GTIG AI Threat Tracker: van een prompt naar duizenden inloggegevens in zes uur

Google Threat Intelligence Group publiceerde de Q2 2026-editie van zijn AI Threat Tracker op 8 september 2026. De casus waarop het rapport is gebaseerd, is kort genoeg om eenvoudig te formuleren: een vermoedelijk financieel gemotiveerde actor nam een cloudresource van een slachtoffer over, stopte een prompt en een set vooraf geschreven agentinstructies in een AI-codeerchatbot en oogstte duizenden inloggegevens van derden in minder dan zes uur, waarbij de agent zelfstandig kwetsbaarheidsscans uitvoerde, problemen oploste en IP-rotatie beheerde. Hetzelfde rapport beschrijft getrojaniseerde MCP-servers op PyPI, een credential-stealer die de eigen identiteit van een buildsysteem steelt, zodat de van een backdoor voorziene pakketten aankomen met geldige, cryptografisch ondertekende SLSA Build 3-attestaties, en adversariële tekst die bedoeld is om te zorgen dat op LLM gebaseerde beveiligingsscanners de code eronder weigeren te lezen. Dat alles is Googles verslag van zijn eigen telemetrie. Dit rapport is gecatalogiseerd, met zijn betrouwbaarheidsgraad en de bronnen waarnaar het verwijst, in het AI-incidentarchief, dat elk ander gedocumenteerd incident in deze reeks er ook in bevat.

Geen van de inhoudelijke beweringen is geverifieerd door een partij die Google niet slechts herhaalt. Help Net Security behandelde de tracker op de dag van publicatie, de Cloud Security Alliance publiceerde de volgende dag een onderzoeksnotitie, en Lineaje publiceerde op 17 september een DUSTMAKER-analyse; elk daarvan is een samenvatting of een analytische laag over Google's openbaarmaking, en Lineaje zegt dat zelf, met de opmerking dat GTIG "verschillende gerelateerde DUSTMAKER-capaciteiten beschrijft in plaats van één enkele waargenomen end-to-end uitvoeringstrace." De tweede bron die naast dit record wordt aangehaald, een "threat pulse"-item van threatops.tech van 11 september 2026, is een hervertelling in plaats van een tweede getuige: het voegt geen verslaggeving toe, betwist geen enkel cijfer en verhoogt het ernstlabel zonder uit te leggen waartegen het wordt afgemeten. De berichtgeving is het zelfs niet volledig eens over de naam van de editie — Help Net Security noemt het de Q3 2026-tracker terwijl het zijn hoofdcase op Q2 2026 dateert — wat een nummeringsverschil is, geen feitelijk conflict.

Het archief voert dit op als een rapport in plaats van een incident: betrouwbaarheidsgraad A, niet betwist, geen gekwantificeerd cijfer voor daadwerkelijke schade dat eraan is gekoppeld. Die beoordeling beschrijft de kwaliteit van de documentatie, niet de omvang van de schade. Google telt inloggegevens, geen slachtoffers. De tracker vermeldt niet hoeveel organisaties door de zes uur durende campagne zijn getroffen, wie ze waren, welke chatbot is gebruikt, of een van de gestolen inloggegevens later is verkocht of gebruikt.

De zes uur die GTIG beschrijft, en de drie klussen die de agent alleen deed

De opeenvolging in het rapport loopt van toegang tot resultaat, met heel weinig menselijke betrokkenheid daartussen. De actor compromitteerde een cloudresource en gebruikte vervolgens een commerciële AI-codeerchatbot, samen met wat GTIG "een prompt" en "een set agentinstructies" noemt — de markdown-playbooks die nu als AGENTS.md-bestanden in repositories staan — om de operatie te plannen, op te bouwen en uit te voeren. Google zelf noemt het resultaat "een door agents mogelijk gemaakte grootschalige campagne voor het oogsten van inloggegevens", voltooid "in minder dan zes uur".

Drie taken worden als autonoom beschreven, en dat zijn de drie taken die anders de aandacht van een operator zouden hebben opgeëist:

• De pijplijn voor kwetsbaarheidsscans, die de agentinstructies de AI "autonoom laten beheren", in de bewoording die Help Net Security citeert uit GTIG.

• Realtime probleemoplossing voor alles wat de scan opleverde, zodat een fout de run niet liet vastlopen in afwachting van een beslissing.

• IP-rotatie, zodat opeenvolgende pogingen van verschillende adressen uitgingen, zonder dat iemand daartoe de opdracht gaf.

Waar de operatie werd uitgevoerd, is even belangrijk als hoe snel ze werd uitgevoerd. Door vanuit de eigen cloudinfrastructuur van het slachtoffer te werken, leidde de actor het verkeer door de legitieme IP-bereiken van het slachtoffer. Verzoeken die lijken te komen van binnen een organisatie zijn precies degene die op reputatie gebaseerde verdedigingen het minst toegerust zijn om in twijfel te trekken, en het rapport registreert dit als een gevolg van het werken vanuit de eigen omgeving van het slachtoffer.

Wat het rapport niet bevat, is even veelzeggend als wat het wel bevat. Er is geen timing per stap, dus "onder de zes uur" is één meting van de hele run en kan niet worden opgesplitst in een grafiek. Er is geen naam voor de actor buiten "vermoedelijk financieel gemotiveerd", geen slachtoffer, en geen vermelding van welk model of welke chatbot van welke leverancier betrokken was. De tracker behandelt de zaak als een uitgewerkt voorbeeld van een trend, en hij is geschreven op het abstractieniveau dat dat doel dient in plaats van op het abstractieniveau dat een incidentresponder zou willen.

Een blootgestelde server die uitgroeide tot een dashboard met 23.800 geheimen

Een tweede bevinding in dezelfde sectie is concreter, en het is een afzonderlijke zaak. GTIG vond een blootgestelde command-and-controlserver die een geautomatiseerd verkennings- en inloggegevensbeheerframework host dat het Recon noemt. De mapinhoud was leesbaar en verraadde het ontwerp: AGENTS.md, KNOWLEDGE.md, agentic_vuln_research.md, plus een modulaire .openclaw/-map en een memory/-map. Die bestandsnamen zijn de vingerafdruk van een agentstack in plaats van een op maat gemaakt implant — instructies, verzamelde kennis en een onderzoeksplan, allemaal op schijf waar de tooling van de operator ze kan lezen.

Dezelfde directory diende later als een live frontend-dashboard voor het organiseren en valideren van meer dan 23.800 verzamelde secrets, inclusief API-sleutels voor cloud- en AI-diensten. GTIG karakteriseert de verschuiving die dit vertegenwoordigt als een beweging "van passieve, op endpoints gerichte infostealers naar offensieve agentische harvesting" — dat wil zeggen, van malware die pakt wat hij kan van één laptop naar tooling die blijft doorwerken op de doelen die al zijn bereikt.

Bij dat aantal horen twee kanttekeningen. Drieëntwintigduizend achthonderd is een telling van geheimen, niet van mensen of bedrijven, en het rapport zet het ene niet om in het andere. En GTIG vermeldt niet of de Recon-server en de zes uur durende campagne dezelfde operatie zijn; ze worden in dezelfde sectie als afzonderlijke waarnemingen gepresenteerd, dus ze als één verhaallijn behandelen zou een gevolgtrekking zijn die het rapport niet maakt.

DUSTMAKER en de attestatie die correct aangeeft dat het pakket authentiek is

Het supplychaingedeelte van de tracker betreft UNC6780, dat Google ook volgt als TeamPCP, een financieel gemotiveerde groep die sinds maart 2026 open-source-infrastructuur compromitteert via PyPI, npm en Docker Hub. De methode met AI-tooling is direct: gecompromitteerde ontwikkelaarsaccounts werden gebruikt om getrojaniseerde forks van legitieme MCP-servers te publiceren, waarbij tiktoken_mcp als voorbeeld op PyPI wordt genoemd, en er werd kwaadaardige code geïnjecteerd in officiële organisatierepositories, waaronder azure-functions-mcp-extension. GTIG merkt op dat payloads en kwaadaardige workspace-hooks vervolgens automatisch werden ingeladen zodra de assets werden gedownload of gecloned — geen aparte lokmiddel, geen tweede stap.

De credential stealer, DUSTMAKER, is waar het meest nuttige technische punt van het rapport zit. De keten is kort. De stealer detecteert dat hij in een CI/CD-omgeving draait; GTIG schrijft dat hij "indien bevestigd" OIDC-tokens uit het procesgeheugen van een GitHub Actions-runner haalt. Hij gebruikt die tokens om zichzelf te autoriseren als trusted publisher. Vervolgens publiceert hij gecompromitteerde pakketversies met geldige, cryptografisch ondertekende SLSA Build 3-attestaties. Niets in die keten is vervalst. De attestatie is echt, uitgegeven aan een echte identiteit, voor een build die echt heeft plaatsgevonden — van code die de aanvaller heeft geschreven. De conclusie van GTIG is de zin die ertoe doet voor iedereen die op provenance vertrouwt: "Pakketten die met geldige tokens zijn gepubliceerd, zullen de geautomatiseerde trustchecks van AI-codingagents doorstaan."

De rest van het gedrag van DUSTMAKER is gericht op plekken waar verdedigers niet opletten. Het plaatst en wijzigt bestanden in werkruimtemappen van AI-codeerassistenten en IDE's — .claude/, .vscode/, .cursor/ — waar het opgaat in de ruis van ontwikkelaars en plekken vermijdt die endpointdetectie daadwerkelijk bewaakt, zoals Windows-registersleutels of /etc/cron.*. Het schrijft configuratie waardoor de IDE of AI-extensie een script uitvoert, zoals setup.mjs wanneer de werkruimte wordt geopend, waardoor het openen van een map code-uitvoering wordt. Het maakt pipelinetaken met AI-themanamen, zoals "Copilot Setup" om naar tokens te zoeken, en doet API-aanroepen om uitvoeringslogboeken van workflows te verwijderen, zodat de run niet in de GitHub-interface verschijnt.

De malware die de scanner vraagt weg te kijken

Het laatste mechanisme is het minst geverifieerde van de drie. De JavaScript-loaderscripts van DUSTMAKER beginnen met adversariële prompttekst die als commentaar is ingebed — onder andere in _index.js — met verwijzingen naar biologische en nucleaire wapens, en met een verzoek om een specificatie voor een 20-kiloton implosie-type fissie-inrichting. De beoordeling van GTIG is dat dit "waarschijnlijk bedoeld was om LLM-beveiligingsscanners te laten falen of de analyse van de kwaadaardige JavaScript-code eronder over te slaan vanwege veiligheids- of beleidsweigeringen."

Het label op die zin is van belang. Het is een uitspraak over intentie, afgeleid uit de tekst die de loader met zich meedraagt, niet een bewijs dat een scanner het bestand daadwerkelijk heeft geweigerd. Het rapport noemt geen scanner die het bestand heeft overgeslagen, meldt geen bypasspercentage en zegt niet dat de techniek werkte. Wat vaststaat, is dat iemand het lokaas heeft geschreven en het heeft meegestuurd in een credential stealer — wat op zichzelf bewijs vormt dat de aanvallers verwachten dat LLM-gebaseerde triage in de keten zit.

UNC6508, MIDNIGHT NEPTUNE en CALANQUE ION staan in hetzelfde rapport

Het aan staten gelinkte materiaal van de tracker is breder dan het criminele materiaal, en grotendeels minder geautomatiseerd. UNC6508, een groep met banden met de VRC, voert al meerdere jaren een spionagecampagne tegen Noord-Amerikaans academisch, medisch en militair onderzoek en richt zich nu specifiek op proprietair AI-onderzoek; GTIG vermoedt dat de groep cloudomgevingen compromitteert om lokale open-weight modellen te implementeren, waardoor monitoring van commerciële API's wordt vermeden en de eigen rekenkracht van het slachtoffer wordt ingezet.

Elders is het patroon kant-en-klare modellen die op schaal gewoon werk verrichten. Noord-Korea's MIDNIGHT NEPTUNE, voorheen UNC1069, gebruikte DeepSeek-Coder om Python remote-access-trojans te schrijven met platformonafhankelijke persistentie en procesinjectie, gebruikte LLM's voor Bash-scripts voor laterale beweging, zette social-engineeringpersona's en technische lokmiddelen in, vergiftigde interne repositoryconfiguraties, wijzigde Claude CLI-hooks, en zette de SOMBERMEME-backdoor in wanneer een ontwikkelaar met de repository omging. Iraanse CALANQUE ION, voorheen APT42, gebruikte modellen om e-mailadressen van doelwitten te identificeren, OSINT uit te voeren, lokmiddelen te lokaliseren, geëxfiltreerde gegevens samen te vatten en reverse-engineering van licentiecodes te proberen. PRC-nexus BASIN CASTLE gebruikte Gemini voor profilering van doelwitten, vertaling van Chinees materiaal naar formele Engelstalige politieke rapportage en PowerShell-probleemoplossing; RAVINE CASTLE onderzocht hiermee VMware vCenter SAML-bypasses en Active Directory-post-exploitatie; Russische SANDWORM RELIC liet Gemini zijn code voor password spraying schrijven. Financieel gemotiveerde UNC6240, ook gevolgd als ShinyHunters, gebruikte Claude Code-prompts om obfuscated code te schrijven, Cloudflare te omzeilen en geëxfiltreerde mappen te parsen via aangepaste MCP-tools.

Eén geval in dit gedeelte gaat een stap verder dan de rest. Een aan de Volksrepubliek China gelieerde groep gebruikte Gemini om een dynamisch geautomatiseerd penetratietestframework te ontwerpen dat bedoeld was om de toestand van een doelwit te observeren, te beredeneren wat de volgende stap moest zijn en poortscans en service-parsing uit te voeren. Google zegt bredere maatregelen te hebben genomen tegen de campagnes die het had geïdentificeerd, door bijbehorende assets, projecten en accounts uit te schakelen. Afzonderlijk verstoorde Google in juni 2026 "Outsider Enterprise," een in China gevestigde cybercrimedienst die phishingkits leverde, en beschreef dat als de eerste keer dat het juridische stappen ondernam vanwege misbruik van Gemini. Dat zijn twee afzonderlijke uitspraken, en een samenvatting die ze samenvoegt, zou meer zeggen dan het rapport doet: het pentestframework hoort bij de bewoording over het verstoren van assets, de juridische stappen horen bij Outsider Enterprise.

LLMJacking, en wat een gestolen AI-account nu kost

De tracker prijst ook de markt rond gestolen AI-toegang. De ondergrondse vraag concentreerde zich op Claude- en Gemini-inloggegevens, samen met de autonome codeer-IDEs Cursor Pro en Devin, de laatste gemaakt door Cognition, en de gemiddelde marktplaatsprijzen per account meer dan verdubbelden in 2026. De infostealers die de verzameling doen — LUMMAC.V2, STEALC.V2, VIDAR en ACRSTEALER — werden bijgewerkt om zich te richten op AI-ontwikkelaarsconfiguratie. In mei 2026 pushten de controllers van ACRSTEALER file-grabber-regels voor Cline's secrets.json en Continue AI's config.yaml, die beide plaintext API-sleutels en aangepaste model-routing-eindpunten kunnen bevatten.

Eén inbraak die GTIG beschrijft, laat zien wat een AI-account waard is zodra het is overgenomen. In april 2026 was een blootgesteld GitHub personal access token voldoende om Gemini Enterprise in te schakelen, high-performance compute in te richten, Docker-repositories te maken voor een LiteLLM API-implementatie en het Manus-agentframework, en Cloud Run-services op te zetten die via een IAM-invoker-binding aan allUsers werden blootgesteld. Dezelfde sessie creëerde een rogue-serviceaccount met Editor-rechten en exporteerde de sleutels ervan, bevroeg BigQuery op omgevingsvariabelen en inloggegevens, probeerde het projecteigenaarschap aan een extern adres over te dragen, en gebruikte de Cloud Quotas API om NVIDIA RTX 6000-capaciteit en extra 48-vCPU-instances aan te vragen.

Het beeld rond modelextractie komt neer op dezelfde economie, maar op grotere schaal. GTIG zegt dat distillatiecampagnes nu regelmatig plaatsvinden, "sommige met meer dan 100 miljoen prompts", waarbij queries worden geroteerd over duizenden gecompromitteerde en frauduleuze accounts en via proxy-infrastructuur worden geleid, en dat Google tegenmaatregelen heeft ingezet die de prestaties van een studentmodel kunnen verslechteren, plus methoden om uit Gemini gedistilleerde modellen op basis van herkomst te identificeren.

Wat vaststaat, wat een inschatting is, en wat GTIG zegt niet te hebben gezien

Vastgesteld, in de zin dat Google zijn eigen first-party telemetrie en zijn eigen accountacties beschrijft: het rapport en de datum ervan; de artefacten waarvan het zegt ze te hebben waargenomen, inclusief de pakketnamen, de bestandsnamen van de loader, de mapnamen en het dashboard met 23.800 secrets; en de stappen om de activiteit te verstoren die Google zegt te hebben genomen, waar het getuigenis van kan afleggen omdat het uitschakelen van een account iets is wat het doet in plaats van iets wat het afleidt. Help Net Security, de Cloud Security Alliance en Lineaje rapporteren al die punten zonder tegenstrijdigheid, hoewel geen van hen eigen onafhankelijk bewijs aandraagt.

Beoordeling, in de zin dat het een oordeel is dat Google velt: elke toeschrijving aan een natiestaat in het rapport; de interpretatie van het weigeringslokaas als opzettelijk; en de bewering dat gestolen tokens "geautomatiseerde vertrouwenscontroles voor AI-codeeragenten" zullen doorstaan, wat een uitspraak is over hoe die controles doorgaans worden opgebouwd en niet een meting van een specifiek product dat er één niet doorstaat.

Niet vastgesteld: de identiteit van de zes-uur-actor, de slachtoffers en hun aantal, de betrokken chatbot en het betrokken model, en of de Recon-server überhaupt met die campagne verbonden is.

En het eigen plafond van het rapport ligt lager dan de titel suggereert. GTIG stelt dat het nog geen volledig autonome exploitatiepijplijnen in het wild heeft waargenomen, en schat in dat het gebruik door tegenstanders "zich zou kunnen ontwikkelen naar dit gebruiksscenario." De splitsing zit binnen de aanval en niet eromheen: mensen leveren het doel, de prompt en het instructiebestand; de agent levert het scannen, het oplossen van problemen en de rotatie, en stopt niet om toestemming te vragen. Bij aandachtige lezing is de campagne van zes uur geen bewijs dat autonomie is aangebroken. Het is bewijs dat het menselijke aandeel in het werk is teruggebracht tot het deel dat een mens vereist — beslissen wat te doen — terwijl alles tussen beslissing en resultaat zichzelf uitvoerde.

Wat Google zegt dat het heeft veranderd, en de controle waar het rapport eigenlijk naar wijst

De door Google uiteengezette reactie verloopt langs twee sporen. Wat misbruik betreft, stelt het dat de activiteiten "de veiligheidsreacties van Gemini hebben geactiveerd", dat het "aanvullende, bredere maatregelen" tegen de campagnes heeft genomen op grond van de operationele beveiligingsfouten van de actoren, dat het bijbehorende assets, projecten en accounts heeft uitgeschakeld, en dat Google DeepMind de bevindingen heeft gebruikt om zijn classifiers en het model zelf te versterken, zodat het deze verzoeken weigert. Wat verdediging betreft, heeft het Google AI Threat Defense ingezet, dat Gemini en frontiermodellen combineert met Wiz-risicoprioritering, Gemini- en CodeMender-remediatie en Mandiant-inlichtingen, waarbij lichtere modellen worden gebruikt voor continue scanning en frontiermodellen voor hoogrisicobevindingen; het introduceerde ook Gemini 3.8 Flash Cyber voor kwetsbaarheidsdetectie en geautomatiseerde patching, en publiceerde open-sourcerichtlijnen voor het versterken van de toeleveringsketen.

De specifieke correctie die de DUSTMAKER-zaak vereist, is beperkter dan die stack, en externe analyses komen daarop uit. Een SLSA-attestatie beantwoordt of een pakket is gebouwd door de identiteit die het claimt. Ze beantwoordt niet of die identiteit nog steeds toebehoort aan de partij die je bedoelde te vertrouwen, en de hele methode van DUSTMAKER is een identiteit lenen in plaats van er een te vervalsen. De samenvatting van Lineaje van de onderliggende verschuiving is de helderste formulering ervan: "Repository-inhoud wordt uitvoeringsautoriteit." Pakketnamen, namen van MCP-servers, attestatiebadges en instructiebestanden in een repository komen nu allemaal met een of andere claim om opgevolgd te worden, en het gestolen OIDC-token is wat de claim er geverifieerd uit laat zien.