Ai-Assisted-Attack

CrowdStrike ระบุว่า Vapor Panda กลุ่มจารกรรมที่รัฐจีนหนุนและทับซ้อนกับ Earth Estries ใช้ ARTEX เฟรมเวิร์กเจาะระบบที่ขับด้วย AI เล็งองค์กรกว่า 200 แห่งพร้อมกันตั้งแต่ 17 ตุลาคม 2569 เป้าหมายรวมกระทรวงการต่างประเทศหลายภูมิภาค องค์กรกลาโหมและเซมิคอนดักเตอร์สหรัฐฯ และผู้ให้บริการโทรคมนาคมในสหรัฐฯ เบลเยียม และฟิลิปปินส์ เจาะได้ยืนยัน 9 แห่งและฝัง BLOODALCHEMY ที่สืบสายจาก ShadowPad เอเจนต์วางแผนใช้โทเคนราว 1.4 พันล้านในเหตุเดียว และมีคนคุมอยู่ องค์กรควรหมุนเวียนกุญแจที่ค้างนานและตรวจ SAML กับ IMDS

Sophos รายงานว่า GOLD OGRE กลุ่มเบื้องหลังแรนซัมแวร์ Aur0ra ใช้เอเจนต์ AI ใน Cursor ทำงานเจาะเครือข่ายส่วนใหญ่ จนได้สิทธิ์ Domain Admin ผู้โจมตีหลบกฎความปลอดภัยของโมเดลด้วยการอ้างว่าเป็นงาน red team และใช้ Composer ของ Cursor ร่วมกับโมเดลของ Anthropic, xAI และ Moonshot ในบางเครือข่ายเอเจนต์ไปถึงสิทธิ์จัดการโดเมน และเหยื่อ 3 รายโผล่บนเว็บประจาน ร่องรอยแป้นพิมพ์ชี้ว่าผู้ปฏิบัติการพูดรัสเซีย องค์กรควรเร่งตอบสนองแจ้งเตือน EDR แบ่งโซนเซิร์ฟเวอร์สำคัญ และแยกแบ็กอัป

ญี่ปุ่นกำลังเจอคลื่นการเจาะระบบที่ AI ช่วยเร่ง ตั้งแต่ METI ยืนยันการเข้าถึงเว็บไซต์คณะกรรมการกำกับตลาดไฟฟ้าและก๊าซโดยไม่ได้รับอนุญาต ไปจนถึงข้อมูลเจ้าหน้าที่ตำรวจราว 125,000 คนที่อาจรั่วผ่านผู้ให้บริการคลาวด์ หัวหน้าคณะเลขาธิการคณะรัฐมนตรีระบุว่าข้อมูลส่วนบุคคลราว 260 ล้านรายการถูกเจาะตั้งแต่เมษายน และกรณีรั่วไหลพุ่งจาก 303 เป็น 830 กรณีในเดือนตุลาคม ผู้เชี่ยวชาญชี้ว่าเอเจนต์ AI ช่วยข้ามกำแพงภาษาและเจาะระบบเก่าได้ง่ายขึ้น ธุรกิจควรเร่งแพตช์ PHP และระบบที่เปิดสู่อินเทอร์เน็ต

บริษัท Dream รายงานว่าผู้โจมตีที่สงสัยว่าเชื่อมโยงกับจีน ร้อยช่องโหว่ PHP2Shell เข้ากับช่องโหว่ยกสิทธิ์เคอร์เนล Linux Fragnesia จนได้ root บนไฟร์วอลล์25 เครื่องในสหรัฐฯ ญี่ปุ่น ไต้หวัน และเกาหลีใต้ ผู้โจมตีสแกนหน้าจัดการไฟร์วอลล์ราว 19,000 เครื่องด้วย FOFA คัดเหลือ 240 เป้า แล้วยิง exploit อัตโนมัติ เครื่อง 3 เครื่องอยู่ในเครือข่ายเกี่ยวข้องรัฐบาลสหรัฐฯ และถูกใช้เป็นทางเข้า Active Directory ยังไม่ชัดว่าได้รหัสผ่านจริงหรือไม่ ผู้ดูแลควรปิดหน้าจัดการไฟร์วอลล์จากอินเทอร์เน็ตและตรวจ web shell

ตำรวจนครบาลโซลจับชายวัย 32 ปีที่ถูกกล่าวหาว่าเป็นหัวหน้าปฏิบัติการแฮ็กโดยใช้ AI เจาะองค์กรราว 90 แห่ง ทั้งโรงพยาบาล สถาบันกวดวิชา สนามกอล์ฟ มหาวิทยาลัย และบริษัทในเครือของบริษัทใหญ่ ขโมยข้อมูลรวม 8.2 ล้านรายการ ผู้ต้องสงสัยเคยทำงานเพนเทสต์ระหว่างปี 2562-2565 และหันมาใช้ AI อย่างกว้างขวางตั้งแต่ปลายสิงหาคม 2569 กลุ่มนี้ขู่ 38 องค์กรว่าจะเปิดเผยข้อมูล รวมยอดเรียก 360 ล้านวอน ยังไม่มีการเปิดเผยช่องโหว่ที่ใช้ และยังไม่มีหลักฐานว่า AI เจาะได้เองทุกขั้น

Recorded Future ติดตามผู้โจมตีที่โยงกับเหตุเจาะสถาบันการเงินเกาหลีใต้ในชื่อ TAG-217 และพบว่าเริ่มเตรียมการตั้งแต่สิงหาคม 2569 ก่อนเหตุเป็นข่าวหลายสัปดาห์ ผู้โจมตีใช้ Claude Code, DeepSeek, Grok และ Zhipu AI ร่วมกับเฟรมเวิร์ก ARTEX เหตุเจาะทำข้อมูลส่วนบุคคลรั่วอย่างน้อย 68,000 คนจากอย่างน้อย 7 สถาบัน ไดเรกทอรีเปิดบนเซิร์ฟเวอร์ผู้โจมตีเผยเครื่องมือขโมยวอลเล็ตคริปโต ยกระดับสิทธิ์ลินุกซ์ และทดสอบมือถือ แต่ Recorded Future ย้ำว่าหลักฐานไม่ได้ชี้ว่าเครื่องมือทั้งหมดถูกใช้กับเหยื่อ

Unit 42 ของ Palo Alto Networks รายงานกลุ่ม CL-UNK-1211 ที่ใช้สคริปต์ซึ่ง AI ช่วยเขียนเจาะเซิร์ฟเวอร์ Linux ของหน่วยงานรัฐระหว่างตุลาคม 2568 ถึงเมษายน 2569 ผู้โจมตีฝังเว็บเชลล์ แก้ auto_prepend_file ของ PHP เพื่อคงอยู่ ดักรหัสผ่าน sudo ผ่าน alias ใน .bashrc ติดตั้ง SysGoRAT เขียนด้วย Go และพยายามดูดอีเมลกับฐานข้อมูล สคริปต์มีคำอธิบายแบบบทสนทนาของ LLM ติดมา แต่บางตัวเขียนผิดจนรันไม่ได้ กลุ่มนี้ยังไม่ถูกระบุผู้อยู่เบื้องหลัง

บริษัท CloudSEK พบแอฟฟิลิเอตแรนซัมแวร์ชื่อ Azazel ที่ทำงานร่วมกับกลุ่ม The Gentlemen ลงทะเบียน reverse shell เป็นเครื่องมือในผู้ช่วยเขียนโค้ด AI ผ่าน MCP แล้วใช้สั่งงานในเครือข่ายเหยื่อจริง แคมเปญกระทบกว่า 20 องค์กรใน 6 ประเทศ ส่วนใหญ่เริ่มจากความลับที่ขโมยจาก GitLab pipeline และประวัติ repository เหยื่อรายหนึ่งเสียข้อมูลทะเบียนการเงินกว่า 120,000 รายการ ส่วนแพลตฟอร์ม AI การแพทย์ถูกเจาะผ่าน SSRF และถูกดูดข้อมูลเกิน 6 TB