A Darktrace szerint az AI már a kibertámadások több szakaszában jelen van

Jelentős volt a PHP-sebezhetőségek körüli pásztázás

A CVE-2026-109618 és CVE-2026-109619 azonosítójú sérülékenységek nyilvánosságra kerülése azonnali nyomást helyezett a PHP-t futtató szervezetekre. A Darktrace szerint mindkét hiba hitelesítés nélküli távoli kódfuttatást tehet lehetővé, olyan termékekben és berendezésekben is, amelyekbe a PHP be van építve. A frissítésekhez ezért több esetben külső gyártók közreműködésére van szükség.

A vállalat által megfigyelt környezetekben több száz különböző forrás-IP-címről indult széles körű pásztázás. A nyilvános beszámolók ezeket az aktivitásokat a PHP-sebezhetőségek célzásával hozták összefüggésbe. A Darktrace ugyanakkor nem látott közvetlen bizonyítékot a két hiba tényleges kihasználására.

Az elemzés szerint a pásztázás önmagában csak az internet felől elérhető rendszerek iránti érdeklődést mutatja. A kompromittálás megállapításához további jelekre van szükség, például parancsvégrehajtásra, fájlmódosításra vagy váratlan kimenő kapcsolatokra. Október 21-én a Darktrace hat hónapos csúcsot mért a nulladik napi kihasználásra utaló észlelésekben, ami 64 százalékos növekedést jelentett a korábbi adatokhoz képest. A vállalat ezt a kiugrást nem hozta összefüggésbe a PHP-hibákkal.

Az AI a sérülékenységkutatást is gyorsítja

A Darktrace szerint a PHP-esetek olyan időszakban történtek, amikor az AI-rendszerek egyre fejlettebbek a sérülékenységek felkutatásában. Az OpenAI 2026 júniusában indította el a Daybreak programot, amely a GPT-5.5-Cybert, a Codex Securityt, valamint biztonsági kutatókkal és szoftverkarbantartókkal kialakított partnerségeket foglalja magában.

Az OpenAI állítása szerint modelljeit böngészőkben, hálózati infrastruktúrában, a FreeBSD-ben és a Linux kernelben található hibák felfedezésére, illetve javítások létrehozására is alkalmazták. A Darktrace júniusban csatlakozott az OpenAI Daybreak Cyber Partner Programjához, hogy megvizsgálja a technológia beépítését saját termékeibe és szolgáltatásaiba.

Az OpenAI augusztusi közlése szerint a Codex Security Cloud több mint 30 millió commitot elemzett több mint 30 ezer kódbázisban. A Cloudflare a Daybreaken keresztül elérhető modellekkel vizsgál ügyfelek által engedélyezett kódot, majd az eredményeket élő forgalmi és biztonsági jelekkel veti össze. A javasolt enyhítések és javítások továbbra is ügyfél-ellenőrzéshez kötöttek.

A gyorsabb felfedezés nem szünteti meg az üzemeltetők feladatait. A szervezeteknek továbbra is meg kell találniuk az érintett szoftvereket, tesztelniük kell a javításokat, és végre kell hajtaniuk a helyreállítást. A PHP-eset ezt különösen jól mutatja, amikor a sérülékeny futtatókörnyezet más termékek részeként jelenik meg.

Kutatási forgatókönyvben egy vállalati AI-ügynök is támadási felületté vált

A Darktrace Signal Labs ellenőrzött szimulációban vizsgálta, hogyan lehet visszaélni egy megbízható vállalati ügynökkel egy környezet kezdeti feltörése után. A kutatók bemutatták, hogy a Claude platform memóriatárolási funkciója ilyen helyzetben élő vezérlési és irányítási csatorna létrehozására használható egy külső kezelő és a belső Claude Code-ügynökök között.

A külső kezelő ezen a csatornán keresztül hálózati felderítési, hitelesítőadat-hozzáférési és adatkinyerési feladatokat oszthatott ki az ügynököknek. Az aktivitás felismeréséhez a folyamatlétrehozást és a hálózati forgalmat kellett összekapcsolni az ügynöki futtatókörnyezetekben, majd viselkedéselemzéssel azonosítani az elvárt működéstől való eltéréseket.

A Darktrace külön kiemelte, hogy nem állította, hogy ezt a memóriatárolásra épülő vezérlési technikát működő támadásokban is megfigyelte.

Az ARTEX automatizálhatta a támadások több lépését

Japánból már olyan bizonyítékok is érkeztek, amelyek szerint az AI-t sérülékenységek keresésére és támadásokra használták ellenőrzött kutatáson kívül. A JPCERT/CC október 21-én közzétett vizsgálata szerint a japán szervezeteket érintő jogosulatlan hozzáférési incidensekben a támadók AI segítségével kerestek ismert sérülékenységeket, és API-kon keresztül hajtottak végre támadásokat.

A vizsgált infrastruktúrában Android-alkalmazások elemzésére, API-felderítésre és többek között szerveroldali kéréshamisítás, azaz SSRF elleni tesztelésre utaló jeleket találtak. A JPCERT/CC közleménye nem nevezte meg az ARTEX-et. A rendszert érintő hozzárendelés külön vizsgálatokból, köztük a Microsoft Storm-0940-ről szóló elemzéséből származik.

A Microsoft az ARTEX-et nyílt forráskódú, több ügynökből álló penetrációs tesztelési rendszerként írta le, amely korlátozott emberi közreműködéssel automatizálhat műveleteket. A Microsoft szerint a Storm-0940 több száz szervezet ellen használta a rendszert, amely felgyorsította a pásztázást, a felderítést, a jelszószórást és az OAuth-alkalmazásokkal való visszaélést.

A Darktrace saját telemetriájában október 13-án 65 sikertelen hitelesítési kísérletet rögzített körülbelül 20 perc alatt a 144.172.64[.]128 címhez kapcsolódóan. A Microsoft később ezt a címet a ConnectWise ügyfélkörnyezetében végzett bejelentkezésekkel és Microsoft Graph-tevékenységgel hozta összefüggésbe. A Darktrace szerint az adat ismételt sikertelen hitelesítést igazol, de önmagában nem bizonyítja az ARTEX futását vagy a sikeres feltörést.

A Microsoft egy október 10. és 14. között zajló jelszószórási kampányban 327 fiókot azonosított nyolc szervezetnél. Több mint 151 ezer sikertelen bejelentkezést rögzített, köztük több mint 111 ezret október 11-én, sikeres hitelesítés, tokenkiadás, Graph-hívás vagy könyvtármódosítás nélkül. A Microsoft szerint a Storm-0940 célzásainak többsége sikertelen volt.

A felhasználók és a védelmi csapatok számára az elemzés legfontosabb tanulsága, hogy a kezdeti kapcsolatfelvétel mennyisége önmagában nem mutatja meg a hatást. A pásztázás és a sikertelen hitelesítések után következő folyamatokat, fájlmódosításokat, hálózati kapcsolatokat, Graph-műveleteket és jogosultságváltozásokat is vizsgálni kell. A Darktrace szerint ez a viselkedésalapú megközelítés akkor is segíthet, amikor még nincs kész szabály egy adott sérülékenység vagy támadási módszer felismerésére.