GTIG AI Threat Tracker: จากพรอมต์หนึ่งสู่ข้อมูลรับรองหลายพันรายการในหกชั่วโมง

Google Threat Intelligence Group เผยแพร่ฉบับไตรมาสที่ 2 ปี 2026 ของAI Threat Tracker เมื่อวันที่ 8 กันยายน 2026 คดีที่เป็นแกนหลักของรายงานนี้สั้นพอจะกล่าวได้ตรง ๆ ว่า ผู้ต้องสงสัยซึ่งคาดว่ามีแรงจูงใจทางการเงินได้ยึดทรัพยากรคลาวด์ของเหยื่อรายหนึ่ง ป้อนพรอมต์และชุดคำสั่งเอเจนต์ที่เขียนไว้ล่วงหน้าเข้าไปในแชตบอตเขียนโค้ด AI และสามารถเก็บเกี่ยวข้อมูลรับรองของบุคคลที่สามหลายพันรายการได้ภายในเวลาไม่ถึงหกชั่วโมง โดยที่เอเจนต์จัดการสแกนช่องโหว่ แก้ไขปัญหา และหมุนเวียน IP ได้ด้วยตัวเอง รายงานเดียวกันยังอธิบายถึงเซิร์ฟเวอร์ MCP ที่ถูกฝังโทรจันบน PyPI ตัวขโมยข้อมูลรับรองที่ขโมยตัวตนของระบบบิลด์เองเพื่อให้แพ็กเกจที่ถูกฝังแบ็กดอร์มาพร้อมใบรับรอง SLSA Build 3 ที่ถูกต้องและลงลายเซ็นด้วยการเข้ารหัส และข้อความเชิงปรปักษ์ที่มุ่งทำให้ตัวสแกนความปลอดภัยที่ใช้ LLM ปฏิเสธที่จะอ่านโค้ดที่อยู่ใต้ข้อความนั้น ทั้งหมดนี้เป็นคำอธิบายของ Google เกี่ยวกับข้อมูลเทเลเมทรีของตัวเอง รายงานนี้ได้รับการจัดเก็บเป็นรายการ พร้อมระดับความเชื่อมั่นและแหล่งอ้างอิงที่อ้างถึง ไว้ในคลังเหตุการณ์ AI ซึ่งเก็บเหตุการณ์อื่น ๆ ที่มีบันทึกไว้ทั้งหมดในชุดนี้ไว้เคียงข้างกัน

ไม่มีข้ออ้างเชิงสาระใดเลยที่ได้รับการตรวจสอบยืนยันโดยฝ่ายที่ไม่ได้เป็นเพียงผู้ทวนคำกล่าวของ Google Help Net Securityรายงานเกี่ยวกับตัวติดตามนี้ในวันที่เผยแพร่ Cloud Security Allianceเผยแพร่บันทึกการวิจัยในวันถัดมา และ Lineajeเผยแพร่บทวิเคราะห์ DUSTMAKER เมื่อวันที่ 17 กันยายน; แต่ละแหล่งเป็นเพียงบทสรุปหรือการวิเคราะห์ซ้อนทับบนการเปิดเผยของ Google และ Lineaje เองก็กล่าวเช่นนั้น โดยระบุว่า GTIG "อธิบายความสามารถของ DUSTMAKER ที่เกี่ยวข้องกันหลายประการ มากกว่าจะเป็นร่องรอยการทำงานตั้งแต่ต้นจนจบเพียงหนึ่งเดียวที่สังเกตพบ" แหล่งข้อมูลที่สองที่ถูกอ้างอิงเคียงกับบันทึกนี้ ซึ่งเป็นรายการ "threat pulse" ของ threatops.tech ลงวันที่ 11 กันยายน 2026 เป็นการทวนซ้ำมากกว่าจะเป็นพยานรายที่สอง: ไม่ได้เพิ่มการรายงานใด ๆ ไม่ได้โต้แย้งตัวเลขใด และยกระดับป้ายความรุนแรงโดยไม่ธิบายว่าวัดเทียบกับสิ่งใด การรายงานข่าวไม่เห็นตรงกันทั้งหมดแม้แต่ชื่อฉบับ — Help Net Security เรียกมันว่าตัวติดตาม Q3 2026 ขณะที่ลงวันที่กรณีหลักของตนเป็น Q2 2026 — ซึ่งเป็นความแตกต่างด้านการนับหมายเลข ไม่ใช่ความขัดแย้งเชิงข้อเท็จจริง

คลังข้อมูลจัดเก็บสิ่งนี้เป็นรายงานมากกว่าจะเป็น{{1}}เหตุการณ์{{/1}}: ระดับความเชื่อมั่น A ไม่มีการโต้แย้ง และไม่มีตัวเลขความเสียหายจริงเชิงปริมาณที่บันทึกไว้ การให้เกรดดังกล่าวอธิบายถึงคุณภาพของเอกสาร ไม่ใช่{{2}}ขนาดของความเสียหาย{{/2}} Google นับข้อมูลรับรอง ไม่ได้นับเหยื่อ ตัวติดตามไม่ได้ระบุว่ามีองค์กรจำนวนเท่าใดที่ตกอยู่ในแคมเปญที่กินเวลาหกชั่วโมง องค์กรเหล่านั้นเป็นใคร ใช้แชตบอตตัวใด หรือข้อมูลรับรองที่ถูกขโมยไปถูกนำไปขายหรือใช้งานในภายหลังหรือไม่

หกชั่วโมงที่ GTIG อธิบาย และสามงานที่เอเจนต์ทำคนเดียว

ลำดับเหตุการณ์ในรายงานเริ่มตั้งแต่การเข้าถึงไปจนถึงผลลัพธ์ โดยมีมนุษย์เข้ามาเกี่ยวข้องน้อยมากในระหว่างนั้น ผู้ก่อเหตุได้เจาะระบบทรัพยากรคลาวด์ จากนั้นใช้แชตบอตเขียนโค้ดด้วย AI เชิงพาณิชย์ร่วมกับสิ่งที่ GTIG เรียกว่า "พรอมต์" และ "ชุดคำสั่งสำหรับเอเจนต์" — เพลย์บุ๊กมาร์กดาวน์ที่ปัจจุบันอยู่ในรีโพซิทอรีในชื่อไฟล์ AGENTS.md — เพื่อวางแผน สร้าง และดำเนินการปฏิบัติการ กรอบคำอธิบายของ Google เองสำหรับผลลัพธ์นี้คือ "แคมเปญเก็บเกี่ยวข้อมูลรับรองจำนวนมากที่ขับเคลื่อนด้วยเอเจนต์" ซึ่งเสร็จสิ้น "ภายในเวลาต่ำกว่าหกชั่วโมง"

มีงานสามอย่างที่ถูกอธิบายว่าเป็นแบบอัตโนมัติ และเป็นงานทั้งสามอย่างที่หากไม่เป็นเช่นนั้นจะต้องดึงความสนใจของผู้ควบคุม:

• ไปป์ไลน์การสแกนช่องโหว่ ซึ่งคำสั่งของเอเจนต์อนุญาตให้ AI “จัดการได้เองโดยอิสระ” ตามถ้อยคำที่ Help Net Security อ้างจาก GTIG

• การแก้ปัญหาแบบเรียลไทม์จากสิ่งที่การสแกนตรวจพบ ไม่ว่าการสแกนจะพบอะไรก็ตาม เพื่อไม่ให้ความล้มเหลวทำให้การดำเนินการหยุดชะงักขณะรอการตัดสินใจ

• การหมุนเวียน IP เพื่อให้ความพยายามที่ต่อเนื่องกันออกจากที่อยู่ที่แตกต่างกัน โดยไม่มีใครเป็นผู้ออกคำสั่ง

สถานที่ที่ปฏิบัติการนั้นดำเนินไปสำคัญพอๆ กับความเร็วในการดำเนินการ โดยการที่ผู้กระทำใช้โครงสร้างพื้นฐานคลาวด์ของผู้เสียหายเองในการดำเนินงาน ทำให้ทราฟฟิกถูกส่งผ่านช่วง IP ที่ชอบด้วยกฎหมายของผู้เสียหาย คำขอที่ดูเหมือนมาจากภายในองค์กรเป็นคำขอประเภทที่ระบบป้องกันซึ่งอิงชื่อเสียงมีความสามารถน้อยที่สุดในการตั้งข้อสงสัย และรายงานบันทึกสิ่งนี้ว่าเป็นผลสืบเนื่องจากการดำเนินงานจากระบบไอทีของผู้เสียหายเอง

สิ่งที่รายงานไม่มีบอกก็สื่อความได้พอ ๆ กับสิ่งที่มีอยู่ ไม่มีการระบุเวลาของแต่ละขั้นตอน ดังนั้น "ต่ำกว่าหกชั่วโมง" จึงเป็นการวัดครั้งเดียวของการรันทั้งหมด และไม่สามารถแยกย่อยออกมาเป็นแผนภูมิได้ ไม่มีชื่อของผู้กระทำนอกเหนือจากคำอธิบายว่า "ต้องสงสัยว่ามีแรงจูงใจทางการเงิน" ไม่มีเหยื่อ และไม่มีข้อความระบุว่าเกี่ยวข้องกับแชตบอตของโมเดลหรือผู้ให้บริการรายใด ตัวติดตามปฏิบัติต่อกรณีนี้เป็นตัวอย่างประกอบของแนวโน้ม และเขียนขึ้นในระดับรายละเอียดที่ตอบโจทย์วัตถุประสงค์ดังกล่าว มากกว่าระดับที่ผู้ตอบสนองเหตุการณ์จะต้องการ

เซิร์ฟเวอร์ที่ถูกเปิดเผยซึ่งเติบโตจนกลายเป็นแดชบอร์ดความลับ 23,800 รายการ

ข้อค้นพบที่สองในส่วนเดียวกันเป็นรูปธรรมมากกว่า และเป็นกรณีแยกต่างหาก GTIG พบเซิร์ฟเวอร์ command-and-control ที่เปิดเผยอยู่ ซึ่งโฮสต์เฟรมเวิร์กการลาดตระเวนอัตโนมัติและการจัดการข้อมูลรับรองที่มันเรียกว่า Recon รายการไดเรกทอรีนั้นอ่านได้และเผยให้เห็นการออกแบบ: AGENTS.md, KNOWLEDGE.md, agentic_vuln_research.md, รวมถึงไดเรกทอรี .openclaw/ แบบโมดูลาร์ และ memory/ ไดเรกทอรี ชื่อไฟล์เหล่านี้เป็นลายนิ้วมือของสแตกเอเจนต์มากกว่าอิมแพลนต์ที่สร้างขึ้นเฉพาะ — คำสั่ง ความรู้ที่สะสม และแผนการวิจัย ทั้งหมดอยู่บนดิสก์ที่เครื่องมือของผู้ปฏิบัติการสามารถอ่านได้

ไดเรกทอรีเดียวกันในภายหลังถูกใช้เป็นแดชบอร์ดฟรอนต์เอนด์แบบสดที่จัดระเบียบและตรวจสอบความลับที่เก็บรวบรวมได้มากกว่า 23,800 รายการ ซึ่งรวมถึงคีย์ API สำหรับบริการคลาวด์และ AI GTIG อธิบายถึงการเปลี่ยนแปลงที่สิ่งนี้เป็นตัวแทนว่าเป็นการย้าย "จากอินโฟสตีลเลอร์แบบพาสซีฟที่มุ่งเน้นปลายทาง ไปสู่การเก็บเกี่ยวด้วยเอเจนต์เชิงรุก" — กล่าวคือ จากมัลแวร์ที่คว้าเอาสิ่งที่ทำได้จากแล็ปท็อปเครื่องเดียว ไปสู่เครื่องมือที่ยังคงดำเนินการกับเป้าหมายที่มันเข้าถึงแล้ว

มีข้อควรระวังสองประการที่ต้องมาพร้อมกับตัวเลขนั้น ยี่สิบสามพันแปดร้อยเป็นจำนวนของความลับ ไม่ใช่จำนวนของผู้คนหรือบริษัท และรายงานไม่ได้แปลงจำนวนหนึ่งไปเป็นอีกจำนวนหนึ่ง และ GTIG ไม่ได้ระบุว่าเซิร์ฟเวอร์ Recon และแคมเปญหกชั่วโมงเป็นการปฏิบัติการเดียวกันหรือไม่ ทั้งสองถูกนำเสนอเป็นข้อสังเกตแยกจากกันในส่วนเดียวกัน ดังนั้นการถือว่าทั้งสองเป็นเรื่องราวเดียวกันจึงเป็นการอนุมานที่รายงานไม่ได้ทำ

DUSTMAKER และการรับรองที่ระบุอย่างถูกต้องว่าแพ็กเกจเป็นของแท้

ครึ่งหนึ่งของตัวติดตามที่เกี่ยวกับซัพพลายเชนเกี่ยวข้องกับ UNC6780 ซึ่ง Google ก็ติดตามในชื่อ TeamPCP กลุ่มที่ได้รับแรงจูงใจทางการเงินซึ่งก่อเหตุละเมิดโครงสร้างพื้นฐานโอเพนซอร์สมาภายในเดือนมีนาคม 2026 ครอบคลุม PyPI, npm และ Docker Hub วิธีการกับเครื่องมือ AI ของกลุ่มนี้ตรงไปตรงมา: มีการใช้งานบัญชีนักพัฒนาที่ถูกบุกรุกเพื่อเผยแพร่ฟอร์กของเซิร์ฟเวอร์ MCP ที่ชอบด้วยกฎหมายซึ่งถูกฝังโทรจัน โดยมี tiktoken_mcp ถูกยกเป็นตัวอย่างบน PyPI และมีการฉีดโค้ดอันตรายเข้าไปในรีโพซิทอรีอย่างเป็นทางการขององค์กร รวมถึง azure-functions-mcp-extension GTIG ตั้งข้อสังเกตว่าเพย์โหลดและฮุกเวิร์กสเปซอันตรายถูกนำมาใช้โดยอัตโนมัติทุกครั้งที่มีการดาวน์โหลดหรือโคลนแอสเซ็ตเหล่านั้น — ไม่มีเหยื่อล่อแยกต่างหาก ไม่มีขั้นตอนที่สอง

ตัวขโมยข้อมูลรับรองของมัน DUSTMAKER คือจุดที่ข้อมูลทางเทคนิคที่มีประโยชน์ที่สุดของรายงานตั้งอยู่ ห่วงโซ่นี้สั้น ตัวขโมยตรวจพบว่าตนกำลังทำงานในสภาพแวดล้อม CI/CD; GTIG เขียนว่า "หากได้รับการยืนยัน" มันจะดึงโทเค็น OIDC จากหน่วยความจำของโปรเซสของ GitHub Actions runner มันใช้โทเค็นเหล่านั้นเพื่ออนุญาตให้ตัวเองเป็นผู้เผยแพร่ที่เชื่อถือได้ จากนั้นจึงเผยแพร่แพ็กเกจเวอร์ชันที่ถูกบุกรุกซึ่งมี แอตเทสเตชัน SLSA Build 3 ที่ถูกต้องและลงนามด้วยการเข้ารหัส ไม่มีสิ่งใดในห่วงโซ่นั้นถูกปลอมแปลง แอตเทสเตชันนั้นเป็นของจริง ออกให้กับตัวตนจริง สำหรับบิลด์ที่เกิดขึ้นจริง — ของโค้ดที่ผู้โจมตีเขียน ข้อสรุปของ GTIG คือประโยคที่สำคัญสำหรับทุกคนที่พึ่งพา provenance: "แพ็กเกจที่เผยแพร่ด้วยโทเค็นที่ถูกต้องจะผ่านการตรวจสอบความน่าเชื่อถืออัตโนมัติของเอเจนต์เขียนโค้ด AI"

พฤติกรรมส่วนที่เหลือของ DUSTMAKER มุ่งเป้าไปยังจุดที่ฝ่ายป้องกันไม่ได้เฝ้าดู โดยจะวางและแก้ไขไฟล์ภายในไดเรกทอรี workspace ของผู้ช่วยเขียนโค้ด AI และ IDE — .claude/, .vscode/, .cursor/ — ซึ่งมันกลมกลืนไปกับความวุ่นวายปกติของนักพัฒนาและหลีกเลี่ยงตำแหน่งที่ระบบตรวจจับ endpoint เฝ้าระวังจริง เช่น คีย์รีจิสทรีของ Windows หรือ /etc/cron.* โดยเขียนการกำหนดค่าที่ทำให้ IDE หรือส่วนขยาย AI รันสคริปต์อย่าง setup.mjs เมื่อเปิด workspace ซึ่งทำให้การเปิดโฟลเดอร์กลายเป็นการรันโค้ด มันสร้างงานในไปป์ไลน์ที่ตั้งชื่อตามธีม AI เช่น "Copilot Setup" เพื่อค้นหาโทเค็น และส่งการเรียก API เพื่อลบบันทึกการดำเนินการของเวิร์กโฟลว์ เพื่อไม่ให้การรันปรากฏในอินเทอร์เฟซ GitHub

มัลแวร์ที่ขอให้สแกนเนอร์มองไปทางอื่น

กลไกสุดท้ายเป็นกลไกที่ได้รับการตรวจสอบยืนยันน้อยที่สุดในบรรดาทั้งสาม ไฟล์สคริปต์ตัวโหลด JavaScript ของ DUSTMAKER เริ่มต้นด้วยข้อความพรอมป์ต์เชิงฝ่ายตรงข้ามที่ฝังไว้เป็นคอมเมนต์ — ใน _index.js รวมถึงไฟล์อื่น ๆ — ซึ่งอ้างอิงถึงอาวุธชีวภาพและอาวุธนิวเคลียร์ และรวมถึงคำขอข้อกำหนดสำหรับอุปกรณ์ฟิชชันชนิดอัดยุบตัวขนาด 20 กิโลตัน การประเมินของ GTIG คือข้อความนี้ "มีแนวโน้มว่ามีเจตนาให้ตัวสแกนความปลอดภัยของ LLM ล้มเหลวหรือข้ามการวิเคราะห์โค้ด JavaScript ที่เป็นอันตรายข้างใต้นั้น เนื่องจากการปฏิเสธด้วยเหตุผลด้านความปลอดภัยหรือนโยบาย"

ป้ายกำกับบนประโยคนั้นมีความสำคัญ มันเป็นข้อความเกี่ยวกับเจตนาที่อนุมานได้จากข้อความที่ตัวโหลดพามา ไม่ใช่การพิสูจน์ว่าสแกนเนอร์ใดปฏิเสธไฟล์จริง รายงานไม่ได้ระบุชื่อสแกนเนอร์ที่ข้ามไฟล์ ไม่ได้รายงานอัตราการหลบเลี่ยง และไม่ได้บอกว่าเทคนิคนี้ได้ผล สิ่งที่ยืนยันได้คือมีคนเขียนข้อความล่อและส่งมันไปพร้อมกับโปรแกรมขโมยข้อมูลรับรอง ซึ่งตัวมันเองเป็นหลักฐานว่าผู้โจมตีคาดว่าจะมีการคัดกรองโดยใช้ LLM อยู่ในเส้นทาง

UNC6508, MIDNIGHT NEPTUNE และ CALANQUE ION อยู่ในรายงานเดียวกัน

ข้อมูลที่เชื่อมโยงกับรัฐของแทร็กเกอร์นั้นกว้างกว่าข้อมูลอาชญากรรมของแทร็กเกอร์ และส่วนใหญ่มีความเป็นระบบอัตโนมัติน้อยกว่า UNC6508 ซึ่งเป็นกลุ่มที่มีความเชื่อมโยงกับจีน (PRC) ได้ดำเนินแคมเปญจารกรรมเป็นเวลาหลายปีต่อการวิจัยด้านวิชาการ การแพทย์ และการทหารในอเมริกาเหนือ และปัจจุบันมุ่งเป้าไปที่การวิจัย AI ที่เป็นกรรมสิทธิ์โดยเฉพาะ; GTIG สงสัยว่ากลุ่มนี้ได้บุกรุกสภาพแวดล้อมคลาวด์เพื่อปรับใช้โมเดลแบบเปิดน้ำหนัก (open-weight) ภายในเครื่อง ซึ่งหลีกเลี่ยงการเฝ้าระวัง API เชิงพาณิชย์และใช้กำลังประมวลผลของเหยื่อเองให้ทำงาน

ที่อื่นรูปแบบคือโมเดลสำเร็จรูปที่ทำงานทั่วไปในวงกว้าง ส่วนฝั่งเกาหลีเหนือ MIDNIGHT NEPTUNE ซึ่งเดิมชื่อ UNC1069 ได้ใช้ DeepSeek-Coder เพื่อเขียนโทรจันเข้าถึงระยะไกลด้วย Python ที่มี persistence ข้ามแพลตฟอร์มและ process injection ใช้ LLM สำหรับสคริปต์ lateral movement ด้วย Bash ดำเนินเพอร์โซนาวิศวกรรมสังคมและเหยื่อล่อทางเทคนิค วางยาการกำหนดค่าที่เก็บโค้ดภายใน แก้ไข Claude CLI ฮุก และติดตั้ง SOMBERMEME แบ็กดอร์เมื่อนักพัฒนามีปฏิสัมพันธ์กับที่เก็บโค้ด ส่วนฝั่งอิหร่าน CALANQUE ION ซึ่งเดิมชื่อ APT42 ได้ใช้โมเดลเพื่อระบุที่อยู่อีเมลเป้าหมาย ทำ OSINT ปรับเหยื่อล่อให้เหมาะกับท้องถิ่น สรุปข้อมูลที่ถูกขโมยออกไป และพยายามทำวิศวกรรมย้อนกลับโค้ดลิขสิทธิ์ ส่วน PRC-nexus BASIN CASTLE ใช้ Gemini สำหรับการทำโปรไฟล์เป้าหมาย การแปลเนื้อหาภาษาจีนเป็นรายงานทางการเมืองภาษาอังกฤษแบบทางการ และการแก้ไขปัญหา PowerShell; RAVINE CASTLE ศึกษาการบายพาส SAML ของ VMware vCenter และ post-exploitation ของ Active Directory ด้วย Gemini; ส่วนฝั่งรัสเซีย SANDWORM RELIC ให้ Gemini เขียนโค้ด password spraying ของตน กลุ่มที่ขับเคลื่อนด้วยแรงจูงใจทางการเงิน UNC6240 ซึ่งเป็นที่รู้จักในชื่อ ShinyHunters ด้วย ได้ใช้ Claude Code พรอมต์เพื่อเขียนโค้ดที่ถูก obfuscate บายพาส Cloudflare และแยกวิเคราะห์ไดเรกทอรีที่ถูกขโมยออกมาผ่านเครื่องมือ MCP ที่กำหนดเอง

หนึ่งกรณีในหัวข้อนี้ไปไกลกว่ากรณีอื่น ๆ กลุ่มที่มีความเชื่อมโยงกับจีน (PRC-nexus) ใช้ Gemini ออกแบบกรอบการทดสอบเจาะระบบอัตโนมัติแบบไดนามิกที่มีจุดมุ่งหมายเพื่อสังเกตสถานะของเป้าหมาย ใช้เหตุผลว่าจะทำอะไรต่อไป และดำเนินการสแกนพอร์ตและแยกวิเคราะห์บริการ Google กล่าวว่าได้ดำเนินการในวงกว้างขึ้นต่อแคมเปญที่ระบุพบ โดยปิดใช้งานสินทรัพย์ โปรเจกต์ และบัญชีที่เกี่ยวข้อง แยกกัน ในเดือนมิถุนายน 2026 Google ได้ขัดขวาง "Outsider Enterprise," ซึ่งเป็นบริการอาชญากรรมไซเบอร์ที่ฐานอยู่ในจีนซึ่งจัดหาชุดฟิชชิง และอธิบายว่านั่นเป็นครั้งแรกที่บริษัทได้ดำเนินการทางกฎหมายเกี่ยวกับการใช้ Gemini ในทางที่ผิด สองข้อความนี้เป็นข้อความที่แตกต่างกัน และบทสรุปที่รวมทั้งสองเข้าด้วยกันจะกล่าวเกินกว่าที่รายงานระบุ: กรอบการทดสอบเจาะระบบเป็นส่วนของถ้อยคำเกี่ยวกับการปิดใช้งานสินทรัพย์ ส่วนการดำเนินการทางกฎหมายเป็นของ Outsider Enterprise

LLMJacking และบัญชี AI ที่ถูกขโมยมีราคาเท่าไรในตอนนี้

ตัวติดตามนี้ยังกำหนดราคาตลาดสำหรับการเข้าถึง AI ที่ถูกขโมย ความต้องการในตลาดมืดกระจุกตัวอยู่ที่ข้อมูลรับรองของ Claude และ Gemini พร้อมกับ IDE สำหรับเขียนโค้ดแบบอัตโนมัติ Cursor Pro และ Devin โดยตัวหลังสร้างโดย Cognition และราคาเฉลี่ยในตลาดต่อบัญชีเพิ่มขึ้นมากกว่าสองเท่าภายในปี 2026 มัลแวร์ขโมยข้อมูลที่ทำการเก็บรวบรวม — LUMMAC.V2, STEALC.V2, VIDAR และ ACRSTEALER — ถูกอัปเดตให้กำหนดเป้าหมายเป็นการกำหนดค่าของนักพัฒนา AI ในเดือนพฤษภาคม 2026 ผู้ควบคุมของ ACRSTEALER ได้ผลักดันกฎการดึงไฟล์สำหรับไฟล์ของ Cline ที่ชื่อ secrets.json และไฟล์ของ Continue AI ที่ชื่อ config.yaml ซึ่งทั้งสองไฟล์สามารถเก็บคีย์ API แบบข้อความธรรมดาและปลายทางการกำหนดเส้นทางโมเดลแบบกำหนดเองได้

การบุกรุกครั้งหนึ่งที่ GTIG อธิบายไว้แสดงให้เห็นว่าบัญชี AI มีมูลค่าเพียงใดเมื่อถูกยึดไปแล้ว ในเดือนเมษายน 2026 โทเค็นการเข้าถึงส่วนบุคคลของ GitHub ที่หลุดออกมาก็เพียงพอที่จะเปิดใช้งาน Gemini Enterprise จัดสรรคอมพิวต์ประสิทธิภาพสูง สร้างที่เก็บ Docker สำหรับการติดตั้งใช้งาน LiteLLM API และเฟรมเวิร์กเอเจนต์ Manus และตั้งค่าบริการ Cloud Run ที่เปิดให้allUsersเข้าถึงได้ผ่านการผูกสิทธิ์ผู้เรียกใช้ของ IAM เซสชันเดียวกันนั้นยังได้สร้างบัญชีบริการเถื่อนที่มีสิทธิ์ระดับ Editor และส่งออกคีย์ของบัญชีดังกล่าว สอบถาม BigQuery เพื่อหาตัวแปรสภาพแวดล้อมและข้อมูลรับรอง พยายามโอนความเป็นเจ้าของโปรเจกต์ให้กับที่อยู่อีเมลภายนอก และใช้ Cloud Quotas API เพื่อขอความจุ NVIDIA RTX 6000 และอินสแตนซ์ขนาด 48 vCPU เพิ่มเติม

ภาพของการสกัดแบบจำลองนั้นเป็นเศรษฐศาสตร์แบบเดียวกันแต่ในระดับที่ใหญ่กว่า GTIG กล่าวว่าแคมเปญการกลั่นแบบจำลองเกิดขึ้นเป็นประจำแล้ว "บางแคมเปญมีพรอมป์ต์เกิน 100 ล้านรายการ" โดยมีการหมุนเวียนคำค้นหาผ่านบัญชีที่ถูกบุกรุกและบัญชีฉ้อโกงหลายพันบัญชี และส่งผ่านโครงสร้างพื้นฐานพร็อกซี อีกทั้ง Google ได้นำมาตรการตอบโต้ที่สามารถลดประสิทธิภาพของแบบจำลองนักเรียน (student model) และวิธีการระบุแบบจำลองที่กลั่นจาก Gemini ตามแหล่งที่มา (provenance) มาใช้แล้ว

สิ่งใดได้รับการยืนยันแล้ว สิ่งใดเป็นการประเมิน และสิ่งใดที่ GTIG กล่าวว่ายังไม่เคยพบเห็น

ถือได้ว่ายืนยันแล้ว ในความหมายที่ว่า Google กำลังอธิบายเทเลเมตรีฝ่ายแรกของตนเองและการดำเนินการกับบัญชีของตนเอง ได้แก่ รายงานและวันที่ของรายงาน สิ่งต่าง ๆ ที่ระบุว่าตรวจพบ ซึ่งรวมถึงชื่อแพ็กเกจ ชื่อไฟล์ตัวโหลด ชื่อไดเรกทอรี และแดชบอร์ดความลับ 23,800 รายการ และขั้นตอนการขัดขวางที่ Google กล่าวว่าตนได้ดำเนินการ ซึ่งยืนยันได้เพราะการปิดใช้งานบัญชีเป็นสิ่งที่ตนลงมือทำ ไม่ใช่สิ่งที่ตนอนุมานเอา Help Net Security, Cloud Security Alliance และ Lineaje ต่างรายงานรายการเหล่านี้โดยไม่มีข้อขัดแย้ง ถึงแม้ว่าไม่มีรายใดนำเสนอหลักฐานอิสระของตนเองเลยก็ตาม

การประเมิน ในความหมายที่เป็นการตัดสินใจของ Google: การระบุว่าเป็นฝีมือของรัฐชาติทุกกรณีในรายงาน; การตีความว่าการล่อให้ปฏิเสธนั้นเป็นเจตนา; และข้อกล่าวอ้างว่าโทเค็นที่ถูกขโมยจะผ่าน "การตรวจสอบความน่าเชื่อถืออัตโนมัติของเอเจนต์เขียนโค้ด AI" ซึ่งเป็นถ้อยแถลงเกี่ยวกับวิธีที่การตรวจสอบเหล่านั้นมักถูกสร้างขึ้น โดยไม่ใช่การวัดว่าผลิตภัณฑ์ใดผลิตภัณฑ์หนึ่งล้มเหลวในการตรวจสอบนั้น

ยังไม่ได้รับการยืนยัน: ตัวตนของผู้ก่อเหตุในเหตุการณ์หกชั่วโมง เหยื่อและจำนวนเหยื่อ แชตบอตและโมเดลที่เกี่ยวข้อง และว่าเซิร์ฟเวอร์ Recon เชื่อมโยงกับแคมเปญนั้นหรือไม่เลย

และเพดานของรายงานเองก็ต่ำกว่าที่ชื่อเรื่องบ่งชี้ GTIG ระบุว่า ยังไม่พบไปป์ไลน์การโจมตีแบบอัตโนมัติเต็มรูปแบบในสภาพแวดล้อมจริง และประเมินว่าการใช้งานโดยฝ่ายศัตรู "อาจกำลังพัฒนไปสู่กรณีการใช้งานนี้" การแบ่งแยกนั้นอยู่ภายในตัวการโจมตีมากกว่าที่จะอยู่รอบ ๆ มัน: มนุษย์เป็นผู้กำหนดวัตถุประสงค์ พรอมต์ และไฟล์คำสั่ง; เอเจนต์เป็นผู้จัดการสแกน แก้ไขปัญหา และหมุนเวียน และไม่หยุดขออนุญาต อ่านอย่างละเอียดแล้ว แคมเปญหกชั่วโมงไม่ใช่หลักฐานว่าความเป็นอัตโนมัติมาถึงแล้ว แต่เป็นหลักฐานว่าส่วนงานของมนุษย์ยุบเหลือเพียงส่วนที่ต้องใช้มนุษย์ — การตัดสินใจว่าจะทำอะไร — ขณะที่ทุกสิ่งระหว่างการตัดสินใจกับผลลัพธ์ดำเนินไปเอง

สิ่งที่ Google บอกว่าเปลี่ยนแปลงไป และมาตรการควบคุมที่รายงานชี้ไปจริง ๆ

การตอบสนองอย่างเป็นทางการของ Google ดำเนินไปในสองแนวทาง ในด้านการใช้งานในทางที่ผิด Google ระบุว่ากิจกรรมเหล่านั้น "กระตุ้นการตอบสนองด้านความปลอดภัยของ Gemini" ว่า Google ได้ดำเนิน "มาตรการเพิ่มเติมในวงกว้างขึ้น" ต่อแคมเปญเหล่านี้โดยอาศัยความล้มเหลวด้านความมั่นคงในการปฏิบัติการของผู้กระทำ ว่า Google ได้ปิดใช้งานสินทรัพย์ โปรเจกต์ และบัญชีที่เกี่ยวข้อง และว่า Google DeepMind ได้นำข้อค้นพบไปใช้เสริมความแข็งแกร่งให้กับตัวจำแนกประเภทและตัวโมเดลเองเพื่อให้ปฏิเสธคำขอเหล่านี้ ในด้านการป้องกัน Google ได้เปิดใช้งาน Google AI Threat Defense ซึ่งผสาน Gemini และโมเดลระดับแนวหน้ากับการจัดลำดับความเสี่ยงของ Wiz การแก้ไขปัญหาด้วย Gemini และ CodeMender และข่าวกรองของ Mandiant โดยใช้โมเดลที่เบากว่าสำหรับการสแกนอย่างต่อเนื่องและโมเดลระดับแนวหน้าสำหรับข้อค้นพบที่มีความเสี่ยงสูง อีกทั้งยังได้เปิดตัว Gemini 3.8 Flash Cyber สำหรับการตรวจจับช่องโหว่และการแพตช์อัตโนมัติ และเผยแพร่แนวทางเสริมความแข็งแกร่งด้านซัพพลายเชนแบบโอเพนซอร์ส

การแก้ไขเฉพาะเจาะจงที่กรณี DUSTMAKER เรียกร้องนั้นแคบกว่าสแต็กดังกล่าว และการวิเคราะห์จากภายนอกต่างเห็นพ้องไปในทางเดียวกัน คำรับรอง SLSA ตอบได้ว่าแพ็กเกจหนึ่งถูกสร้างโดยตัวตนที่มันอ้างถึงหรือไม่ แต่ไม่ได้ตอบว่าตัวตนนั้นยังเป็นของฝ่ายที่คุณตั้งใจจะไว้วางใจอยู่หรือไม่ และวิธีการทั้งหมดของ DUSTMAKER คือการยืมตัวตนแทนที่จะปลอมแปลงตัวตน บทสรุปของ Lineaje เกี่ยวกับการเปลี่ยนแปลงพื้นฐานนี้คือถ้อยแถลงที่ชัดเจนที่สุด: "เนื้อหาของรีโพซิทอรีกลายเป็นอำนาจในการรัน" ชื่อแพ็กเกจ ชื่อเซิร์ฟเวอร์ MCP ป้ายคำรับรอง และไฟล์คำสั่งภายในรีโพซิทอรี ล้วนมาพร้อมกับการอ้างว่าตนควรได้รับการปฏิบัติตาม และโทเค็น OIDC ที่ถูกขโมยคือสิ่งที่ทำให้การอ้างนั้นดูเหมือนผ่านการตรวจสอบยืนยันแล้ว