Den 28 november 2025 följde säkerhetsexperter från Sysdigs Threat Research Team i realtid hur en angripare tog full kontroll över ett företags molnmiljö. Det som normalt beskrivs som långsamma och metodiska intrång gick här på minuter. Åtta stycken, för att vara exakt.
Inbrottet började med ett banalt misstag. Testuppgifter hade lämnats öppna i en publik molnlagring, en så kallad S3-bucket. Den fungerade som en öppen mapp på nätet och var dessutom märkt med namn som innehöll referenser till AI, vilket gjorde den lätt att hitta för den som letade efter något att utnyttja.
Kontot som kom på avvägar hade begränsade rättigheter, men det räckte. Med läsbehörighet kartlade angriparen hela miljön: databaser, nycklar, loggar och konfigurationer. Tjänster som Secrets Manager, RDS och CloudWatch användes systematiskt för att skapa en fullständig bild av systemet innan nästa steg togs.
Därefter följde ett mer avancerat angrepp. Genom kodinjektion riktades attacker mot Lambda-funktioner, små automatiserade kodsnuttar som körs i molnet. En funktion med namnet EC2-init ändrades upprepade gånger tills angriparen lyckades kapa ett konto kallat ”frick”. Därmed fanns fullständig administrativ kontroll.
Det som stack ut var inte bara hastigheten, utan sättet attacken genomfördes på. Sysdig bedömer att stora delar av arbetet automatiserades med hjälp av stora språkmodeller. Koden innehöll kommentarer på serbiska och skrevs i ett tempo som sannolikt överstiger vad en människa kan prestera manuellt.
Intrånget stannade inte vid kartläggning eller datastöld. Angriparen använde det kapade kontot för så kallad LLMjacking, där kraftfulla AI-modeller körs på offrets bekostnad. Bland annat nyttjades modeller som Claude 3.5 Sonnet, DeepSeek R1 och Amazon Titan. Försök gjordes även att starta en extremt resurskrävande maskin med namnet stevan-gpu-monster för att träna egen AI. Kostnaden hade överstigit motsvarande 18 000 pund i månaden om försöket inte stoppats.
För att undvika upptäckt roterades IP-adresser kontinuerligt och totalt användes 19 olika identiteter. Det kapade kontot var dessutom ett underkonto i en större organisation, och angriparen försökte ta sig vidare genom att gissa standardroller som ofta används internt.
I materialet hittades även spår av så kallade AI-hallucinationer. Skripten försökte ansluta till påhittade kontonummer, ett känt beteende när språkmodeller fyller i luckor utan faktisk information.
Sysdig beskriver attacken som ovanligt effektiv och tydligt AI-assisterad. Administrativa rättigheter uppnåddes på under tio minuter, ett stort antal identiteter komprometterades och både AI-tjänster och GPU-resurser missbrukades. Kombinationen av kod med språkliga spår, felaktiga kontonummer och referenser till icke-existerande resurser pekar sammantaget på automatiserade offensiva verktyg.
För att minska risken för liknande intrång pekar forskarna på grundläggande åtgärder. Åtkomstnycklar får aldrig lämnas publikt tillgängliga. Tillfälliga roller bör användas i stället för statiska uppgifter. Massiv kartläggning av system, där ett konto plötsligt försöker lista allt innehåll, är ett av de tydligaste varningstecknen och bör utlösa larm omedelbart.
Enligt flera säkerhetsexperter markerar händelsen ett skifte. Intrång som tidigare tog dagar eller veckor sker nu på minuter. Det handlar inte om nya tekniska sårbarheter, utan om att AI tar bort tvekan, tempo och friktion. När maskiner angriper maskiner räcker det med ett enda öppet misstag.
Källa: Hackread
Läs mer
FBI stänger ner RAMP – ett av de största ryska cyberbrottsforumen
OpenClaw: Ett säkerhetshaveri som blottar AI-agenternas baksida
