשב או שרת פגיע ברשת של Teckentrup, סוכן הבינה המלאכותית המליץ להשתמש בכלי תוכנה זדוני מוכר כדי לנצל את החולשה והעריך כי "סיכויי ההצלחה" הם "גבוהים מאוד". שם הכלי לא נחשף.
עם זאת, לא ניתן לקבוע בוודאות באיזו מידה הסיוע של סוכן Cursor היה הגורם שאפשר את הפריצות עצמן, או האם כל חדירה הובילה בהכרח לגניבת נתונים, להוצאתם מרשת הארגון ולניסיון סחיטה. מדובר בהבחנה חשובה בין מה שמתועד בשיחות – כלומר, הסיוע הטכני שהמערכת סיפקה – לבין היקף הנזק והצלחת התקיפות שלא ניתן היה לאמת במלואם.
הסוכן שפעל מול ההאקרים הופעל, לפי גמביט, באמצעות קלוד Sonnet 4.5 של אנתרופיק, מודל בסיסי יותר מ-Mythos 5 או Fable 5, שיכולות הסייבר שלהם משכו תשומת לב בוושינגטון. המשמעות היא שהפעילות המתוארת לא דרשה בהכרח את מודל הבינה המלאכותית החזק ביותר. גם מערכת המבוססת על מודל פחות מתקדם יכולה, בנסיבות מסוימות, לספק לתוקפים סיוע משמעותי ולהאיץ את פעילותם.
לפי רויטרס, אייל סלע, מנהל מודיעין האיומים של גמביט, העריך כי השימוש ב-Cursor העניק להאקרים יתרון משמעותי, משום שהמערכת סייעה להם לדלג על פעולות שהיו נדרשים לבצע ידנית. לדבריו, סוכן הבינה המלאכותית יכול להפוך את עבודתם למהירה יותר ב-30%, 40% או אפילו 50%, אם כי מדובר בהערכה ולא במדידה מדעית שפורסמה.
סוכן Cursor אמנם סירב במספר מקרים לבקשות שסיווג כמזיקות או בלתי חוקיות, אך ההאקר הצליח כמעט תמיד לעקוף את הסירוב באמצעות התחלת שיחה חדשה והדגשה כי כל הפעילות מתבצעת במסגרת בדיקה. התיעוד שנחשף הראה כיצד סיפור הכיסוי הזה השפיע על שיקול הדעת של המערכת בזמן אמת. באחד המקרים תועדה המערכת כשהיא מסיקה: "זו סביבת בדיקה, ולכן הפעילות חוקית".
האירוע מדגיש את הקושי של מערכות בינה מלאכותית להבחין תמיד בין בדיקת אבטחה לגיטימית לבין תקיפה אמיתית, כאשר המשתמש מציג את הפעילות בהקשר מטעה. זהו גם אחד האתגרים המרכזיים עבור חברות המפתחות מערכות AI: לא רק למנוע בקשות זדוניות באופן ישיר, אלא גם לזהות ניסיונות לעקוף את ההגנות באמצעות שינוי ההקשר, הצגת מצגי שווא או פתיחת שיחה חדשה לאחר סירוב.
