Продавач в закрит престъпен форум предлага автономен хакерски инструмент, работещ с откраднати API ключове за OpenAI, Anthropic и Google, в резултат на което собственикът на ключа заплаща за извършваните сканирания. Екипът за разузнаване на заплахи на Bitsight проследи тази тенденция в хиляди публикации в 16 ъндърграунд форума в периода от февруари до август 2026 г. През този интервал споменаванията на AI агенти, индиректно инжектиране на подкани (indirect prompt injection) и протокола Model Context Protocol (MCP) са се увеличили с 67 процента.
Засегнати са две основни групи. Компания, която допусне изтичане на ключ за доставчик на AI услуги, плаща сметката за атаки срещу чужди системи. Инженерен екип, който изтегля плъгини за агенти от публични регистри, рискува да инсталира зловреден софтуер, маскиран като полезен инструмент.
Един контролен панел, множество откраднати ключове
Инструментът, наречен MONST3R-AI, се продава като автономна платформа за тестове за проникване. Купувачът поставя откраднатите ключове в контролен панел, задава лимит на бюджета и насочва агента към списък с цели. Самият продавач не хоства собствен модел. Тази конфигурация заобикаля мерките за безопасност на доставчика, а финансовите разходи се поемат от жертвата.
Продавачът твърди, че инструментът е генерирал 1072 констатации в 199 сканирани хоста. Тази цифра идва от таблото за управление на продавача и Bitsight не може да я потвърди. Позицията на Bitsight е, че дори малка част от тези резултати да е вярна, това прави инструмента ефективен, като компанията очаква откраднатите ключове да започнат да се продават единствено с цел захранване на подобни скенери.
Увеличаване на jailbreak техниките и на отворените модели
Техниките за jailbreak – принуждаване на даден модел да игнорира правилата си за безопасност – остават водеща тема в тези форуми, като дискусиите по нея са нараснали с около три четвърти през изследвания период. По-показателната промяна обаче е посоката, в която се ориентират по-опитните атакуващи. Споменаванията на модели с отворени тегла като GLM и DeepSeek са се увеличили рязко. Всеки може да изтегли тези модели и да ги стартира на наети сървъри, където никой доставчик не проверява заявките, не води логове и не блокира акаунти. Потребители в китайскоезични и рускоезични форуми вече класират моделите според това колко лесно изпълняват злонамерени заявки, а някои дори премахват защитните механизми на самите модели – техника, известна като „abliteration“.
Достъпът е изключително евтин. Прекупвач на име CloseRouter рекламира модели с отворени тегла и комерсиални модели за около десет цента на милион токена, а ценовата му листа за GLM показва $0,053 на милион входящи токена в сравнение с $1,12 при официалния API. Споменаванията на понятието „vibe coding“ са се увеличили над два пъти, макар че в елитните среди това определение се използва като обида по адрес на хора, които разчитат изцяло на изкуствен интелект, без да разбират същността на кода.
Спад с 50% на дискусиите за ransomware
Изследователите са сравнили данните за изкуствения интелект с обичайната киберпрестъпна терминология в същите форуми. Дискусиите, свързани с AI, са нараснали с 45 процента, докато споменаванията на ransomware са спаднали с 49 процента, а тези за фишинг – с 8,5 процента. Операциите по сваляне на инфраструктури и преминаването към затворени канали вероятно обясняват част от спада при ransomware, така че част от разликата се дължи на пренасочване на вниманието между отделните теми.
Популярни престъпни чатботове като WormGPT и FraudGPT отбелязват спад от 8,7 процента, което е близко до понижението при фишинга. WormGPT беше компрометиран по-рано тази година, разкривайки имейлите, платежните данни и нивата на абонамент на приблизително 19 000 потребители.
Какво трябва да проверите
Потребители във форумите анализират FakeGit – кампания, приписвана на атакуващия Water Kurita, при която около 7600 фалшиви хранилища в GitHub разпространяват зловредния софтуер SmartLoader. Над 800 от тях се представят за AI умения или MCP сървъри, включително наподобяващ вариант на „Docker MCP Gateway“, за да бъдат индексирани в публичните регистри за изкуствен интелект. В други публикации атакуващ демонстрира как агент използва декомпилатора IDA Pro за откриване на препълване на буфера (buffer overflow) и изготвяне на план за експлойт, а друг киберпрестъпник използва агент за автоматизация на браузъра, за да пробие корпоративен акаунт в Notion.
Сканирайте за изложени API ключове за доставчици на AI услуги и се отнасяйте към подобно изтичане със същата сериозност, както към компрометирани идентификационни данни за AWS. Проверявайте източника на всеки MCP сървър и плъгин за агенти. Ограничете достъпа на локалните агенти за програмиране до чувствителни директории и забранете изпълнението на шел команди без изрично одобрение от човек. Установете базови нива на активност при вход от реални потребители в Notion, Slack и GitHub, тъй като агентите, управляващи браузъри във фонов режим (headless browsers), работят с различна динамика и ритъм.