Onderzoekers van Symantec zeggen dat ze een offensieve AI-agent hebben ontdekt die is ontworpen om blootgestelde taalmodellen over te nemen en die in te zetten om cyberaanvallen te coördineren. De beheerders noemden de modus voor langdurige taken ‘Skynet mode’: de prompt gaf toestemming voor maximaal 100.000 stappen zonder menselijke bevestiging.
Het plan was om een model te laten zoeken naar andere blootgestelde AI-diensten, kwetsbare servers te misbruiken, databases en inloggegevens te stelen en software te installeren die cryptovaluta delft. Als er misbruik werd gemaakt van een betaald AI-account, kon de eigenaar bovendien opdraaien voor de gebruikskosten van het model, aldus Symantec.
Een prompt die weigeringen moest omzeilen
De aanvallers stuurden hun volledige prompt naar een honeypot van Symantec: een loksysteem dat een blootgestelde AI-dienst nabootst. De prompt bevatte vijf lagen die een commercieel model moesten laten meewerken: een verzonnen identiteit, instructies om diefstal van inloggegevens als gewoon ontwikkelaarswerk te behandelen, een fictief persona als metgezel en aanwijzingen om veiligheidswaarschuwingen te negeren. De vijfde laag bevatte 74 modules met aanvalstools.
De prompt beschreef een terugkerende cyclus van servers scannen en infecteren, een cryptominer installeren en terugkeren naar eerder aangevallen systemen. Symantec registreerde ook een afzonderlijk, verhuld commando dat XMRig — een Monero-miningtool — zou downloaden en servers met camera’s via go2rtc als doelwit zou nemen.
Wat de honeypot wel en niet aantoonde
Het loksysteem voerde de meegeleverde tools of het latere commando niet uit, maar legde ze alleen vast. Volgens Symantec was de geregistreerde taak een onschuldige programmeeroefening, wat erop wijst dat de beheerders de agent mogelijk op een veilig doelwit testten. Uit de analyse blijkt niet of de gelaagde prompt de beveiliging van huidige commerciële modellen betrouwbaar kan omzeilen, noch dat deze agent een aanval heeft voltooid.
Waarom het ertoe doet
Organisaties die AI-diensten aan het internet blootstellen, hebben concrete reden om die endpoints te beveiligen: Symantec registreerde scans en pogingen om blootgestelde modellen te gebruiken. Volgens het bedrijf kan de eigenaar bovendien opdraaien voor ongeoorloofd gebruik. De honeypot legde echter alleen het aanvalsmateriaal vast; het is nog onduidelijk of deze agent commerciële modellen het volledige plan kan laten uitvoeren.
