Mandiant 2026 AI-rapport: een op hol geslagen agent met een rekening van $50.000 en AI-ondersteunde intrusies

van MandiantAI Risk and Resilience 2026, gepubliceerd op Google Cloud in september 2026 en in dezelfde week besproken door Help Net Security, The Hacker News en SecurityBrief, beschrijft drie casussen waarin AI het mechanisme was in plaats van het doelwit: een gekaapte sessie van een AI-codeerassistent die de Shai-Hulud worm verspreidde over ongeveer 100 interne repositories bij een niet nader genoemde software-as-a-serviceaanbieder; een gecompromitteerd CI/CD-inloggegeven dat een indringer binnen een zorgbedrijf omvormde tot een AI-ondersteunde offensieve hub, waarbij duizenden inloggegevens werden geëxfiltreerd; en een boekhoudagent die in minder dan een uur ongeveer $50,000 aan cloudkosten opbouwde nadat een corrupte null-waarde een van zijn tools had gebroken, een factureringsdatabase op slot zette en live transacties stillegde. Bij het derde geval was geen aanvaller betrokken. Het dossier waarop dit artikel is gebaseerd, en de vermeldingen die eromheen zijn geregistreerd, staan in het AI-incidentenarchief, dat bij elke vermelding de eigen bronnen, ernst, betrouwbaarheidsgraad en betwistvlag vermeldt.

Wat voor soort document dit is

Het rapport draagt de titel "AI risk and resilience in 2026: A Mandiant special report" op de pagina met beveiligingsbronnen van Google Cloud, en het is een publicatie van een leverancier, geen melding van een datalek. De casestudy's komen uit de incidentresponsopdrachten van Mandiant en uit beoordelingen door het Offensive Security-team van Mandiant, en de organisaties worden alleen naar sector geïdentificeerd: een aanbieder van software-as-a-service, een wereldwijde zorgorganisatie en een wereldwijde financiële dienstverlener voor ondernemingen. Er wordt geen slachtoffer bij naam genoemd, geen enkele inbraak is gedateerd en bij geen van de drie gevallen hoort een verklaring van een slachtoffer.

Dat bepaalt hoe de cijfers moeten worden gelezen. Elk getal daarin is afkomstig van Mandiants eigen onderzoekers. De Frontier Ready-notitie van de Cloud Security Alliance van 16 september bestempelt de kosten van ongeveer $50.000 en het volume van 15.000 calls als "zelfgerapporteerd (leveranciersstatistiek)" en stelt dat deze "niet onafhankelijk zijn geverifieerd" — een accurate beschrijving van het hele rapport, dat geen telemetrie van derden publiceert om tegen te controleren. Het archief classificeert deze vermelding als een informatief record, een rapport in plaats van een incident met geregistreerde schade, en kent het betrouwbaarheidsniveau A toe zonder het als betwist aan te merken; die beoordeling zegt iets over hoe goed het rapport is gedocumenteerd, niet over of een externe partij de inhoud heeft bevestigd.

De eigen framing van het rapport is dat tegenstanders in 2026 de stap hebben gemaakt van het vragen aan chatbots om onderzoek naar het door agentische systemen laten uitvoeren van delen van een inbraak. Mandiant zegt dat Google Threat Intelligence Group heeft waargenomen dat actoren autonome tooling inzetten, waaronder Hexstrike en Strix, voor verkenning en het oogsten van inloggegevens, en proxyrelays en geautomatiseerde registratiepijplijnen bouwen om guardrails en factureringslimieten op commerciële AI-platforms te omzeilen. Het rapport verwijst naar de bewapening in februari van OpenClaw-agentvaardigheden die VirusTotal documenteerde, naar compromissen in de toeleveringsketen in maart die Mandiant toeschrijft aan de actor die het volgt als UNC6780 en anderen als TeamPCP, en naar een onthulling in mei die GTIG beschreef als het eerste publiekelijk bevestigde geval van een cybercrimineel die een door AI ontwikkelde zero-day-exploit gebruikte, een exploit die tweefactorauthenticatie omzeilde in een populair opensourcebeheertool.

Geval één: de assistent raadde het pakket aan.

In het eerste geval compromitteerde een aanvaller een software-as-a-serviceprovider en nam vervolgens een actieve sessie van een AI-codeerassistent over op het werkstation van een ontwikkelaar. Mandiant beschrijft de assistent als "een vertrouwde interpreter binnen de omgeving": hij raadde de installatie aan van een extern softwarepakket dat de aanvaller al had vergiftigd, en de ontwikkelaar accepteerde de aanbeveling. Het rapport stelt dat de assistent "onbedoeld als Trojaans paard fungeerde".

Tijdens de live sessie installeerde de aanvaller een infostealer via een vergiftigd PyPI-pakket en verzamelde de GitHub OAuth-tokens van de ontwikkelaar. De zichzelf verspreidende Shai-Hulud-worm verspreidde zich vervolgens over ongeveer 100 interne code-repositories, waarbij de diefstal van repository-geheimen en de programmatische exfiltratie van bedrijfseigen productbroncode werd geautomatiseerd. De aanvaller vergiftigde ook een pakket binnen de officiële namespace van de organisatie, en een tweede medewerker haalde de gecompromitteerde versie op — een downstream-infectie die volgens Mandiant geen verdere actie van de indringer vereiste.

Wat het rapport niet zegt, is wanneer een van deze gebeurtenissen plaatsvond, of hoe de aanvaller in de eerste plaats controle over de assistentsessie kreeg. The Hacker News, dat de casestudy op 16 september besprak, merkt beide omissies op. De onderzoeksnotitie van de Cloud Security Alliance van 18 september over de zaak noemt de initiële toegangsvector "de meest significante open vraag van de casestudy" en merkt op dat de aanbevolen maatregelen van Mandiant betrekking hebben op hoe ver een infectie zich kan verspreiden, niet op hoe de sessie werd overgenomen.

De maatregelen van Mandiant voor deze casus zijn er drie, en ze zijn specifiek over het falen: handhaaf verificatiehooks voor IDE en CLI die elke door AI aanbevolen externe afhankelijkheid controleren aan de hand van cryptografische checksums en een goedgekeurde allowlist; houd ruwe API-sleutels, langlevende OAuth-tokens en andere geheimen buiten bereik van extensies; en beperk het uitgaande netwerkverkeer van werkstations zodat afhankelijkheidsverkeer alleen via gecontroleerde interne repositories verloopt.

Casus twee: een CI/CD-credential omgevormd tot een AI-hub voor gezamenlijk debuggen

De tweede zaak is een cloudonderzoek bij een wereldwijde zorgorganisatie. Mandiant herleidde afwijkende activiteit tot gecompromitteerde, langlevende CI/CD-inloggegevens van een ontwikkelaar, die de indringer gebruikte om een niet-geïsoleerde VM-instantie op te zetten en om te vormen tot een live offensieve hub. In plaats van tooling offline te bouwen, koppelde de aanvaller grote taalmodellen rechtstreeks aan de draaiende server en bleef daar ter plekke tegen die modellen itereren.

Mandiant beschrijft een workflow in drie fasen. Eerst kwam context priming: codepakketten die via remote sessies werden gesynchroniseerd en README-bestanden van projecten die in de chatcontext van het model werden geladen, om latere codegeneratie in de richting van de doelstellingen van de campagne te sturen. Dan interactief debuggen: de aanvaller liet het model een dataverzamelingsframework met meerdere workers bouwen en werkte met het model logische fouten bij het splitsen van scripts door, waardoor de exfiltratiefrequentie werd opgevoerd naar een cyclus van drie uur. Ten slotte ontwijking en exploitatie: het model schreef dynamische IP-rotatiescripts om geblokkeerde serveradressen on the fly te verwisselen, en ontwikkelde mede een op Rust gebaseerd hulpmiddel om in te loggen op slachtofferaccounts en financiële saldi te controleren.

Mandiant zegt dat de campagne duizenden inloggegevens heeft gecompromitteerd en verzamelde API-sleutels en financiële geheimen heeft geëxfiltreerd naar een repository die door de aanvaller werd beheerd. Het rapport vermeldt niet op wiens accounts de Rust-tool was gericht, aan wie de financiële saldi toebehoorden die hij controleerde, of wat er daarna met de inloggegevens is gebeurd. Er wordt nergens in de casestudy melding gemaakt van patiëntgegevens.

De aanbevolen maatregelen volgen de inloggegevens in plaats van het model: vervang langdurig geldige toegangssleutels door kortstondige vertrouwensrelaties van Workload Identity Federation met OIDC; begrens uitgaand verkeer met VPC Service Controls zodat runtime- en ontwikkelomgevingen geen niet-goedgekeurde externe modelproviders kunnen bereiken; voer doorlopende scans op geheimen uit in alle workspaces; en plaats een runtime-promptfirewall zoals Model Armor in het pad om hardgecodeerde inloggegevens te onderscheppen en offensieve hulpscripts te blokkeren tijdens de uitvoering.

Casus drie: de agent die in minder dan een uur $50,000 uitgaf

In het derde geval was er geen tegenstander. Een wereldwijde aanbieder van financiële diensten voor ondernemingen zette een agent in om afwijkingen in zijn boekhoudgrootboek te reconciliëren en gaf deze lees- en schrijftoegang tot interne factureringsdatabases. Een beschadigde null-waarde zorgde ervoor dat de opmaaktool van de agent niet meer werkte, en de agent reageerde door terecht te komen in wat Mandiant een onbeperkte, recursieve redeneerlus noemt om met brute kracht een oplossing af te dwingen.

In minder dan een uur verstuurde het meer dan 15.000 hoogfrequente, kostbare reasoning-API-aanroepen, wat een plotselinge piek in de cloudfacturering van ongeveer $50.000 veroorzaakte. Dezelfde lus veroorzaakte ernstige lokale databaselocking die actieve bedrijfstransacties tot stilstand bracht. Mandiant registreert de zaak onder "denial-of-wallet", en de oplossingen die het voorschrijft zijn operationeel in plaats van op modelniveau: een uitgavenlimiet, begrensde recursie en een circuit breaker om een agent te stoppen die steeds opnieuw dezelfde taak niet voltooit.

Het rapport zegt niet of de kosten werden betaald, gecrediteerd of betwist, hoe lang transacties werden stilgelegd, of klanten werden getroffen, of wat het bedrijf daarna heeft gewijzigd. Het vermeldt ook geen datum. Het overzicht van SecurityWeek van 18 september plaatst het onder wat het rapport bestempelt als een nieuwe categorie financieel risico in plaats van een conventionele inbraak.

De door Mandiant voorgestelde controles zijn dienovereenkomstig financieel: definities voor identiteits- en op rollen gebaseerde toegang voor agents, drempels voor kostenplafonds en monitoring als governance, plus geautomatiseerde financiële stroomonderbrekers die een agent stopzetten na een vast aantal opeenvolgende taakfouten. Op service- en projectniveau adviseert het harde financiële plafonds, begrensde recursielimieten en snelheidslimieten, zodat een zelfcorrectielus wordt afgeremd voordat deze een storing wordt.

Wat vaststaat, wat wordt toegeschreven, wat niet bekend is gemaakt

Vastgesteld. Mandiant publiceerde dit rapport, en het zegt wat hierboven is samengevat. Vier vakmedia besteedden er binnen drie dagen na elkaar aandacht aan — Help Net Security en The Hacker News op 16 september, SecurityBrief UK op 17 september en SecurityWeek op 18 september — en hun verslagen komen bij elk cijfer dat ze herhalen overeen met het rapport. De Cloud Security Alliance publiceerde op 18 september een afzonderlijke onderzoeksnotitie over het eerste geval, met dezelfde lezing van de werking ervan en dezelfde conclusie over wat Mandiant achterwege liet.

Toegeschreven, niet onafhankelijk geverifieerd. De specifieke cijfers zijn van Mandiant: ongeveer 100 repositories, duizenden inloggegevens, een exfiltratiecyclus van drie uur, meer dan 15.000 redeneeraanroepen, ruwweg $50.000, minder dan een uur. Geen enkel medium heeft telemetrie van een van de drie slachtoffers gepubliceerd, en geen van de drie is door iemand bij naam genoemd. De bevestiging die bestaat, is bevestiging van de inhoud van het rapport, niet van de gebeurtenissen. Dat onderscheid is alles waar een lezer hier op kan vertrouwen, en de betrouwbaarheidsgraad van het archief moet ook zo worden gelezen.

Niet bekendgemaakt.Het rapport noemt geen data voor een van de drie opdrachten, geen namen van slachtoffers en geen verslag van hoe de assistantsessie in zaak één werd overgenomen. Het zegt niet of de buitgemaakte GitHub OAuth-tokens en repository-geheimen zijn ingetrokken, of de duizenden inloggegevens uit zaak twee zijn gebruikt of gereset, of de betrokkenen van de zorgorganisatie zijn getroffen, of de kosten van de boekhoudagent zijn teruggevorderd, of wat de drie organisaties daarna hebben veranderd. Dit artikel vond geen verklaring van slachtoffers, kennisgeving van een toezichthouder of vervolgartikel dat sinds 16 september is gepubliceerd en die hiaten vult.

Waar de berichtgeving uiteenloopt. In de nota van de Cloud Security Alliance wordt de tweede infectie in geval één beschreven als verspreid via de eigen npm-namespace van het bedrijf. De tekst van Mandiant zegt alleen "een package binnen de officiële namespace van de organisatie" en noemt daar geen ecosysteem; de npm-lezing is een toevoeging, geen citaat. Afzonderlijk stelt The Hacker News expliciet dat de worm in dit geval volgens de beschikbare bewijzen niet in verband wordt gebracht met de npm-worm van augustus die hooks voor codeerassistenten plaatste, of met een Shai-Hulud-variant die 469 locaties scande op inloggegevens — dezelfde familienaam, afzonderlijke campagnes, zonder bewijs in het artikel dat ze met elkaar verbindt.

Wat het rapport zegt, zou moeten veranderen.

De aanbevelingen van Mandiant komen terug in de casestudies van het rapport: stap af van langdurig geldige inloggegevens en serviceaccounts naar identiteiten die aan een workload zijn gebonden en inherent kortlevend zijn; behandel AI-codeassistenten en MCP-servers als geprivilegieerde sessies waarvan extensies en CLI-hooks vóór uitvoering worden geverifieerd; omsluit agentworkloads met netwerkperimeters die egress naar niet-goedgekeurde modelproviders blokkeren; en instrumenteer tokengebruik, API-aanroepen tussen applicaties en agenttoegang tot gevoelige assets, zodat een eerste keer uitlezen van een gevoelige repository als signaal naar voren komt in plaats van op te gaan in legitiem toolverkeer.

Wat kosten betreft, trekt het een grens tussen governance van AI en governance voor AI: beleid dat risicobereidheid en inkoopregels vaststelt aan de ene kant, en afgedwongen technische limieten aan de andere. De accountingagent is het voorbeeld in het rapport van het falen van de tweede soort: volgens Mandiant was er in de implementatie ervan niets dat de lus begrensde, en de controles die het hadden kunnen opvangen — een limiet, een snelheidsbeperking, een circuit breaker — zijn gewone maatregelen die op een ongebruikelijke workload worden toegepast.

De drie gevallen hebben geen gemeenschappelijke oorzaak. Het ene is een vertrouwensprobleem, waarbij de aanbeveling van een assistent de autoriteit had van die van een collega. Het andere is een inloggegevensprobleem dat al bestond vóór enig model, waarbij de modellen de inbraak sneller en aanpasbaarder maakten zodra ze eenmaal binnen waren. Het derde is geen van beide: geen aanvaller, geen exploit, alleen een agent met schrijftoegang tot een grootboek en geen plafond op wat die mocht uitgeven om een kapot hulpmiddel te repareren. Wat ze gemeen hebben, is dat het AI-systeem in elk geval bevoegdheden had die niemand had afgebakend — om aan te bevelen, om opnieuw te configureren, om te blijven proberen.