Хакерите все по-често превръщат платформите за изкуствен интелект (ИИ) във входна врата към ценни корпоративни системи. Ново изследване на Microsoft показва, че незащитените ИИ шлюзове (AI gateways), инструменти за извличане на данни и услуги за автоматизация на работни процеси могат да осигурят на нападателите достъп до идентификационни данни за доставчици, бази данни, контейнерни среди и мощни изчислителни ресурси.

Активността обхваща три различни цели: LiteLLM, RAGFlow и Kestra. Въпреки че входните точки се различават, атакуващите следват познат модел за печелене на пари: кражба на тайни, запазване на достъпа и използване на компрометираните сървъри за копаене на криптовалута или други последващи злоупотреби.

Тези услуги сега действат като високостойностни контролни точки. Констатациите също така подчертават промяна в интереса на атакуващите.

В доклад, споделен с Cyber Security News (CSN), Microsoft заявява, че вместо да се насочват само към крайни потребители или конвенционални облачни сървъри, киберпрестъпниците проучват инфраструктурата, която свързва приложенията с големи езикови модели, бази данни и автоматизация.

За екипите по сигурност необяснимите скокове в консумацията на ИИ ресурси заслужават същата спешност, както внезапните сметки, наблюдавани при инциденти с кражба на ИИ токени (AI token jacking).

Хакери експлоатират ИИ инфраструктура

В случая с LiteLLM, Microsoft оценява с висока степен на увереност, че атакуващите вероятно са експлоатирали изложен публично шлюз чрез верига от уязвимости, включваща CVE-2026-42271 и CVE-2026-48710.

Първият злонамерен код е прочел средата на основния процес на контейнера и е потърсил API ключове, токени, пароли и подробности за бази данни. След това той е изпратил резултатите навън, използвайки различни инструменти, което дава на операторите резервни варианти, ако конкретен инструмент или изходящ маршрут бъде блокиран.

След това атакуващите са изтеглили ELF злонамерен код, поставили са го във временна директория и са го наименували така, че да наподобява нормална услуга на Linux. Те са проверили хоста, инспектирали са отворените портове, потърсили са конкурентни софтуери за копаене и са осъществили достъп до записите на LiteLLM в PostgreSQL.

Този модел повтаря по-ранни атаки срещу контейнерни среди, където изложените интерфейси за управление могат да се превърнат в пряк път за достъп до хоста.

В подобен случай, кампания за копаене чрез Docker крайни точки показа как извършителите на криптоджекинг крадат тайни, добавят механизми за достъп и премахват съперничещи програми за копаене след навлизане в облачна среда.

RAGFlow е станал обект на различна форма на злоупотреба. Microsoft наблюдава възможно сондиране на заявки от страна на сървъра (SSRF), последвано дни по-късно от изпълнение на код и скрит Python hook, добавен към конфигурационния път на езиковия модел в приложението.

Всеки път, когато администратор конфигурира доставчик, този hook може скрито да прихване API ключа, името на модела, типа на доставчика и информацията за крайната точка.

При инцидента с Kestra атакуващите вероятно са експлоатирали CVE-2026-49869 – критична уязвимост за заобикаляне на автентификацията, за да създадат злонамерен работен процес и да накарат изпълнителя (worker) да стартира shell команди.

Те са изследвали Docker сокета и данните за средата на контейнера, след което са изтеглили и стартирали XMRig, за да копаят Monero с помощта на процесора на жертвата.

Постоянното присъствие (persistence) прави всяко проникване по-трудно за отстраняване. Microsoft регистрира промени в SSH ключовете на сервизни акаунти, манипулиране на cron задачи, скрити временни релета, имена, наподобяващи легитимни услуги, цикли за рестартиране и задаване на атрибути за незаменяемост на файлове.

Промененият път за стартиране на RAGFlow може да презареди неговия hook за кражба на идентификационни данни при рестартиране на услугата, докато софтуерът за копаене в Kestra е бил стартиран така, че да оцелее след приключването на първоначалната shell сесия.

Незабавната реакция трябва да бъде отстраняване на уязвимостите в изложените ИИ услуги, подмяна на всички ключове, свързани с достъпен или компрометиран шлюз, и преглед на активността в базите данни и акаунтите на доставчиците.

Екипите трябва също така да търсят неочаквани shell или Python процеси, стартирани от ИИ приложения, особено когато те съвпадат с достъп до тайни, запис в приложни файлове или необичайни изходящи връзки. Microsoft препоръчва ИИ шлюзовете да се третират като хранилища за най-чувствителните тайни.

Организациите трябва да изискват автентификация за интерфейсите на приложенията и управлението, да държат административните портове извън публичния интернет, да използват отделни сервизни акаунти с ограничени права и да поставят базите данни зад частни, ограничителни мрежови пътища.

Ключовете на доставчиците трябва да се съхраняват в управлявана система за тайни (managed secrets system), а не в променливи на средата на процеса, с отделни виртуални ключове и лимити за разходи за екипите. И накрая, изходящите връзки трябва да бъдат забранени по подразбиране и ограничени само до необходимите услуги.

Логването на DNS обратни повиквания (callbacks), трафик към необработени IP адреси, промени в authorized_keys за SSH и cron задачи, както и изпълнение на файлове от временни папки с права за запис, може да разкрие свързана верига от атаки, преди откраднатият достъп да се превърне в продължително копаене на криптовалута или скъпоструваща злоупотреба с моделите.

Читателите, които проследяват плъгините за кражба на ИИ идентификационни данни, могат да разберат защо бързото отнемане на права и мониторингът на използването са от решаващо значение, след като един ключ напусне предвидената за него среда.