איור טכני מופשט על רקע כחול־כהה עמוק: מישור זכוכית שקוף גדול בפינה הימנית העליונה מחזיק שלוש טבעות קונצנטריות, וממנו יורד חוט דק יחיד בצבע ציאן אל לוח מלבני כהה קטן. מתחת ללוח, מניפה של קווים ענבריים דקים מתפרשת על פני רשת עמומה של ריבועים קטנים, שכל ריבוע הוא מכונה נפרדת. אין אנשים, אין לוגואים, אין טקסט קריא.
AI Safety Incidents

CyberStrikeAI בשטח: מתזמר LLM הגיע להרשאות מנהל דומיין ביעדי חינוך באמריקה הלטינית ובאפריקה

מחבר

jinhao.song

תאריך פרסום

מודלים אחרונים · 20צפו בכל המודלים →
בנצ'מרקים: Artificial Analysis · מתעדכן יומית
חזרה לכל הפוסטים

ב-2 בנובמבר 2026 פרסמה קספרסקי דוח Securelist והודעה לעיתונות המתארים חדירות בארגונים במגזר החינוך במספר מדינות ברחבי אמריקה הלטינית ואפריקה, שבהן עבודת הפוסט-אקספלויטציה נוהלה על ידי מודל שפה גדול. הכלי היה CyberStrikeAI, מסגרת לבדיקות חדירות בקוד פתוח המבוססת על Go, ששרת הפיקוד והשליטה שלה מארח מודל שפה גדול שבוחר כלים וכותב פקודות, בעוד אימפלנט רגיל מבצע אותן במארח הנפגע. במקרה האחד שקספרסקי משחזרת בפירוט, מפעיל אנושי נכנס דרך שרת Microsoft SQL Server שנפרץ, עצר לשבועיים, ואז אפשר לסוכן לפעול: חשבונות מנהלי דומיין נפלו בתוך שלושה עד ארבעה ימים, והשלב האחרון — תנועה רוחבית, שאיבת אישורים המונית וייצוא מסד נתונים — הסתיים בתוך שעה. קספרסקי אינה נוקבת בשם מוסד או מדינה, אינה מוסרת מספר קורבנות ואומרת שצפתה בפעילות בין ספטמבר לאוקטובר 2026. התיעוד המלא של קמפיין זה, עם דירוג החומרה, דירוג הביטחון ורשימת המקורות המלאה, נמצא בOrca AI Incident Archive, לצד הרשומות האחרות על חדירות בסיוע בינה מלאכותית.

מה קספרסקי למעשה פרסמה

המסמך הראשי הוא "CyberStrikeAI בשטח: השימוש ב-AI בהתקפות בעולם האמיתי על ארגונים", שפורסם ב-Securelist ב-2 בנובמבר 2026 ומיוחס לקיריל אנטונוב, ולדיסלב ולאסוב ודמיטרי צ'יז'מאק מצוות מחקר האיומים של Kaspersky. הוא מלווה בהודעה לעיתונות של Kaspersky עצמה, שפורסמה באותו יום ואשר מסכמת את אותם ממצאים. ציון האמינות A של הארכיון מתאר עד כמה שני המסמכים הללו תואמים זה לזה ועד כמה הפירוט הטכני ספציפי; אין זה הצהרה שארגון שני אימת את החדירה באופן בלתי תלוי.

הסיקור המשני של דוח זה אינו מספק את הארגון השני. Cybersecuritynews.com, Cyberpress, SecurityOnline ו-TechTrends Kenya, הממוקם בניירובי, פרסמו כולם דיווחים בין 2 ל-3 בנובמבר 2026, וכל אחד מהם נובע מהודעה לעיתונות של קספרסקי ולא מחקירה עצמאית משלו; הכתבה של הערוץ הקנייתי בנויה סביב אותו ציטוט מההודעה לעיתונות מפי ניקיטה נזארוב, ראש חקר איומים בקספרסקי. נכון ל-9 בנובמבר 2026, אף אוניברסיטה שנפגעה, משרד חינוך או צוות תגובה לאומי לאירועי סייבר לא אישרו בפומבי את החדירות, וקספרסקי לא פרסמה את זהויות הקורבנות. היעדר זה הוא עצמו חלק מהתיעוד: מה שמתועד לפרטיו הוא שיטות הפעולה, ולא הנזק שנגרם למוסד כלשהו בשמו.

הצהרת ההיקף של Kaspersky מכוונת להיות צרה בכוונה. הקורבנות המאומתים, בלשונה, היו "ארגונים במגזר החינוך בכמה מדינות ברחבי אפריקה ואמריקה הלטינית." היא אינה אומרת כמה, אילו מדינות, או כיצד הקמפיין זוהה מלכתחילה — רק שהצוות מצא אותו "כחלק מניטור איומים פרואקטיבי."

הבחנה אחת חשובה כאן, מפני שקל לטשטש אותה. ארגונים עצמאיים דיווחו כעת על CyberStrikeAI בחדירות אמיתיות — אך לא בחדירות האלה. Team Cymru קשרה תשתית שהפעילה את הכלי למערכה של ינואר–פברואר 2026 נגד יותר מ-600 התקני FortiGate, לאחר שצפתה ב-21 כתובות IP ייחודיות שהגישו אותו בין 20 בינואר ל-26 בפברואר 2026. יחידת TrendAI של Trend Micro, במחקר שפורסם ב-23 באוקטובר 2026, תיארה מפעיל שהריץ 44 סוכני CyberStrikeAI מתואמים שהעמידו לפחות 19 ארגונים מזוהים, לפחות 16 מהם ביפן, בפני פעילות אימות בחלון זמן קצר באותו אוקטובר. מזכר המחקר של Cloud Security Alliance מ-28 באוקטובר 2026 מאחד את שניהם ומסיק שאף מקור שפורסם לא קישר עדיין את מערכות CyberStrikeAI הנפרדות לשחקן יחיד. גוף העבודה הזה מאשש את ההנחה — שהמסגרת הזו משמשת לתקיפת רשתות אמיתיות — ואינו אומר דבר על קורבנות החינוך באמריקה הלטינית ובאפריקה בדוח של Kaspersky.

הכלי, והיכן שה-AI למעשה ישב

CyberStrikeAI, כפי שקספרסקי מתארת אותה, היא "פלטפורמה מודולרית בקוד פתוח שנכתבה ב-Go לאוטומציה של בדיקות חדירה". הבחירה העיצובית המגדירה שלה היא שכל השכבה האינטליגנטית נמצאת בשרת השליטה של התוקף, ולא במכונה של הקורבן. כלי סיור וניצול, ניהול webshell, הקצאת משימות לסוכנים וקריאת תוצאות — כולם נחשפים למודל ככלי MCP בתוך תהליך שרת יחיד, והמודל הוא זה שמחליט איזה מהם לקרוא לאחר מכן.

השתל הוא החצי השני, והוא טיפש בכוונה. קספרסקי כותבת שהוא "סוכן C2 קלאסי ללא פונקציונליות AI — ללא מפתחות API, ללא קריאות ל-API של שירותי AI, וללא לוגיקה אוטונומית." הוא מבצע polling ל-listener דרך HTTP/S, TCP או WebSocket, מריץ פקודות shell ונוגע במערכת הקבצים. הוא אינו מודל שרץ ברשת של הקורבן, והוא לעולם אינו יוצר קשר עם ספק AI. חלוקת העבודה היא המשפט שבו קספרסקי משתמשת כדי להסביר את התוכנית כולה: "ההחלטות מפוזרות על פני שתי רמות: המפעיל מגדיר את המשימה במונחים כלליים, בעוד המודל קובע כיצד לבצע אותה."

השליטה האנושית נשמרת ואינה מוסרת. Kaspersky מציינת מנגנון של מעורבות אנושית בתהליך, שלפיו "המפעיל שומר על שליטה מלאה בתהליך", ושהפקודות שהמודל מייצר "עשויות לדרוש אישור או תיקון ידניים לפני ביצוען". הבינה המלאכותית כותבת את השלבים; אדם עדיין יכול לסרב להם.

A rendered two-column card headed 'One server, two levels of decision'. The left column, headed 'On the attacker's control server', lists: the LLM orchestrator inside the same Go process as the C2 server; reconnaissance, exploitation, webshell and tasking utilities exposed to the model as MCP tools; the model reads results and chooses the next command; the human operator sets the objective and can approve or correct commands. The right column, headed 'On the victim host', lists: a classic C2 implant with no model, no API keys, no calls to AI service APIs and no autonomous logic; it polls over HTTP/S, TCP or WebSocket, runs shell commands and touches the file system; file transfer is Base64 inside JSON; screenshots happen only on the orchestrator's command. A footer reads that because the intelligent layer stayed remote, Kaspersky says it left no traces inside victim networks such as API requests to local models.

חדירה משוחזרת אחת, לפי הסדר שבו קספרסקי מתארכת אותה

הדוח עוקב אחר אירוע בודד בתוך הקמפיין, והשלב הראשון שלו נראה כמו עבודת מקלדת רגילה. הפקודות במערכות הקורבן הגיעו מתהליך sqlservr.exe, מה שמצביע על "שרת SQL שנפרץ (גרסה 16.0.1000)" כדרך החדירה הסבירה. לאחר מכן אסף המפעיל מידע בסיסי על המארח, פרס כלים ומיפה את הרשת ידנית. זה ארך "כמעט יום," ולאחר מכן התוקפים שתקו במשך כשבועיים.

השלב השני הוא שבו הקצב משתנה. עם פריסת סוכן CyberStrikeAI, בוצעו התמדה ואיסוף מודיעין מקומי "בתוך 2 דקות" — משימה מתוזמנת בשם SystemUpdate שמצביעה על האימפלנט, עם מפתח Run ב-Registry תחת HKCU\Software\Microsoft\Windows\CurrentVersion\Run כחלופה של הפריימוורק ב-Windows, ורשומת crontab @reboot או שורת nohup ב-~/.bashrc כחלופותיה ב-Linux. איסוף מודיעין בדומיין נמשך "לאורך 5 השעות הבאות", תוך שימוש בסקריפטים של PowerShell שהמודל יצר ושאילתות LDAP מול Active Directory, כולל החיפושים הדרושים להכנת Kerberoasting ו-AS-REP Roasting ובדיקות של LAPS, תיקיות Azure ו-.azcopy. לאחר "הפוגה קצרה של מספר ימים", השלב האחרון — תנועה רוחבית דרך SMB ו-WMI, שאיבת אישורים המונית וייצוא מסד נתונים — ארך "לא יותר משעה".

שורת הסיכום של קספרסקי היא זו ששווה לשמור: כל המתקפה, "מפריסת הסוכן ועד להשתלטות על מנהלי הדומיין – הושלמה בתוך 3–4 ימים".

A rendered timeline card headed 'Four days from an implant to domain admin', subtitled 'The single incident Kaspersky reconstructs, with the stages and durations it gives'. Six rows, each marked manual or agent. Initial access, manual, commands originating from sqlservr.exe against a compromised Microsoft SQL Server 16.0.1000: nearly a day. A pause of about two weeks. Persistence and local recon, agent, a scheduled task named SystemUpdate plus a PowerShell survey of the host: within 2 minutes. Domain reconnaissance, agent, generated PowerShell and LDAP queries including Kerberoasting and AS-REP Roasting lookups: over the next 5 hours. A pause of several days. Final stage, agent, lateral movement over SMB and WMI, mass credential dumping and database export: no more than 1 hour. A footer reads that the whole attack, from agent deployment to domain administrator compromise, finished within 3 to 4 days.

עבודת האישורים היא קטלוג של טכניקות Windows מוכרות ולא משהו חדש: כוורות רישום (registry hives) שהועתקו החוצה באמצעות reg.exe, lsass.exe שהוצא באמצעות פונקציית MiniDump של comsvcs.dll תוך שימוש במזהה התהליך ולא בשמו כדי לעקוף התאמת שורת פקודה, ולאחר שנפרץ חשבון מנהל הדומיין המובנה — התקפות DCSync ו-Golden Ticket שהורצו דרך קובץ בינארי של Mimikatz בשם שונה, wdiag2.exe. תנועה לטרלית השתמשה ב-WMIExec של Impacket, בתיקיות ניהוליות משותפות וב-WMI, כאשר סקריפט reverse-shell בשם p1.ps1 נדחף למארחים מרוחקים וביצע קריאה חזרה אל 185.186.245[.]144:5501. המטענים פוצלו למקטעים כגון d3.b64 והורכבו מחדש באמצעות certutil, וביקון אחד התחזה ל-svchosts.exe.

איסוף הנתונים בא אחרון. הסוכן יצר שאילתות SQL מותאמות למשימה, אך בדק את הרשאות חשבון מסד הנתונים לפני שהריץ אותן, סרק שיתופי רשת באופן רקורסיבי לפני שמשך קבצים, והחזיר הכול דרך אותו ערוץ C2 מוצפן, כשהנתונים מקודדים ב-Base64 בתוך JSON. צילומי מסך ב-Windows וב-Linux היו זמינים, אך לפי Kaspersky, הם נלקחו רק כאשר האורקסטרטור הוציא את הפקודה. הדוח מציין שאיסוף הנתונים "היה השלב האחרון של המתקפה: השרשרת הסתיימה שם, ולא נצפתה פעילות נוספת."

מה נלקח, ומה שהתיעוד לא אומר

Kaspersky מתעדת שהסוכן ייצא רשומות מסד נתונים משרת ה-SQL של ארגון החינוך ואסף קבצים ממשאבי רשת, והיא מתארת את המנגנון בפירוט. היא אינה אומרת כמה רשומות או קבצים יצאו, האם הייצוא הושלם, או של מי היו הנתונים בטבלאות. סיכומים משניים מרחיקים לכת מהדוח בנקודה זו: הכתבה של SecurityOnline אומרת שהסוכן "יצר שאילתות SQL ממוקדות כדי לגנוב רשומות של סטודנטים ואנשי צוות מטבלאות מסד נתונים", בעוד הטקסט של Kaspersky עצמה מתאר את השאילתות נגד שרת SQL חינוכי בלי לפרט מה הכילו הטבלאות. על הקוראים להתייחס לתיאור "רשומות של סטודנטים ואנשי צוות" כאפיון משני, ולא כממצא של Kaspersky.

גם חסר מהתיעוד: האם קורבן כלשהו זיהה את החדירה עצמה, מה כל מוסד עשה לאחר מכן, האם נודע לרגולטורים או לרשויות להגנת המידע במדינות המושפעות, והאם הקמפיין עדיין פעיל. Kaspersky אומרת רק שאיסוף הנתונים היה השלב האחרון שנצפה באירועים שבדקה. בהודעה לעיתונות אין הנחיות לתיקון עבור הארגונים המושפעים — ההמלצות שלה מיועדות למגינים באופן כללי.

ייחוס: מה שהראיות תומכות בו, ומה שלא

קספרסקי מציינת במפורש כי אינה יכולה לנקוב בשם גורם. "הנתונים הזמינים אינם מאפשרים לנו לקשר את הפעילות לשום קבוצת תוקפים מוכרת, וגם לא לקבוע בוודאות שאותו מפעיל עומד מאחורי שתי הקמפיינים." הראיה שעליה היא נשענת היא מטא-נתוני הבנייה של Go בתוך האימפלנטים, הנושאים גיבובי בקרת גרסאות, זמני קומיט ודגל של עותק עבודה עם שינויים לא שמורים — "טביעת אצבע ייחודית לבנייה מסוימת." על בסיס זה הדגימות מתחלקות לשתי קבוצות, ובתוך כל קבוצה המטענים של Windows ו-Linux חולקים מטא-נתונים זהים, כלומר הם באו מאותו עותק עבודה.

הקבוצות אינן קשורות זו לזו. הן "אינן חולקות תשתית C2 משותפת", ושגרסאות שונות של CyberStrikeAI פעלו על שתי מערכות שרתי השליטה. Kaspersky מציינת שתי סיבות לכך שהייחוס קשה כאן: המסגרת זמינה לציבור, כך שמפעילים שונים יכלו לבנות מטענים באופן עצמאי בתנאים דומים, והפקודות עצמן נוצרות על ידי מודל, מה שמנפח את המגוון שלהן תוך הסרת ההרגלים האישיים שייחוס התנהגותי תלוי בהם.

מה שנותר הוא בגדר רמז ולא בגדר מסקנה חד-משמעית. חלק מהסקריפטים הכילו הערות בסינית, התוקפים השתמשו בשירות הסיני dnslog[.]cn כדי לאשר גישה לאינטרנט ממארחי הקורבנות, ורוב ההפעלות מחדש של שרתי השליטה — שניתנות לשחזור משום שתעודת TLS בחתימה עצמית נוצרת מחדש בזיכרון בכל הפעלה, כך ששדה not_before שלה מתעד את זמן ההפעלה מחדש — נפלו בשעות העבודה של UTC+8. CyberStrikeAI עצמו פותח בקהילת הסייבר הסינית. הודעת העיתונות של Kaspersky מבהירה את הגבול בבירור: ממצאים אלה "אינם קובעים את זהות התוקפים או את מיקומם", והחברה "לא יכלה לייחס את הפעילות לקבוצת איומים מוכרת או לאשר שאותו מפעיל שלט בכל התשתיות שזוהו". מפעיל דובר סינית הוא הסקה, לא ממצא.

מדוע קספרסקי טוענת שזה אינו מקרה חירום של זיהוי

מסקנת הדו״ח דוחה את הרעיון ש-LLM בשרשרת ההרג מחייב סוג חדש של הגנה. מכיוון שהמודל מתארח בשרת של התוקף, הוא "לא הותיר עקבות לנוכחותו בתשתית (כגון בקשות API ספציפיות ל-LLM מקומיים או דפוסים חריגים של צריכת משאבים על ידי מארחים)". מה שהמגנים רואים במקום הוא חדירה בדמות אדם: אותם כלי עזר, אותם רצפים, אותן רשומות ביומן אירועים. קביעתו של Kaspersky היא ש"הכנסת AI לשרשרת התקיפה אינה מציבה עדיין אתגרים חדשים מהיסוד לזיהוי", ש"כללי מתאם וניתוח התנהגות קלאסיים ומכווננים היטב מספיקים", ושהחידוש "אינו טמון בשיטות עצמן, אלא במהירות ובקלות שבהן הן בוצעו".

הזיהויים שפורסמו פועלים לפי ההיגיון הזה ולא ממציאים חדשים. Kaspersky Anti Targeted Attack מעלה את פסק הרשת Backdoor.CyberStrikeAI.HTTP.C&C על תעבורת השתל; כלל זיהוי אנומליות ברשת בשם "Scanning domain records via LDAP queries" תופס את איסוף המידע על הדומיין; Kaspersky SIEM מספק יותר מ-100 כללים המכסים את הטכניקות בדוח, כולל DCSync, Golden Ticket, Kerberoasting ו-Impacket WMIExec; והשתלים מסווגים כ-HEUR:HackTool.Win64.CyberStrike.gen ו-HEUR:HackTool.Linux.CyberStrike.gen. ההנחיות של Kaspersky ללקוחות הן שגרתיות — זיהוי ותגובה בנקודות קצה, זיהוי ברשת, מודיעין איומים, וניטור מחוץ לשעות העבודה או באמצעות שירות מנוהל.

הצהרתו של נזארוב בהודעה לעיתונות היא אותה טענה במשפט אחד: התוקפים "השתמשו בסוכן בינה מלאכותית המבוסס על CyberStrikeAI כדי לבצע שרשרת תקיפה מלאה ולהתאים את צעדיהם הבאים בתוך רשתות שנפרצו", אך "המסגרת עדיין נשענה על טכניקות ונהלים מוכרים, כולל גילוי, שאיבת פרטי התחברות, תנועה רוחבית, ואיסוף והוצאת נתונים."

מה מבוסס, ומה לא

A rendered two-column card headed 'What the record supports, and what it does not', subtitled 'Kaspersky documents the tradecraft in detail. The campaign around it is thinner: no victims named, no actor identified, no total harm recorded.' Established column, six items: education-sector victims in several countries across Africa and Latin America, observed September to October 2026; commands on victim hosts originating from sqlservr.exe against a Microsoft SQL Server 16.0.1000; persistence within 2 minutes and domain reconnaissance over 5 hours after implant deployment; domain administrator compromise within 3 to 4 days; registry hive dumps, LSASS via comsvcs.dll, DCSync and a Golden Ticket using a renamed Mimikatz; database records and network files collected, after which the chain stopped. Not established column, six items: how many organisations were hit and in which countries; who the operators are, or whether one operator ran both build groups; that a Chinese-speaking actor was responsible, which Kaspersky calls suggestive only; how much data left, or whose data was in the exported tables; whether the victims detected the intrusion themselves or notified a regulator; whether the campaign has ended. A footer reads that the archive's grade of A describes how well Kaspersky's report and press release agree with each other, not independent verification by a second organisation.

במילים פשוטות: המנגנון מתועד ברמה שתאפשר למגן לצוד אותו מחר — שושלת תהליכים מ-sqlservr.exe, משימה מתוזמנת בשם SystemUpdate, גישה ל-LSASS דרך comsvcs.dll, DCSync ממחשב שאינו בקר דומיין, כותרת ה-HTTP ‏X-Implant-Token, וכתובות ה-C2 שקספרסקי מפרטת. הקמפיין סביב המנגנון הזה אינו מתועד. קספרסקי לא פרסמה רשימת קורבנות, לא פילוח לפי מדינות, לא הערכת היקף נתונים ולא זהות של שחקן תוקף. כל מה שקורא עשוי לרצות לדעת על מי נפגע ועד כמה קשה — מסתיים ברמת המגזר והאזור.

שני פרטים ראויים לציון לכל מי שניגש לדוח בציפייה ליותר. ראשית, Kaspersky מתארת את המתקפה כ„אחד התיאורים הפומביים הראשונים של פגיעה הכרוכה ב-LLM בשטח” ולא כראשון — הסתייגות שמצמצת את הטענה למה שהצוות הצליח למצוא בדיווח פומבי. שנית, הדוח מציין שגרסת השתיל אינה עוקבת אחר גרסת השרת, שתצורות מאזין ומפתחות שורדות עדכוני מפעיל, ושתאריך הבנייה של דגימה נותן רק תאריך פריסה אפשרי מוקדם ביותר, ולא את משך הפגיעה. הנתון של 3–4 ימים הוא מדידה של תקרית אחת משוחזרת, ולא גבול לכמה זמן נמשכו חדירות אלה לפני שמישהו הבחין.

© 2026 OrcaRouter

מוצר

מודלי AIסייברפתרונותOpen SourceOpen Weightsתמחור

משאבים

תיעודבלוגאינטגרציותסטטוסתמיכהארכיון תקריות בינה מלאכותיתמרכז האמון

שותפים

תוכנית שותפיםיוצריםשגריריםקוד פתוח

לספקים

מפעילים פלטפורמת הסקה (inference)? הציגו את המודלים שלכם ב-OrcaRouter.

[email protected]

הצטרפו לקהילה שלנו

Discord[email protected]XLinkedInGitHubYouTube

מהבלוג

MiniMax-H3-Image מול Qwen-Image 2.1: שני צ'קפוינטים פתוחים, שני מנעולים שוניםMiniMax-H3-Image לעומת Nano Banana 2: משקלים חופשיים, גבולות סגוריםMiniMax-H3-Image מול Krea 3 Ultra: שמונה שניות לעומת מספר דקותMiniMax-H3-Image לעומת Ideogram 4.5: גבול העריכה ותקציב הפיקסליםMiniMax-H3-Image לעומת Meta Muse Image: היכן נגמר היתרון של המשקולות הפתוחות

ספקי מודלים

OpenAI API76Google API32Qwen API27Anthropic API14DeepSeek API11Z.ai API10Kling API8MiniMax API7Orca API6Grok API5Kimi API4Tencent API4