Według badaczy Gambit kampania prowadzona od lipca 2026 roku przy użyciu autonomicznych agentów AI doprowadziła do kradzieży co najmniej 600 tysięcy rekordów płatności i jest nadal aktywna. Podano, że atakujący przejęli wiele witryn detalicznych przy użyciu trzech frameworków AI, osiągając średni koszt 25 dolarów na cel.
Według oświadczenia firmy zajmującej się bezpieczeństwem Gambit, kampania kart skimmingu (kopiowania danych płatniczych) prowadzona od lipca 2026 roku przy użyciu autonomicznych agentów AI, wymierzona w wiele witryn detalicznych na całym świecie, doprowadziła do kradzieży co najmniej 600 tysięcy rekordów płatności. Zgodnie z komunikatem firmy atak jest nadal aktywny, a w ramach kampanii trwają ataki na strony internetowe.
Badacze zdołali odtworzyć sposób działania kampanii, przejmując serwer przygotowawczy (staging) używany przez atakujących. Podano, że skimmery na stronach ofiar były widoczne na żywo, a na serwerze analizowano zapisy oraz dane należące do agentów AI. Według Gambit w pięciodniowym okresie od 10 do 15 września agenci przeprowadzili 105 fal ataków i przejęli 27 organizacji na „różnych poziomach”.
Wśród ofiar są duże firmy
Zgodnie z oświadczeniem Gambit wśród poszkodowanych znajduje się firma hotelarska z listy Fortune 500, „duże” amerykańskie linie lotnicze, duży prywatny dystrybutor materiałów przemysłowych oraz amerykański internetowy sprzedawca detaliczny mody. Podano, że jedno z narzędzi AI utworzyło listę celów, korzystając z usługi rankingowej witryn internetowych, i skupiło się przede wszystkim na stronach korzystających z niestandardowego oprogramowania.
Koszt na cel wynosi kilka dolarów
Badacze oceniają, że atakujący to chińscy aktorzy zagrożenia dążący do korzyści finansowych. Zgodnie z komunikatem firmy atakujący używają trzech „harnessów” (frameworków) AI, które mogą autonomicznie przeprowadzić niemal cały łańcuch ataku, i obierają za cel około 10 firm dziennie.
Podano, że w ciągu czterech tygodni wydano około 7 tysięcy dolarów, a całkowity koszt operacji do tej pory nie przekroczył 18 tysięcy dolarów. Według liczb przekazanych przez Gambit oznacza to średnio 25,46 dolara na cel; 3,13 dolara dla najtańszego celu i 79,31 dolara dla najdroższego. Badacze zauważyli, że w przypadkach uzyskania dostępu zwykle zajmowało to mniej niż dzień, a w większości przypadków tylko kilka godzin.
Zgodnie z oświadczeniem w playbooku atakujących znajdują się również instrukcje, które w wyniku uruchomienia przez agenta procedur usuwania lub czyszczenia danych mogą zakłócić działalność firmy, co rzeczywiście miało miejsce w niektórych naruszeniach.
Trzy frameworki AI: Strix, Cairn i Hermes
Trzy harnessy używane w kampanii noszą nazwy Strix, Cairn i Hermes. Zgodnie z oświadczeniem Gambit Hermes to open source’owy autonomiczny agent AI z trwałą pamięcią, posiadający własne, tworzone i edytowane umiejętności, przechowujący poprzednie sesje w przeszukiwalnym archiwum i mogący wykonywać zaplanowane zadania.
Podano, że na zbadanym serwerze Hermes załadował chińską personę systemową o nazwie „SOUL - Red Team Operator”, zawierającą 121 umiejętności (78 umiejętności ofensywnych). Według firmy Hermes używał modelu opus-4.6 firmy Anthropic, ponieważ nowsze modele odrzucały żądania; w 260 sesjach ludzie napisali 1951 promptów, a na cel przypadało zaledwie kilka promptów. Podano, że prompty te to zazwyczaj krótkie chińskie instrukcje inicjujące atak, określające następny krok agenta lub mówiące, co zrobić po uzyskaniu dostępu.
Strix jest opisany jako open source’owe narzędzie AI do testów penetracyjnych, a Cairn jako autonomiczny silnik testów penetracyjnych. Zgodnie z oświadczeniem Gambit Cairn przyjmuje docelowe nazwy domen i cel, taki jak uzyskanie dostępu do powłoki lub uprawnień administratora, i działa godzinami, aż osiągnie ten cel, przekroczy limit czasu lub zostanie zatrzymany; narzędzie to używało modelu DeepSeek v4.1 Flash.
Apel badaczy o obronę
Badacze Gambit podkreślili, że kampania jest bardzo niskokosztowa i osiągnęła poziom cierpliwości, wytrwałości i kreatywności, którego „większość ludzkich atakujących prawdopodobnie nie byłaby w stanie utrzymać”.
Firma zaapelowała do organizacji, aby dostosowały się do rzeczywistości, w której ataki stały się wyraźnie szybsze i bardziej kompleksowe. W tym celu zasugerowano przyjęcie podejścia stawiającego na pierwszym miejscu odporność oraz wdrożenie infrastruktury bezpieczeństwa, która nadąży za tempem AI. Podano, że większość poszkodowanych organizacji została powiadomiona, a skimmery usunięto.
