AI Safety Incidents

GTIG AI Threat Tracker: מפרומפט לאלפי אישורי גישה בתוך שש שעות

מחבר

Elias Hawthorne

תאריך פרסום

Oct 28, 2026

מודלים אחרונים · 20צפו בכל המודלים →

בנצ'מרקים: Artificial Analysis · מתעדכן יומית

חזרה לכל הפוסטים

פרסמה Google Threat Intelligence Group את מהדורת Q2 2026 של AI Threat Tracker ב־8 בספטמבר 2026. המקרה שנושא את הדוח קצר מספיק כדי לומר אותו בפשטות: גורם חשוד בעל מניע כלכלי השתלט על משאב ענן השייך לקורבן, הזין הנחיה ומערכת הוראות סוכן שנכתבו מראש אל צ'אטבוט קידוד מבוסס AI, ואסף אלפי פרטי גישה של צדדים שלישיים בתוך פחות משש שעות, כשהסוכן ניהל סריקת פגיעויות, פתרון תקלות ורוטציית כתובות IP בעצמו. אותו דוח מתאר שרתי MCP נגועים בסוס טרויאני ב-PyPI, גונב אישורים שגונב את הזהות של מערכת הבנייה עצמה כך שהחבילות הנגועות שלו מגיעות עם אישורי SLSA Build 3 תקפים וחתומים קריפטוגרפית, וטקסט עוין שנועד לגרום לסורקי אבטחה מבוססי LLM לסרב לקרוא את הקוד שמתחתיו. כל זה הוא הדיווח של Google על הטלמטריה שלה עצמה. דוח זה מתועד, עם דירוג הביטחון שלו והמקורות המצוטטים שלו, בארכיון התקריות של AI, שמחזיק לצידו כל תקרית מתועדת אחרת בסדרה זו.

אף אחת מהטענות המהותיות לא אומתה על ידי גורם שאינו משחזר את Google. Help Net Security סיקרה את הטראקר ביום הפרסום, כאשר Cloud Security Alliance פרסמה הערת מחקר למחרת, ו-Lineaje פרסמה ניתוח DUSTMAKER ב-17 בספטמבר; כל אחד מהם הוא סיכום או שכבת ניתוח על הגילוי של Google, ו-Lineaje מציינת זאת בעצמה, ומציינת ש-GTIG "מתאר כמה יכולות DUSTMAKER קשורות ולא רשומת ביצוע מקצה לקצה בודדת שנצפתה." המקור השני המצוטט לצד רשומה זו, פריט "threat pulse" של threatops.tech, מתוארך ל-11 בספטמבר 2026, הוא שחזור ולא עד שני: הוא אינו מוסיף דיווח, אינו חולק על אף נתון, ומעלה את תווית החומרה בלי להסביר נגד מה היא נמדדת. הסיקור אינו תמימי דעים במלואו אפילו על שם המהדורה — Help Net Security מכנה אותו הטראקר של Q3 2026 בעוד שהיא מתארכת את המקרה העיקרי שלו ל-Q2 2026 — וזהו הבדל במספור, לא סתירה עובדתית.

הארכיון מתעד זאת כדוח ולא כתקרית: דירוג מהימנות A, לא שנוי במחלוקת, ולא נרשם לגביו נתון כמותי של נזק ממשי. דירוג זה מתאר את איכות התיעוד, לא את היקף הנזק. גוגל סופרת פרטי התחברות, לא קורבנות. העוקב אינו אומר כמה ארגונים נלכדו במערכה בת שש השעות, מי הם היו, באיזה צ'אטבוט נעשה שימוש, או אם חלק מפרטי ההתחברות שנגנבו נמכרו או שימשו מאוחר יותר.

שש השעות ש-GTIG מתאר, ושלוש העבודות שהסוכן עשה לבדו

הרצף בדוח נע מגישה לתוצאה עם מעט מאוד מעורבות אנושית בדרך. התוקף השיג שליטה במשאב ענן, ואז השתמש בצ'אטבוט מסחרי לקידוד מבוסס בינה מלאכותית יחד עם מה ש-GTIG מכנה "הנחיה" ו"מערכת הוראות לסוכן" — פלייבוקים בפורמט Markdown שנמצאים כעת במאגרים כקובצי AGENTS.md — כדי לתכנן, לבנות ולהפעיל את המבצע. הניסוח של Google עצמה לתוצאה הוא "קמפיין לאיסוף המוני של אישורי גישה בסיוע סוכנים", שהושלם "בפחות משש שעות".

שלוש משימות מתוארות כאוטונומיות, והן השלוש שהיו תופסות אחרת את תשומת הלב של מפעיל:

• צינור סריקת הפגיעויות, שהוראות הסוכן מאפשרות ל-AI "לנהל באופן אוטונומי", בניסוח ש-Help Net Security מצטט מ-GTIG.

• פתרון תקלות בזמן אמת של כל מה שהסריקה העלתה, כך שכשל לא עיכב את הריצה בהמתנה להחלטה.

• רוטציית IP, כך שניסיונות עוקבים יצאו מכתובות שונות בלי שאיש הנפיק את הפקודה.

המקום שבו הפעולה רצה חשוב לא פחות ממהירותה. בכך שפעל מתוך תשתית הענן של הקורבן עצמו, השחקן ניתב תעבורה דרך טווחי ה-IP הלגיטימיים של הקורבן. בקשות שנראות כאילו הן מגיעות מתוך הארגון הן בדיוק אלה שהגנות מבוססות מוניטין הכי פחות מצוידות להטיל בהן ספק, והדוח מתעד זאת כתוצאה מפעולה מתוך הסביבה של הקורבן עצמו.

A screenshot of a card titled 'Six hours, six moves', kicked 'Per Google Threat Intelligence Group, 8 September 2026', subtitled 'The report gives a sequence, not timestamps. What changes across it is who is doing the work.' Six numbered stages run down the card as a chain, each with a tag on the right. One, Foothold: a cloud resource belonging to the victim is compromised. Tag: actor. Two, Instructions: one prompt plus a set of agent instruction files, the AGENTS.md pattern. Tag: actor. Three, Build: a commercial AI coding chatbot plans and builds the harvesting campaign. Tag: actor plus model. Four, Scan: the agent manages the vulnerability scanning pipeline itself. Tag: agent. Five, Adapt: real-time troubleshooting, with no human decision in the loop. Tag: agent. Six, Rotate: automatic IP rotation from victim infrastructure, thousands of third-party credentials taken. Tag: agent. A footer reads 'The total is Google's only measurement: the report gives no per-step times, no actor name beyond suspected financially motivated, no chatbot vendor and no victim count. Labelling each move actor-side or agent-side is a reading of Google's description, which does not label them.'

מה שהדוח אינו מכיל מעיד לא פחות ממה שהוא כן מכיל. אין תזמון לכל שלב, ולכן „פחות משש שעות” הוא מדידה אחת של כל הריצה ואינו ניתן לפירוק לתרשים. אין שם לשחקן מעבר ל„חשוד במוטיבציה כלכלית”, אין קורבן, ואין הצהרה איזה מודל או צ'אטבוט של איזה ספק היה מעורב. הגורם העוקב מתייחס למקרה כדוגמה מעובדת של מגמה, והוא כתוב ברמת הפירוט שמשרתת את המטרה הזו ולא ברמה שמגיב לאירוע היה רוצה.

שרת חשוף שהתפתח ללוח מחוונים של 23,800 סודות

ממצא שני באותו סעיף קונקרטי יותר, והוא מקרה נפרד. GTIG איתרה שרת פיקוד ושליטה חשוף שמארח מסגרת אוטומטית לאיסוף מודיעין וניהול פרטי גישה שהיא מכנה Recon. רישום התיקייה היה קריא וחשף את העיצוב: AGENTS.md, KNOWLEDGE.md, agentic_vuln_research.md, בנוסף לתיקייה מודולרית .openclaw/ ולתיקייה memory/. שמות הקבצים האלה הם טביעת האצבע של מחסנית סוכנים ולא של אימפלנט מותאם אישית — הוראות, ידע מצטבר ותוכנית מחקר, הכול על הדיסק במקום שבו הכלים של המפעיל יכולים לקרוא אותם.

אותה תיקייה, מאוחר יותר, שימשה כלוח מחוונים חזיתי חי שמארגן ומאמת יותר מ־23,800 סודות שנאספו, כולל מפתחות API לשירותי ענן ובינה מלאכותית. GTIG מאפיין את השינוי שהוא מייצג כמעבר מ"גנבי מידע פסיביים המתמקדים בנקודות קצה לאיסוף התקפי מבוסס סוכנים" — כלומר, מתוכנה זדונית שחוטפת מה שהיא יכולה ממחשב נייד אחד לכלים שממשיכים לעבד את היעדים שאליהם כבר הגיעו.

שתי הסתייגויות נלוות למספר הזה. עשרים ושלושה אלף ושמונה מאות הוא ספירה של סודות, לא של אנשים או חברות, והדוח אינו מתרגם האחד לשני. ו-GTIG אינה קובעת אם שרת ה-Recon ומבצע שש השעות הם אותה פעולה; הם מוצגים כתצפיות נפרדות באותו פרק, ולכן התייחסות אליהם כאל סיפור אחד תהיה הסקה שהדוח אינו עושה.

DUSTMAKER והאישור שמעיד נכון שהחבילה מקורית

החצי של הטרקר העוסק בשרשרת האספקה נוגע לUNC6780, שגוגל עוקבת אחריה גם בשם TeamPCP, קבוצה בעלת מניע כלכלי שפוגעת בתשתיות קוד פתוח מאז מרץ 2026 ב-PyPI, ‏npm ו-Docker Hub. השיטה שלה בכלי AI ישירה: חשבונות מפתחים שנפרצו שימשו לפרסום פורקים שעברו טרויאניזציה של שרתי MCP לגיטימיים, כאשר tiktoken_mcp צוין כדוגמה ב-PyPI, וקוד זדוני הוזרק למאגרים ארגוניים רשמיים, כולל azure-functions-mcp-extension. GTIG מציינת כי מטענים זדוניים ו-hooks זדוניים של סביבת עבודה נקלטו לאחר מכן אוטומטית בכל פעם שהנכסים הורדו או שוכפלו — ללא פיתיון נפרד, ללא שלב שני.

גונב האישורים שלו, DUSTMAKER, הוא המקום שבו נמצאת הנקודה הטכנית השימושית ביותר של הדו"ח. השרשרת קצרה. גונב האישורים מזהה שהוא פועל בסביבת CI/CD; GTIG כותבת ש"אם יאושר", הוא מחלץ אסימוני OIDC מזיכרון התהליך של runner של GitHub Actions. הוא משתמש באסימונים האלה כדי להסמיך את עצמו כמפרסם מהימן. לאחר מכן הוא מפרסם גרסאות חבילה שנפרצו הנושאות אישורי SLSA Build 3 תקפים וחתומים קריפטוגרפית. שום דבר בשרשרת הזו אינו מזויף. האישור אמיתי, הונפק לזהות אמיתית, עבור בנייה שבאמת התרחשה — של קוד שהתוקף כתב. המסקנה של GTIG היא המשפט שחשוב לכל מי שמסתמך על הוכחת מקור: "חבילות שפורסמו עם אסימונים תקפים יעברו בדיקות אמון אוטומטיות של סוכני קידוד AI."

A screenshot of a card titled 'How a backdoored package passes provenance checks', kicked 'DUSTMAKER, tracked to UNC6780 / TeamPCP', subtitled 'Nothing in the chain is forged. The signing identity is real; it simply is not the rightful owner of it.' Four numbered stages run down the card as a chain. One, Runner: DUSTMAKER detects that it is executing inside a CI/CD environment. Two, OIDC: it extracts OIDC tokens from the process memory of a GitHub Actions runner. Three, Publisher: the stolen token authorises it as a trusted publisher. Four, Attestation: a backdoored version ships with a valid, cryptographically signed SLSA Build 3 attestation. Beneath the chain, a dark panel reads 'Google's conclusion: Packages published with valid tokens will pass AI coding agent automated trust checks.' A footer reads 'Elsewhere DUSTMAKER hides in .claude/, .vscode/ and .cursor/; writes config so an IDE or assistant runs setup.mjs when the workspace opens; names pipeline tasks Copilot Setup; and deletes workflow execution logs.'

שאר ההתנהגות של DUSTMAKER מכוונת למקומות שצוותי הגנה אינם מנטרים. הוא מפיל ומשנה קבצים בתוך ספריות סביבת העבודה של עוזרי קידוד ב-AI ו-IDE — .claude/, .vscode/, .cursor/ — שם הוא משתלב ברעש של מפתחים ונמנע ממקומות שזיהוי נקודות קצה אכן מנטר, כגון מפתחות רישום של Windows או /etc/cron.*. הוא כותב תצורה שגורמת ל-IDE או לתוסף ה-AI להריץ סקריפט כגון setup.mjs כאשר סביבת העבודה נפתחת, מה שהופך פתיחת תיקייה להרצת קוד. הוא יוצר משימות pipeline בשמות בנושא AI כגון "Copilot Setup" כדי לצוד טוקנים, ומבצע קריאות API כדי למחוק יומני ביצוע של זרימות עבודה כך שההרצה לא תופיע בממשק GitHub.

הנוזקה שמבקשת מהסורק להסיט את המבט

המנגנון האחרון הוא הפחות מאומת מבין השלושה. סקריפטי הטעינה של JavaScript של DUSTMAKER נפתחים בטקסט הנחיה עוין המוטמע כהערות — ב-_index.js בין היתר — תוך התייחסות לנשק ביולוגי וגרעיני, וכולל בקשה למפרט עבור מתקן ביקוע מסוג אימפלוזיה בהספק 20 קילוטון. הערכת GTIG היא שזה "ככל הנראה נועד לגרום לסורקי האבטחה של LLM להיכשל או לדלג על ניתוח קוד ה-JavaScript הזדוני שמתחתיו בגלל סירובים מטעמי בטיחות או מדיניות".

התווית על המשפט הזה חשובה. מדובר בהצהרה על כוונה, הנגזרת מהטקסט שהלודר נושא, ולא בהוכחה שסורק כלשהו אכן סירב. הדוח אינו נוקב בשם סורק שדילג על הקובץ, אינו מדווח על שיעור עקיפה, ואינו אומר שהטכניקה עבדה. מה שמוכח הוא שמישהו כתב את הפיתיון והפיץ אותו בתוך גונב פרטי גישה — וזה כשלעצמו ראיה לכך שהתוקפים מצפים שטריאז' מבוסס LLM יהיה בנתיב.

UNC6508, MIDNIGHT NEPTUNE ו-CALANQUE ION מופיעים באותו דוח

החומר של הטרקר הקשור למדינות רחב מהחומר הפלילי שלו, ולרוב פחות אוטומטי. UNC6508, קבוצה בעלת זיקה לרפובליקה העממית של סין, ניהלה קמפיין ריגול רב-שנתי נגד מחקר אקדמי, רפואי וצבאי בצפון אמריקה, וכעת היא מכוונת ספציפית למחקר קנייני בתחום הבינה המלאכותית; GTIG חושדת שהקבוצה משתלטת על סביבות ענן כדי להפעיל מודלים מקומיים בעלי משקלים פתוחים, דבר הנמנע מניטור של ממשקי API מסחריים ומנצל את כוח המחשוב של הקורבן עצמו.

במקומות אחרים התבנית היא מודלים מוכנים מדף שמבצעים עבודה שגרתית בקנה מידה. של צפון קוריאה MIDNIGHT NEPTUNE, שנקרא בעבר UNC1069, השתמש ב-DeepSeek-Coder כדי לכתוב טרויאנים לגישה מרחוק ב-Python עם התמדה חוצת-פלטפורמות והזרקת תהליכים, השתמש במודלי שפה עבור סקריפטים לתנועה רוחבית ב-Bash, הפעיל פרסונות של הנדסה חברתית ופיתיונות טכניים, הרעיל תצורות של מאגרים פנימיים, שינה את Claude CLI hooks, ופרס את ה-SOMBERMEMEדלת אחורית כאשר מפתח ביצע אינטראקציה עם המאגר. של איראן CALANQUE ION, שנקרא בעבר APT42, השתמש במודלים כדי לזהות כתובות דוא״ל של מטרות, להריץ OSINT, לבצע לוקליזציה של פיתיונות, לסכם נתונים שהוצאו ולנסות לבצע הנדסה לאחור של קוד רישוי. ה-PRC-nexus BASIN CASTLE השתמש ב-Gemini לפרופיול מטרות, לתרגום חומר סיני לדיווח פוליטי רשמי באנגלית, ולפתרון בעיות ב-PowerShell; RAVINE CASTLE חקר באמצעותו עקיפות SAML ב-VMware vCenter וניצול לאחר חדירה ב-Active Directory; של רוסיה SANDWORM RELIC גרם ל-Gemini לכתוב את קוד ריסוס הסיסמאות שלו. בעל מניע כלכלי UNC6240, הידוע גם כ-ShinyHunters, השתמש ב-Claude Code עם הנחיות כדי לכתוב קוד מעורפל, לעקוף את Cloudflare, ולנתח תיקיות שהוצאו באמצעות כלי MCP מותאמים אישית.

מקרה אחד בסעיף זה הולך צעד אחד רחוק יותר מהשאר. קבוצה בעלת זיקה ל-PRC השתמשה ב-Gemini כדי לעצב מסגרת בדיקות חדירה אוטומטית דינמית שנועדה לצפות במצבו של יעד, להסיק מה לעשות לאחר מכן, ולבצע סריקת פורטים וניתוח שירותים. Google אומרת שהיא נקטה צעדים רחבים יותר נגד הקמפיינים שזיהתה, והשביתה נכסים, פרויקטים וחשבונות קשורים. בנפרד, ביוני 2026, Google שיבשה את "Outsider Enterprise," שירות פשיעת סייבר מבוסס סין שסיפק ערכות פישינג, ותיארה זאת כפעם הראשונה שבה נקטה צעדים משפטיים בגין שימוש לרעה ב-Gemini. אלו שתי הצהרות נפרדות, ותקציר שממזג ביניהן היה אומר יותר מהדוח: מסגרת בדיקות החדירה שייכת ללשון השבתת הנכסים, והפעולה המשפטית שייכת ל-Outsider Enterprise.

LLMJacking, וכמה עולה כיום חשבון AI גנוב

העוקב גם מתמחר את השוק סביב גישה גנובה ל-AI. הביקוש בשוק השחור התרכז באישורי Claude ו-Gemini, יחד עם סביבות הפיתוח האוטונומיות לקידוד Cursor Pro וDevin, כשהאחרון מיוצר על ידי Cognition, והמחירים הממוצעים בשוק לכל חשבון עלו יותר מפי שניים במהלך 2026. גנבי המידע שמבצעים את האיסוף — LUMMAC.V2, STEALC.V2, VIDAR וACRSTEALER — עודכנו כדי למקד בתצורת מפתחי AI. במאי 2026, הבקרים של ACRSTEALER דחפו כללי תפיסת קבצים עבור קובץ ה-secrets.json של Cline, ו-קובץ ה-config.yaml של Continue AI, ושניהם יכולים להכיל מפתחות API בטקסט גלוי ונקודות קצה מותאמות לניתוב מודלים.

פריצה אחת ש-GTIG מתארת ממחישה מה שווה חשבון AI לאחר השתלטות עליו. באפריל 2026, אסימון גישה אישי של GitHub שנחשף הספיק כדי להפעיל את Gemini Enterprise, להקצות מחשוב עתיר ביצועים, ליצור מאגרי Docker עבור פריסת LiteLLM API ומסגרת הסוכנים Manus, ולהקים שירותי Cloud Run החשופים ל-allUsers באמצעות כריכת invoker של IAM. אותו סשן יצר חשבון שירות זדוני עם הרשאות Editor וייצא את המפתחות שלו, ביצע שאילתות ב-BigQuery לגבי משתני סביבה ופרטי הסמכה, ניסה להעביר את הבעלות על הפרויקט לכתובת חיצונית, והשתמש ב-Cloud Quotas API כדי לבקש קיבולת NVIDIA RTX 6000 ומופעים נוספים של 48 vCPU.

תמונת חילוץ המודלים משקפת את אותה כלכלה בקנה מידה גדול יותר. GTIG אומרת שקמפיינים של דיסטילציה מתרחשים כעת באופן קבוע, "כאשר חלקם עולים על 100 מיליון פרומפטים", כשהשאילתות מוחלפות בין אלפי חשבונות שנפרצו וחשבונות הונאה ומנותבות דרך תשתית פרוקסי, ושגוגל פרסה אמצעי נגד שיכולים לפגוע בביצועים של מודל תלמיד ובשיטות לזיהוי מודלים שעברו דיסטילציה מ-Gemini לפי מקור.

מה מבוסס, מהי הערכה, ומה ש-GTIG אומרת שלא ראתה

מוכח, במובן ש-Google מתארת את הטלמטריה שלה מצד ראשון ואת פעולות החשבון שלה: הדוח ותאריכו; הארטיפקטים שהיא אומרת שצפתה בהם, כולל שמות החבילות, שמות קבצי הטוען, שמות התיקיות ולוח המחוונים של 23,800 הסודות; וצעדי השיבוש ש-Google אומרת שנקטה, שאותם היא יכולה להעיד עליהם משום שהשבתת חשבון היא משהו שהיא עושה ולא משהו שהיא מסיקה. Help Net Security, Cloud Security Alliance ו-Lineaje מדווחים כולם על אותם פריטים ללא סתירה, אף שאף אחד מהם לא מביא ראיות עצמאיות משל עצמו.

הערכה, במובן זה שמדובר בשיפוט שגוגל מבצעת: כל ייחוס למדינת לאום בדוח; הקריאה של פיתיון הסירוב כמכוונת; והטענה שטוקנים גנובים יעברו "בדיקות אמון אוטומטיות של סוכני קידוד בינה מלאכותית", שהיא אמירה על האופן שבו בדיקות אלו נבנות בדרך כלל, ולא מדידה של מוצר ספציפי שנכשל באחת מהן.

לא נקבע: זהותו של השחקן בן שש השעות, הקורבנות ומספרם, הצ'אטבוט והמודל המעורבים, והאם שרת ה-Recon מחובר לאותו קמפיין בכלל.

A screenshot of a card titled 'What the tracker puts on the record, and what it leaves open', kicked 'Google Threat Intelligence Group, 8 September 2026', subtitled 'Two columns, both filled from the report. Nothing in the right-hand column is a criticism of Google; it is what the document does not say.' The left column, headed 'Reported, with artefacts named', lists: trojanised MCP servers tiktoken_mcp on PyPI and azure-functions-mcp-extension on GitHub; OIDC token theft from GitHub Actions runner memory; backdoored releases with valid SLSA Build 3 attestations; hidden directories .claude/, .vscode/ and .cursor/; a pipeline task named Copilot Setup and deleted workflow logs; refusal-bait text in a file named _index.js; an exposed Recon server; a dashboard of more than 23,800 harvested secrets; a six-hour credential campaign that took thousands of third-party credentials; and disabled assets, projects and accounts. The right column, headed 'Not reported, or reported as assessment', lists: the actor behind the six-hour campaign, described only as suspected financially motivated; the victims, their number and their sector; which chatbot or model was used; whether Recon is part of the six-hour campaign; whether any scanner actually skipped the file; every nation-state attribution, given as an assessment; and fully autonomous exploitation pipelines, which Google says it has not yet observed in the wild. Beneath the two columns, a dark strip headed 'How the archive grades this record' reads: kind, a report rather than an incident; confidence A; not disputed; no quantified real-harm figure recorded. That grades the documentation, not the damage. A footer reads 'Lineaje, the Cloud Security Alliance and Help Net Security all restate these findings and none contradicts them; none brings independent evidence of its own.'

והתקרה של הדוח עצמו נמוכה יותר ממה שכותרתו מרמזת. GTIG מציינת שהיא עדיין לא צפתה בצינורות ניצול אוטונומיים לחלוטין בשטח, ומעריכה ששימוש של גורמים עוינים "עשוי להתפתח לעבר מקרה שימוש זה". הפיצול נמצא בתוך המתקפה ולא סביבה: בני אדם מספקים את המטרה, את הפרומפט ואת קובץ ההוראות; הסוכן מספק את הסריקה, את פתרון התקלות ואת הרוטציה, ואינו עוצר לבקש רשות. אם קוראים בעיון, המבצע בן שש השעות אינו ראיה שהאוטונומיה הגיעה. הוא ראיה לכך שהחלק האנושי בעבודה הצטמצם לחלק שמחייב אדם — להחליט מה לעשות — בעוד שכל מה שבין ההחלטה לתוצאה פעל מעצמו.

מה גוגל אומרת ששינתה, והבקרה שהדוח למעשה מצביע עליה

תגובתה המוצהרת של Google נעה בשני מסלולים. בנוגע לניצול לרעה, היא אומרת שהפעילויות "עוררו את תגובות הבטיחות של Gemini", שהיא נקטה "פעולה נוספת ורחבה יותר" נגד הקמפיינים בהתבסס על כשלי האבטחה התפעולית של השחקנים, שהשביתה נכסים, פרויקטים וחשבונות משויכים, ושה-Google DeepMind השתמשה בממצאים כדי לחזק את המסווגים שלה ואת המודל עצמו כך שיסרב לבקשות אלה. במישור ההגנה, היא פרסה Google AI Threat Defense, אשר משלבת את Gemini ומודלי חזית עם תעדוף סיכונים של Wiz, תיקון באמצעות Gemini ו-CodeMender, ומודיעין של Mandiant, תוך שימוש במודלים קלים יותר לסריקה מתמשכת ובמודלי חזית לממצאים בסיכון גבוה; היא גם הציגה את Gemini 3.8 Flash Cyber לזיהוי פגיעויות ותיקון אוטומטי, ופרסמה הנחיות בקוד פתוח לחיזוק שרשרת האספקה.

התיקון הספציפי שמקרה DUSTMAKER מחייב הוא צר יותר מהמחסנית הזו, וניתוחים חיצוניים מתכנסים אליו. אישור SLSA עונה על השאלה אם חבילה נבנתה על ידי הזהות שהיא מצהירה עליה. הוא אינו עונה על השאלה אם הזהות הזו עדיין שייכת לצד שאליו התכוונת לתת אמון, וכל שיטתו של DUSTMAKER היא לשאול זהות ולא לזייף אחת. הסיכום של Lineaje של השינוי הבסיסי הוא הניסוח הנקי ביותר שלו: "תוכן המאגר הופך לסמכות הביצוע." שמות חבילות, שמות שרתי MCP, תגי אישור וקבצי הוראות בתוך מאגר מגיעים כעת כולם עם איזשהו תביעה לציית להם, והאסימון OIDC הגנוב הוא מה שגורם לתביעה להיראות מאומתת.

GTIG AI Threat Tracker: מפרומפט לאלפי אישורי גישה בתוך שש שעות

שש השעות ש-GTIG מתאר, ושלוש העבודות שהסוכן עשה לבדו

שרת חשוף שהתפתח ללוח מחוונים של 23,800 סודות

DUSTMAKER והאישור שמעיד נכון שהחבילה מקורית

הנוזקה שמבקשת מהסורק להסיט את המבט

UNC6508, MIDNIGHT NEPTUNE ו-CALANQUE ION מופיעים באותו דוח

LLMJacking, וכמה עולה כיום חשבון AI גנוב

מה מבוסס, מהי הערכה, ומה ש-GTIG אומרת שלא ראתה

מה גוגל אומרת ששינתה, והבקרה שהדוח למעשה מצביע עליה

מוצר

משאבים

לספקים

הצטרפו לקהילה שלנו

מהבלוג

ספקי מודלים