GTIG AI Threat Tracker: från en prompt till tusentals inloggningsuppgifter på sex timmar

Google Threat Intelligence Group publicerade Q2 2026-upplagan av sin AI Threat Tracker den 8 september 2026. Fallet som bär rapporten är kort nog att säga rakt ut: en misstänkt finansiellt motiverad aktör tog en molnresurs som tillhörde ett offer, matade in en prompt och en uppsättning förskrivna agentinstruktioner i en AI-kodningschattbot och hade skördat tusentals tredjepartsinloggningsuppgifter på under sex timmar, medan agenten själv hanterade sårbarhetsskanning, felsökning och IP-rotation. Samma rapport beskriver trojaniserade MCP-servrar på PyPI, ett autentiseringsuppgiftsstjälande program som stjäl ett byggsystems egen identitet så att dess paket med bakdörrar anländer med giltiga, kryptografiskt signerade SLSA Build 3-attesteringar, och adversariell text som syftar till att få LLM-baserade säkerhetsskannrar att vägra läsa koden under den. Allt är Googles redogörelse för sin egen telemetri. Den här rapporten är katalogiserad, med sin konfidensgrad och sina citerade källor, i AI-incidentarkivet, som innehåller alla andra dokumenterade incidenter i den här serien tillsammans med den.

Inget av de väsentliga påståendena har verifierats av en part som inte återger Google. Help Net Security bevakade trackern samma dag som den publicerades, och Cloud Security Alliance publicerade en forskningsnotis dagen därpå, och Lineaje publicerade en DUSTMAKER-analys den 17 september; var och en är en sammanfattning av eller en analytisk påbyggnad på Googles avslöjande, och Lineaje säger det själv och noterar att GTIG "beskriver flera relaterade DUSTMAKER-funktioner snarare än ett enda observerat exekveringsspår från början till slut." Den andra källan som åberopas tillsammans med denna uppgift, ett "threat pulse"-inslag från threatops.tech daterat den 11 september 2026, är en upprepning snarare än ett andra vittne: den tillför ingen rapportering, bestrider ingen siffra och höjer allvarlighetsbeteckningen utan att förklara vad den mäts mot. Bevakningen är inte helt överens ens om utgåvans namn — Help Net Security kallar den Q3 2026-trackern samtidigt som den daterar sitt huvudsakliga fall till Q2 2026 — vilket är en numreringsskillnad, inte en faktisk konflikt.

Arkivet registrerar detta som en rapport snarare än en incident: konfidensgrad A, inte ifrågasatt, ingen kvantifierad siffra för faktisk skada registrerad för den. Den graderingen beskriver kvaliteten på dokumentationen, inte omfattningen av skadan. Google räknar autentiseringsuppgifter, inte offer. Spårningsverktyget säger inte hur många organisationer som drabbades i den sex timmar långa kampanjen, vilka de var, vilken chattbot som användes, eller om några av de stulna autentiseringsuppgifterna senare såldes eller användes.

De sex timmarna som GTIG beskriver, och de tre jobb som agenten utförde på egen hand

Sekvensen i rapporten sträcker sig från åtkomst till resultat med mycket liten mänsklig inblandning däremellan. Aktören komprometterade en molnresurs och använde sedan en kommersiell AI-kodningschattbot tillsammans med vad GTIG kallar "en prompt" och "en uppsättning agentinstruktioner" – de markdown-playbooks som nu ligger i repositorier som AGENTS.md-filer – för att planera, bygga och köra operationen. Googles egen formulering för resultatet är en "agentmöjliggjord massinsamlingskampanj för autentiseringsuppgifter", slutförd "på under sex timmar".

Tre uppgifter beskrivs som autonoma, och det är de tre som annars skulle ha krävt en operatörs uppmärksamhet:

• Sårbarhetsskanningspipelines, som agentinstruktionerna låter AI:n "autonomt hantera", enligt den formulering som Help Net Security citerar från GTIG.

• Felsökning i realtid av vad genomsökningen än hittade, så att ett fel inte fick körningen att stanna upp i väntan på ett beslut.

• IP-rotation, så att på varandra följande försök utgick från olika adresser utan att någon utfärdade kommandot.

Var operationen kördes är lika viktigt som hur snabbt den kördes. Genom att arbeta utifrån offrets egen molninfrastruktur dirigerade aktören trafiken genom offrets legitima IP-intervall. Förfrågningar som ser ut att komma inifrån en organisation är precis de som reputationsbaserade försvar är minst rustade att ifrågasätta, och rapporten registrerar det som en konsekvens av att man arbetar från offrets egen miljö.

Det rapporten inte innehåller är lika talande som det den innehåller. Det finns ingen tidsmätning per steg, så "under sex timmar" är en enda mätning av hela körningen och kan inte delas upp i ett diagram. Det finns inget namn på aktören utöver "misstänkt finansiellt motiverad", inget offer och inget uttalande om vilken modell eller leverantörs chattbot som var inblandad. Trackern behandlar fallet som ett genomarbetat exempel på en trend, och den är skriven på den nivå som tjänar det syftet snarare än på den nivå en incidentresponder skulle vilja ha.

En exponerad server som växte till en instrumentpanel med 23 800 hemligheter

Ett andra fynd i samma avsnitt är mer konkret, och det är ett separat fall. GTIG hittade en exponerad server för kommando och kontroll som var värd för ett automatiserat ramverk för rekognosering och hantering av autentiseringsuppgifter som det kallar Recon. Kataloglistningen var läsbar och avslöjade designen: AGENTS.md, KNOWLEDGE.md, agentic_vuln_research.md, plus en modulär katalog, .openclaw/, och en katalog, memory/. De filnamnen är fingeravtrycket från en agentstack snarare än ett skräddarsytt implantat – instruktioner, ackumulerad kunskap och en forskningsplan, allt på disk där operatörens verktyg kan läsa dem.

Samma katalog fungerade senare som en live-frontenddashboard som organiserade och validerade mer än 23 800 insamlade hemligheter, inklusive API-nycklar för moln- och AI-tjänster. GTIG beskriver den förskjutning detta innebär som ett steg "från passiva, endpointfokuserade infostealers till offensiv agentisk insamling" – det vill säga från skadlig programvara som tar vad den kan från en bärbar dator till verktyg som fortsätter att bearbeta de mål den redan har nått.

Två varningar hör samman med den siffran. Tjugotretusen åttahundra är en räkning av hemligheter, inte av personer eller företag, och rapporten översätter inte det ena till det andra. Och GTIG anger inte om Recon-servern och den sex timmar långa kampanjen är samma operation; de presenteras som separata observationer i samma avsnitt, så att behandla dem som en enda berättelse skulle vara en slutsats som rapporten inte drar.

DUSTMAKER och attesteringen som korrekt anger att paketet är äkta

Den del av spåraren som avser leveranskedjan rör UNC6780, som Google också spårar som TeamPCP, en ekonomiskt motiverad grupp som sedan mars 2026 har komprometterat infrastruktur för öppen källkod inom PyPI, npm och Docker Hub. Dess metod med AI-verktyg är direkt: komprometterade utvecklarkonton användes för att publicera trojaniserade forks av legitima MCP-servrar, där tiktoken_mcp anges som ett exempel på PyPI, och skadlig kod injicerades i officiella organisationsförråd, inklusive azure-functions-mcp-extension. GTIG noterar att nyttolaster och skadliga workspace-hooks sedan togs in automatiskt när tillgångarna laddades ned eller klonades — inget separat lockbete, inget andra steg.

Dess stöldverktyg för inloggningsuppgifter, DUSTMAKER, är där rapportens mest användbara tekniska poäng finns. Kedjan är kort. Stöldverktyget upptäcker att det körs i en CI/CD-miljö; GTIG skriver att det "om det bekräftas" extraherar OIDC-token från processminnet i en GitHub Actions-runner. Det använder dessa token för att auktorisera sig självt som en betrodd utgivare. Det publicerar sedan komprometterade paketversioner som bär giltiga, kryptografiskt signerade SLSA Build 3-attesteringar. Ingenting i den kedjan är förfalskat. Attesteringen är äkta, utfärdad till en verklig identitet, för ett bygge som verkligen ägde rum – av kod som angriparen skrev. GTIG:s slutsats är meningen som spelar roll för alla som förlitar sig på proveniens: "Paket som publiceras med giltiga token kommer att klara AI-kodagenters automatiska förtroendekontroller."

Resten av DUSTMAKER:s beteende riktar sig mot platser som försvarare inte bevakar. Det placerar och ändrar filer i katalogerna för AI-kodassistenter och IDE-arbetsytor — .claude/, .vscode/, .cursor/ — där det smälter in i utvecklarnas brus och undviker platser som slutpunktsdetektering faktiskt övervakar, till exempel Windows-registernycklar eller /etc/cron.*. Det skriver konfiguration som gör att IDE:n eller AI-tillägget kör ett skript som till exempel setup.mjs när arbetsytan öppnas, vilket gör att öppna en mapp blir kodexekvering. Det skapar pipeline-uppgifter med AI-tematiska namn som till exempel "Copilot Setup" för att jaga efter tokens, och utfärdar API-anrop för att radera körningsloggar för arbetsflöden så att körningen inte visas i GitHub-gränssnittet.

Skadlig programvara som ber skannern att titta bort

Den sista mekanismen är den minst verifierade av de tre. DUSTMAKER:s JavaScript-laddarskript inleds med fientlig prompttext inbäddad som kommentarer – i _index.js bland annat – med hänvisning till biologiska och nukleära vapen, och innehåller en begäran om en specifikation för en fissionsanordning av implosionstyp på 20 kiloton. GTIG:s bedömning är att detta "sannolikt var avsett att få LLM-säkerhetsskannrar att misslyckas eller hoppa över analysen av den skadliga JavaScript-koden nedanför på grund av säkerhets- eller policyvägran."

Etiketten på den meningen spelar roll. Det är ett påstående om avsikt, härlett från texten som loadern bär, inte en demonstration av att någon skanner faktiskt vägrade. Rapporten namnger inte någon skanner som hoppade över filen, anger ingen kringgåendefrekvens och säger inte att tekniken fungerade. Det som är fastställt är att någon skrev betet och levererade det inuti en credential-stealer – vilket i sig är bevis på att angriparna förväntar sig att LLM-baserad triage ska ingå i flödet.

UNC6508, MIDNIGHT NEPTUNE och CALANQUE ION finns i samma rapport

Spårarens statsanknutna material är bredare än dess kriminella material och till största delen mindre automatiserat. UNC6508, en grupp med PRC-koppling, har bedrivit en flerårig spionagekampanj mot nordamerikansk akademisk, medicinsk och militär forskning och riktar nu specifikt in sig på proprietär AI-forskning; GTIG misstänker att gruppen komprometterar molnmiljöer för att distribuera lokala modeller med öppna vikter, vilket undviker övervakning av kommersiella API:er och sätter offrets egen beräkningskraft i arbete.

På andra håll består mönstret av standardmodeller som utför vanligt arbete i stor skala. Nordkoreas MIDNIGHT NEPTUNE, tidigare UNC1069, använde DeepSeek-Coder för att skriva Python-fjärråtkomsttrojaner med plattformsoberoende persistens och processinjektion, använde LLM:er för Bash-skript för lateral rörelse, drev social engineering-personas och tekniska lockbeten, förgiftade interna repositoriekonfigurationer, ändrade Claude CLI-hooks, och distribuerade SOMBERMEMEbackdoor när en utvecklare interagerade med repositoriet. Irans CALANQUE ION, tidigare APT42, använde modeller för att identifiera mål-e-postadresser, köra OSINT, lokalisera lockbeten, sammanfatta exfiltrerad data och försöka reverse-engineera licensieringskod. PRC-nexus BASIN CASTLE använde Gemini för målprofilering, översättning av kinesiskt material till formell engelsk politisk rapportering och PowerShell-felsökning; RAVINE CASTLE undersökte VMware vCenter SAML-bypassar och Active Directory-postexploatering med det; ryska SANDWORM RELIC lät Gemini skriva sin lösenordssprayningskod. Ekonomiskt motiverade UNC6240, även känd som ShinyHunters, använde Claude Code-promptar för att skriva obfuskerad kod, kringgå Cloudflare och tolka exfiltrerade kataloger via anpassade MCP-verktyg.

Ett fall i det här avsnittet går ett steg längre än de övriga. En grupp med koppling till Folkrepubliken Kina använde Gemini för att utforma ett dynamiskt automatiserat ramverk för penetrationstestning, avsett att observera ett måls tillstånd, resonera kring vad som ska göras härnäst och utföra portskanning och tjänsteparsning. Google uppger att man vidtog bredare åtgärder mot de kampanjer man identifierade, genom att inaktivera tillhörande tillgångar, projekt och konton. I ett separat fall slog Google i juni 2026 ut "Outsider Enterprise," en kinesiskbaserad cyberbrottstjänst som levererade nätfiskekit, och beskrev det som första gången företaget hade vidtagit rättsliga åtgärder med anledning av missbruk av Gemini. Det är två separata uttalanden, och en sammanfattning som slår ihop dem skulle säga mer än rapporten: ramverket för penetrationstestning hör till språkbruket om att slå ut tillgångar, medan de rättsliga åtgärderna hör till Outsider Enterprise.

LLMJacking, och vad ett stulet AI-konto kostar nu

Trackern prissätter också marknaden kring stulen AI-åtkomst. Efterfrågan på den underjordiska marknaden koncentrerades på inloggningsuppgifter för Claude och Gemini, tillsammans med de autonoma kodnings-IDE:erna Cursor Pro och Devin, varav den senare tillverkas av Cognition, och genomsnittspriserna på marknadsplatserna per konto mer än fördubblades under 2026. De infostealers som utför insamlingen – LUMMAC.V2, STEALC.V2, VIDAR och ACRSTEALER – uppdaterades för att rikta in sig på AI-utvecklares konfiguration. I maj 2026 distribuerade ACRSTEALER:s kontrollanter filfångstregler för Clines secrets.json och Continue AI:s config.yaml, vilka båda kan innehålla API-nycklar i klartext och anpassade slutpunkter för modellrouting.

En intrusion som GTIG beskriver visar vad ett AI-konto är värt när det väl har tagits över. I april 2026 räckte en exponerad personlig åtkomsttoken för GitHub för att aktivera Gemini Enterprise, etablera högpresterande beräkningskapacitet, skapa Docker-repositorier för en LiteLLM API-distribution och Manus-agentramverket samt starta Cloud Run-tjänster exponerade för allUsers genom en IAM-invoker-bindning. Samma session skapade ett obehörigt tjänstekonto med Editor-behörigheter och exporterade dess nycklar, frågade BigQuery efter miljövariabler och autentiseringsuppgifter, försökte överlåta projektägarskap till en extern adress och använde Cloud Quotas API för att begära NVIDIA RTX 6000-kapacitet och ytterligare 48-vCPU-instanser.

Bilden av modellextrahering bygger på samma ekonomi i större skala. GTIG säger att destilleringskampanjer nu förekommer regelbundet, "vissa med över 100 miljoner promptar", där förfrågningar roteras mellan tusentals komprometterade och bedrägliga konton och dirigeras genom proxyinfrastruktur, och att Google har infört motåtgärder som kan försämra en studentmodells prestanda samt metoder för att identifiera Gemini-destillerade modeller utifrån härkomst.

Vad som är fastställt, vad som är en bedömning och vad GTIG säger att man inte har sett

Fastställt, i den meningen att Google beskriver sin egen förstapartstelemetri och sina egna kontohandlingar: rapporten och dess datum; de artefakter som det säger sig ha observerat, inklusive paketnamnen, loader-filnamnen, katalognamnen och instrumentpanelen med 23 800 hemligheter; och de störningsåtgärder som Google säger sig ha vidtagit, vilka det kan intyga eftersom att inaktivera ett konto är något det gör snarare än något det sluter sig till. Help Net Security, Cloud Security Alliance och Lineaje rapporterar alla dessa punkter utan motsägelse, även om ingen av dem framför oberoende bevis på egen hand.

Bedömning, i den mening att det är en bedömning som Google gör: varje tillskrivning till nationalstat i rapporten; tolkningen av betet för vägran som avsiktligt; och påståendet att stulna tokens kommer att klara "AI-kodagenters automatiserade förtroendekontroller", vilket är ett påstående om hur dessa kontroller vanligtvis är uppbyggda snarare än en mätning av att en specifik produkt underkänns i en sådan.

Inte fastställt: identiteten på den sex timmar långa aktören, offren och deras antal, chatboten och modellen som är inblandade, samt huruvida Recon-servern överhuvudtaget är kopplad till den kampanjen.

Och rapportens egen övre gräns är lägre än vad titeln antyder. GTIG uppger att man ännu inte har observerat fullt autonoma exploateringskedjor i det vilda, och bedömer att motståndarens användning ”skulle kunna utvecklas mot detta användningsfall”. Uppdelningen ligger inom attacken snarare än runt den: människor bidrar med målet, prompten och instruktionsfilen; agenten bidrar med skanningen, felsökningen och rotationen, och stannar inte för att be om tillstånd. Läs noga: sex timmars-kampanjen är inte bevis på att autonomin är här. Det är bevis på att människans andel av arbetet kollapsade till den del som kräver en människa – att bestämma vad som ska göras – medan allt mellan beslut och resultat skötte sig självt.

Vad Google säger sig ha ändrat, och kontrollen som rapporten faktiskt pekar på

Googles officiella svar vilar på två spår. Vad gäller missbruk uppger företaget att aktiviteterna "utlöste Geminis säkerhetssvar", att det vidtog "ytterligare, bredare åtgärder" mot kampanjerna med stöd av aktörernas brister i den operativa säkerheten, att det inaktiverade tillhörande tillgångar, projekt och konton, och att Google DeepMind använde fynden för att stärka sina klassificerare och själva modellen så att den avvisar dessa förfrågningar. Vad gäller försvar har det lanserat Google AI Threat Defense, som kombinerar Gemini och frontier-modeller med Wiz riskprioritering, Gemini och CodeMender-avhjälpning samt Mandiant-underrättelse, och som använder lättare modeller för kontinuerlig skanning och frontier-modeller för högriskfynd; det introducerade också Gemini 3.8 Flash Cyber för sårbarhetsupptäckt och automatiserad patchning, och publicerade vägledning för härdning av leveranskedjan med öppen källkod.

Den specifika åtgärd som DUSTMAKER-fallet kräver är snävare än den stacken, och externa analyser konvergerar kring den. En SLSA-attestering besvarar om ett paket byggdes av den identitet det uppger. Den besvarar inte om den identiteten fortfarande tillhör den part du avsåg att lita på, och DUSTMAKER:s hela metod är att låna en identitet i stället för att förfalska en. Lineajes sammanfattning av den underliggande förskjutningen är den renaste formuleringen av den: "Innehåll i kodförrådet blir exekveringsauktoritet." Paketnamn, MCP-servernamn, attesteringsmärken och instruktionsfiler i ett kodförråd kommer nu alla med något slags anspråk på att lydas, och den stulna OIDC-token är det som får anspråket att framstå som verifierat.