מחקר של CrowdStrike: האקרים פליליים עוקפים את מנגנוני ההגנה של Claude ומפעילים סוכני AI בתקיפות אוטונומיות
חוקרי CrowdStrike ניתחו את תשתית ה-AI של ארבע קבוצות האקרים שלא דווחו עד כה. הקבוצות השתמשו בעיקר בגרסאות של Claude של אנתרופיק ובמודלים הפתוחים של DeepSeek. כולן עקפו את מנגנוני ההגנה של המודלים, ובין הקורבנות היו גופי בריאות בארגנטינה ומוסדות ממשלתיים בברזיל ובקולומביה.
גם פושעי סייבר בלי תחכום טכני רב משלבים כיום סוכני AI בתקיפות שלהם, ומצליחים לעקוף את מנגנוני ההגנה (guardrails) של המודלים. זה הממצא המרכזי של מחקר חדש של חברת מודיעין האיומים CrowdStrike, שפרטיו דווחו ב-Wired. החוקרים בדקו תקיפות מוצלחות שביצעו בין מאי לאוגוסט ארבע קבוצות שלא דווחו קודם לכן: אחת פועלת בסינית, אחת בספרדית ובאנגלית, אחת באינדונזית ואחת ברוסית.
איך החוקרים נכנסו לתשתית של התוקפים
כל ארבע הקבוצות השאירו את תשתית ה-AI שלהן פתוחה לגישה בשרתי אינטרנט. כך יכלו החוקרים לראות מה הן עשו ובאילו מודלים השתמשו. ברוב המקרים היו אלה גרסאות של Claude של אנתרופיק וגרסאות של מודלי ה-open weight (מודלים שהמשקלים שלהם מפורסמים לציבור) של DeepSeek. שתי הקבוצות הראשונות בנו "רתמות" (harnesses) מתוחכמות. אלה תוכנות שמנחות את המודל ותומכות בו בזמן ביצוע משימות. שתי הקבוצות האחרות היו פחות מיומנות, אבל גם הן חדרו לכמה יעדים. כולן מצאו דרך להריץ את המתקפות באופן אוטונומי לאורך פרקי זמן ארוכים יחסית.
מודלים ישנים, הגנות לא אחידות
רוב התוקפים לא השתמשו במודלים המתקדמים ביותר אלא בגרסאות ישנות יותר. "אפשר להשתמש במודלים שונים לחלקים שונים של המבצע. ניתוב ובחירת מודלים חשובים מאוד, כי זה יקר, ולעתים קרובות שימוש במודלים חדשים הוא מוגזם", אמר אדם מאיירס, סגן נשיא בכיר לפעילות נגד יריבים ב-CrowdStrike. לדבריו, השילוב בין מודלים נועד גם לנצל פערים בהגנות: "למודלים אין הגנות זהות, אפילו כשהם מגיעים מאותה חברה".
מאיירס הדגיש שהתקיפות לא נשענו על פרצות חדשות. "הן מנצלות את המהירות ואת הנפח שה-AI מאפשר, ומכוונות לבעיות היגיינת אבטחה בסיסיות. דברים שאפשר היה למנוע, אבל לא נמנעו".
לשכנע את המודל שהכל חוקי
כל הקבוצות עקפו את מנגנוני ההגנה, בדרך כלל באמצעות שכנוע המודל שהפעילות חוקית ומאושרת, למשל כחלק ממבדק חדירה (penetration testing). כמה קבוצות הוסיפו קבצים לתיקיית העבודה של הסוכן כדי "להוכיח" שהמשימות אושרו. הן השתמשו גם בשיטות jailbreak מוכרות: סיפורי רקע שמציגים את הפריצה כמורשית, ומענה מראש לשאלות שהמודל עלול לשאול. הקבוצות המתוחכמות בנו לשם כך עולם בדיוני שלם. הפחות מתוחכמות פשוט ניסו להפעיל לחץ על המודל בהנחיות בוטות.
הקבוצה דוברת הסינית הלכה צעד נוסף. היא השתמשה בכלי בשם ClawGod, מה שמכונה "run time patch" (תיקון שמוחל בזמן ריצה), כדי להוסיף יכולות ל-Claude Code ולנסות למחוק מהנחיות המערכת שלו את ההוראה "CYBER_RISK_INSTRUCTION". זו ההוראה שמגבילה את הכלי לבדיקות אבטחה מורשות בלבד.
הקורבנות: גופי בריאות וממשלות
הקבוצה שפעלה בספרדית ובאנגלית תקפה גופי בריאות בארגנטינה ופרצה לפחות ל-15 ארגונים. לפי החוקרים, יש ראיות לכך שמאחד מהם לפחות נגנבו פרטי הזדהות ורשומות רפואיות. הקבוצה בנתה רתמת מבדקי חדירה ייעודית ועבדה עם Claude Opus 4.5, Claude Haiku 4.5 ו-DeepSeek V4 Pro. במערך שלה סוכן Claude Code אחד שימש "מפקח" (Supervisor) שתכנן את שלבי התקיפה, וסוכן שני שימש "מבצע" (Executor).
גם הקבוצה דוברת הסינית בנתה רתמות כאלה. Claude Code ביצע בעזרתן איסוף מודיעין, ואחרי שאדם בחר דרך פעולה, תקף באופן אוטונומי. הקבוצה פרצה למטרות ממשלתיות בברזיל ובקולומביה, ותקפה גם ארגונים פרטיים בברזיל ובארה"ב בתחומים כמו ביוטק, בריאות, מזון, קמעונאות, טכנולוגיה ותיירות. לפי החוקרים, היא נשענה בעיקר על Claude Opus 4.8 והשתמשה גם ב-Claude Sonnet 4.6.
למה זה חשוב
הממצאים מראים, ככל הנראה, שמנגנוני ההגנה של המודלים עצמם לא יכולים להיות קו ההגנה היחיד. נראה שהבעיה לא נובעת מיכולות פריצה חדשות. סוכני AI מאפשרים גם לתוקפים בינוניים לפעול במהירות ובהיקף גדולים מבעבר, ולנצל פרצות מוכרות שארגונים לא סגרו. לארגונים המשמעות כנראה פשוטה: הטיפול ב"היגיינה" הבסיסית, כמו עדכוני תוכנה, הרשאות וסיסמאות, נעשה דחוף יותר.