Mandiant 2026 AI-rapport: en skenande agents 50 000-dollarräkning och AI-assisterade intrång

Mandiants AI Risk and Resilience 2026 rapporten, som publicerades på Google Cloud i september 2026 och uppmärksammades samma vecka av Help Net Security, The Hacker News och SecurityBrief, beskriver tre uppdrag där AI var mekanismen snarare än målet: en kapad session för AI-kodassistent som spred Shai-Hulud-masken över cirka 100 interna kodförråd hos en icke namngiven SaaS-leverantör; en komprometterad CI/CD-autentiseringsuppgift som en inkräktare gjorde om till ett AI-assisterat offensivt nav inne i ett vårdföretag och exfiltrerade tusentals autentiseringsuppgifter; och en bokföringsagent som drog på sig ungefär $50,000 i molnkostnader på under en timme efter att ett korrupt nullvärde slog ut ett av dess verktyg, låste en faktureringsdatabas och stoppade pågående transaktioner. Ingen angripare var inblandad i det tredje fallet. Posten som den här artikeln bygger på, och de poster som lämnats in kring den, finns i AI-incidentarkivet, som för varje post anger dess egna källor, allvarlighetsgrad, konfidensgrad och flagga för omtvistad status.

Vilken typ av dokument det här är

Rapporten har titeln "AI-risk och motståndskraft 2026: En specialrapport från Mandiant" på Google Clouds sida för säkerhetsresurser, och den är en leverantörspublikation snarare än ett avslöjande om intrång. Dess fallstudier kommer från Mandiants incidentresponsuppdrag och från bedömningar av dess Offensive Security-team, och organisationerna identifieras endast genom sektor: en SaaS-leverantör, en global hälso- och sjukvårdsorganisation, en global leverantör av finansiella tjänster för företag. Ingen drabbad part namnges, inget intrång dateras, och ingen utsaga från någon drabbad part åtföljer någon av de tre.

Det påverkar hur siffrorna ska läsas. Varje tal i dem kommer från Mandiants egna utredare. Cloud Security Alliances Frontier Ready-not från den 16 september betecknar kostnaden på cirka 50 000 dollar och volymen på 15 000 anrop som "självrapporterad (leverantörsmetrik)" och säger att de "inte har verifierats oberoende" – en rättvisande beskrivning av hela rapporten, som inte publicerar någon tredjepartstelemetri att kontrollera mot. Arkivet registrerar denna post som en informationspost, en rapport snarare än en incident med dokumenterad skada, och graderar den till förtroende A utan att flagga den som omstridd; det betyget säger något om hur väl rapporten är dokumenterad, inte om huruvida en utomstående part har bekräftat dess innehåll.

Rapportens egen inramning är att motståndare under 2026 gick från att be chattbotar om efterforskning till att låta agentiska system utföra delar av ett intrång. Mandiant säger att Google Threat Intelligence Group har observerat aktörer som använder autonoma verktyg, inklusive Hexstrike och Strix, för rekognosering och insamling av autentiseringsuppgifter, samt bygger proxyreläer och automatiserade registreringsflöden för att kringgå skyddsräcken och faktureringsgränser på kommersiella AI-plattformar. Rapporten hänvisar till vapeniseringen i februari av OpenClaw-agentfärdigheter som VirusTotal dokumenterade, komprometteringar i leveranskedjan i mars som Mandiant tillskriver aktören som de spårar som UNC6780 och andra spårar som TeamPCP, och ett avslöjande i maj som GTIG beskrev som det första offentligt bekräftade fallet där en cyberbrottsling använde en AI-utvecklad zero-day-exploit, en som kringgick tvåfaktorsautentisering i ett populärt administrationsverktyg med öppen källkod.

Fall ett: assistenten rekommenderade paketet

I det första fallet komprometterade en angripare en leverantör av programvara som tjänst och tog sedan över en aktiv session för en AI-kodassistent på en utvecklares arbetsstation. Mandiant beskriver assistenten som att den ”agerade som en betrodd tolk inom miljön”: den rekommenderade installation av ett externt mjukvarupaket som angriparen redan hade förgiftat, och utvecklaren accepterade rekommendationen. Rapporten säger att assistenten ”oavsiktligt fungerade som en trojansk häst”.

Under live-sessionen installerade angriparen en infostealer via ett förgiftat PyPI-paket och skördade utvecklarens GitHub OAuth-token. Den självspridande Shai-Hulud-masken rörde sig sedan över cirka 100 interna kodförråd och automatiserade stölden av repository-hemligheter och den programmatiska exfiltreringen av proprietär produktkällkod. Angriparen förgiftade också ett paket i organisationens officiella namespace, och en andra anställd hämtade den komprometterade versionen – en nedströmsinfektion som enligt Mandiant inte krävde någon ytterligare åtgärd från inkräktaren.

Det rapporten inte säger är när något av detta inträffade, eller hur angriparen över huvud taget fick kontroll över assistentsessionen. The Hacker News, som rapporterade om fallstudien den 16 september, noterar båda utelämningarna. Cloud Security Alliances forskningsnotis den 18 september om fallet kallar den initiala åtkomstvektorn för ”fallstudiens mest betydande öppna fråga” och konstaterar att Mandiants rekommenderade skyddsåtgärder avser hur långt en infektion kan spridas, inte hur sessionen kapades.

Mandiants kontroller för det här fallet är tre, och de är specifika när det gäller felet: genomdriv verifieringshooks för IDE och CLI som kontrollerar varje AI-rekommenderat tredjepartsberoende mot kryptografiska kontrollsummor och en godkänd tillåtelselista; håll råa API-nycklar, långlivade OAuth-token och andra hemligheter utom räckhåll för tillägg; och begränsa arbetsstationens nätverksutgång så att beroendetrafik endast dirigeras via kontrollerade interna repositorier.

Fall två: en CI/CD-autentiseringsuppgift som förvandlats till ett AI-nav för gemensam felsökning

Det andra fallet är en utredning av ett företagsmoln hos en global hälso- och sjukvårdsorganisation. Mandiant spårade avvikande aktivitet till en komprometterad långlivad CI/CD-autentiseringsuppgift för utvecklare, som inkräktaren använde för att starta en icke-isolerad VM-instans och omvandla den till ett aktivt offensivt nav. I stället för att bygga verktyg offline kopplade angriparen in stora språkmodeller direkt i den körande servern och itererade mot dem på plats.

Mandiant beskriver ett arbetsflöde i tre steg. Först kom kontextpriming: kodpaket som synkroniserades via fjärrsessioner och projektets README-filer som lästes in i modellens chattkontext för att styra senare kodgenerering mot kampanjens mål. Sedan interaktiv felsökning: angriparen lät modellen bygga ett datainsamlingsramverk med flera arbetare och arbetade igenom logiska fel i skriptuppdelningen tillsammans med den, vilket höjde exfiltreringstakten till en cykel på tre timmar. Slutligen undvikande och utnyttjande: modellen skrev dynamiska IP-rotationsskript för att byta blockerade serveradresser i farten och var med och utvecklade ett Rust-baserat verktyg för att logga in på offrens konton och kontrollera ekonomiska saldon.

Mandiant säger att kampanjen komprometterade tusentals autentiseringsuppgifter och exfiltrerade insamlade API-nycklar och finansiella hemligheter till ett förvar som angriparen kontrollerade. Rapporten säger inte vilka konton Rust-verktyget riktades mot, vilka de finansiella saldon som det kontrollerade tillhörde, eller vad som hände med autentiseringsuppgifterna efteråt. Inga patientdata nämns någonstans i fallstudien.

De rekommenderade kontrollerna följer autentiseringsuppgifterna snarare än modellen: ersätt långlivade åtkomstnycklar med kortlivade förtroenderelationer via Workload Identity Federation som använder OIDC; begränsa utgående trafik med VPC Service Controls så att körtids- och utvecklingsmiljöer inte kan nå icke godkända externa modellleverantörer; kör kontinuerlig hemlighetsskanning i alla arbetsytor; och placera en brandvägg för körtidsprompter, till exempel Model Armor, i vägen för att fånga upp hårdkodade autentiseringsuppgifter och blockera offensiva verktygsskript när de körs.

Fall tre: agenten som spenderade $50,000 på under en timme

Det tredje fallet hade ingen motståndare. En global leverantör av finansiella tjänster för företag distribuerade en agent för att stämma av avvikelser i sin redovisningsreskontra och gav den läs- och skrivbehörighet till interna faktureringsdatabaser. Ett korrupt nullvärde förstörde agentens formateringsverktyg, och agenten svarade med att gå in i vad Mandiant kallar en obegränsad, rekursiv resonemangsslinga för att brute-forcea en lösning.

På under en timme utfärdade den fler än 15 000 högfrekventa reasoning-API-anrop med hög kostnad, vilket gav en plötslig topp i molnfaktureringen på cirka 50 000 dollar. Samma loop orsakade allvarlig låsning av den lokala databasen som stoppade aktiva affärstransaktioner. Mandiant klassificerar fallet som "denial-of-wallet", och åtgärderna de föreskriver är operativa snarare än på modellnivå: ett utgiftstak, begränsad rekursion och en kretsbrytare för att stoppa en agent som fortsätter att misslyckas med samma uppgift.

Rapporten anger inte om avgiften betalades, krediterades eller bestreds, hur länge transaktionerna stoppades, om kunder påverkades eller vad företaget ändrade efteråt. Den anger inte heller något datum. SecurityWeeks sammanställning den 18 september grupperar det under vad rapporten flaggar som en ny kategori av finansiell risk snarare än ett konventionellt intrång.

Mandiants föreslagna kontroller är på motsvarande sätt finansiella: {{1}}identitets- och rollbaserade åtkomstdefinitioner för agenter{{/1}}, {{2}}tröskelvärden för kostnadstak och övervakning som styrning{{/2}}, plus {{3}}automatiserade finansiella skyddsbrytare som stoppar en agent efter ett visst antal på varandra följande uppgiftsmisslyckanden{{/3}}. På service- och projektnivå rekommenderar den {{4}}hårda finansiella tak, begränsade rekursionsgränser och hastighetsbegränsningar{{/4}}, så att {{5}}en självkorrigerande loop stryps innan den blir ett avbrott{{/5}}.

Vad som är fastställt, vad som tillskrivs, vad som inte redovisas

Fastställt. Mandiant publicerade den här rapporten, och den säger det som sammanfattas ovan. Fyra branschpublikationer rapporterade om den inom tre dagar från varandra – Help Net Security och The Hacker News den 16 september, SecurityBrief UK den 17 september och SecurityWeek den 18 september – och deras redogörelser stämmer med rapportens vad gäller varje siffra de upprepar. Cloud Security Alliance publicerade en separat forskningsnotis om det första fallet den 18 september, med samma tolkning av dess mekanik och samma slutsats om vad Mandiant utelämnade.

Tillskrivet, inte oberoende verifierat. De specifika siffrorna är Mandiants: ungefär 100 repositorier, tusentals inloggningsuppgifter, en tre timmar lång exfiltreringscykel, över 15 000 resonemangsanrop, cirka 50 000 dollar, under en timme. Ingen mediekanal har publicerat telemetri från någon av de tre drabbade, och ingen av de tre har namngivits av någon. Den bekräftelse som finns är en bekräftelse av rapportens innehåll, inte av händelserna. Den distinktionen är allt en läsare kan lita på här, och arkivets förtroendegrad bör läsas på samma sätt.

Ej offentliggjort. Rapporten anger inga datum för någon av de tre uppdragen, inga namn på offer och ingen redogörelse för hur assistantsessionen i det första fallet övertogs. Den säger inte om de insamlade GitHub OAuth-token och repository-hemligheterna återkallades, om de tusentals inloggningsuppgifterna från det andra fallet användes eller återställdes, om de registrerade hos vårdorganisationen påverkades, om redovisningsagentens avgift återkrävdes, eller vad någon av de tre organisationerna ändrade efteråt. Den här artikeln hittade inget offerutlåtande, inget meddelande från tillsynsmyndigheten och ingen uppföljande rapportering publicerad sedan 16 september som fyller dessa luckor.

Där rapporteringen går isär. Cloud Security Alliances not beskriver den andra infektionen i fall ett som spridd via företagets egen npm-namnrymd. Mandiants text säger endast "ett paket inuti organisationens officiella namnrymd" och namnger inte något ekosystem där; npm-tolkningen är ett tillägg, inte ett citat. Separat är The Hacker News tydliga med att masken i det här fallet enligt tillgänglig bevisning inte är kopplad till npm-masken i augusti som planterade krokar för kodassistenter, eller till en Shai-Hulud-variant som hittades när den skannade 469 platser efter autentiseringsuppgifter – samma familjenamn, separata kampanjer, utan att det i artikeln finns några bevis som kopplar dem samman.

Vad rapporten säger bör ändras

Mandiants rekommendationer återkommer i rapportens fallstudier: gå från långlivade autentiseringsuppgifter och tjänstekonton till identiteter som är bundna till en arbetsbelastning och kortlivade till sin konstruktion; behandla AI-kodassistenter och MCP-servrar som privilegierade sessioner vars tillägg och CLI-krokar verifieras före körning; omslut agentarbetsbelastningar i nätverksperimetrar som blockerar utgående trafik till icke godkända modellleverantörer; och instrumentera tokenanvändning, API-anrop mellan applikationer och agenters åtkomst till känsliga tillgångar så att en första läsning av ett känsligt repository framträder som en signal i stället för att smälta in i legitim verktygstrafik.

Kostnadsmässigt drar den en gräns mellan styrning av AI och styrning för AI: policy som fastställer riskaptit och upphandlingsregler å ena sidan, och genomdrivna tekniska begränsningar å andra sidan. Redovisningsagenten är rapportens exempel på att den andra typen misslyckas: enligt Mandiant fanns inget i dess driftsättning som begränsade loopen, och de kontroller som skulle ha fångat den – ett tak, en hastighetsbegränsning, en kretsbrytare – är vanliga kontroller som tillämpas på en ovanlig arbetsbelastning.

De tre fallen har inte samma orsak. Det ena är ett förtroendeproblem, där en assistents rekommendation bar samma auktoritet som en kollegas. Det ena är ett behörighetsproblem som är äldre än någon modell, där modellerna gör intrånget snabbare och mer anpassningsbart när de väl är inne. Det tredje är inget av dem: ingen angripare, inget utnyttjande, bara en agent som fått skrivåtkomst till en liggare och inget tak för vad den kunde spendera för att laga ett trasigt verktyg. Det de har gemensamt är att AI-systemet i varje fall hade befogenheter som ingen hade avgränsat – att rekommendera, att omkonfigurera, att fortsätta försöka.