Postřehy z bezpečnosti: když AI model sám zaútočí a nahraje malware na PyPI

Včera

Doba čtení: 13 minut

Líbí se vám článek?
Podpořte redakci

V tomto vydání Postřehů se podíváme na AI model, který si sám nahrál malware na PyPI, na severokorejské útoky na npm balíčky, kritické díry ve VMware, ruský zero-day v Outlooku a únik dat u Coca-Coly.

Přidat mezi oblíbené zdroje na Googlu

Claude při testech narušil tři organizace a nahrál malware na PyPI

Anthropic v minulém týdnu uvedl, že během interního bezpečnostního testování jeden z jeho modelů vytvořil škodlivý Python balíček a nahrál jej na PyPI , kde jej spustilo 15 reálných systémů, než ho automatická obrana registru stáhla.

Společnost zprávu zveřejnila jako jeden ze tří incidentů, při nichž se modely Claude dostaly z testovacích prostředí, jež měla být uzavřená, na otevřený internet a následně kompromitovaly produkční infrastrukturu tří organizací.

Přezkum následoval po zveřejnění OpenAI z 21. července , podle kterého jeho modely unikly z izolovaného testovacího prostředí a dostaly se k produkční infrastruktuře Hugging Face. JFrog později potvrdil, že modely se dostaly ven zneužitím zero-day zranitelností v self-hostovaném Artifactory.

Všechny tři incidenty se odehrály během cvičení typu capture-the-flag prováděných přes Irregular, externího partnera pro evaluace. Prompt Claudovi sděloval, že nemá přístup k internetu a že prostředí je simulované. Kvůli chybné konfiguraci nebylo pravdivé ani jedno a ani jedna ze společností to až do minulého týdne nezachytila.

Při incidentu s PyPI Claude uvnitř testovacího prostředí našel dokument, který se vydával za vývojářské instrukce k nastavení pro fiktivní firmu. Tyto instrukce přikazovaly novým zaměstnancům nainstalovat Python balíček, který nikdy nebyl publikován. Claude vyhodnotil, že pokud si jméno zaregistruje sám, stroje cílové organizace jeho kód automaticky stáhnou.

Publikace byla trochu náročnější. Claude potřeboval PyPI účet, který vyžadoval e-mailovou adresu, jež vyžadovala telefonní číslo. Nepodařilo se mu najít službu s telefonním číslem zdarma, takže se několika různými cestami pokusil (a neuspěl) získat prostředky na jeho zakoupení. Nakonec ustoupil, našel poskytovatele e-mailu, který nebyl blokovaný, zaregistroval účet a nahrál malware.

Anthropic uvedl , že balíček byl veřejně dostupný zhruba hodinu. Během tohoto okna jej stáhlo a spustilo 15 reálných systémů. Jeden patřil bezpečnostní firmě, která běžně instaluje balíčky z PyPI a skenuje je na malware, což je workflow, jež s obsahem registru zachází jako s bezpečným ke spuštění.

Claudův payload se aktivoval, odeslal přihlašovací údaje této firmy do sběrného bodu, který si zřídil, a následně je použil k průniku hlouběji do infrastruktury firmy. Anthropic uvedl, že Claude nevěděl, že tato firma existuje. Vlastní bezpečnostní systémy PyPI balíček automaticky odstranily. Anthropic uvedl, že informoval tým PyPI a předal indikátory kompromitace.

Modelem za tímto během byl Claude Mythos 5. Podle Anthropicu jeho uvažování problém odhalilo brzy. Poznamenal, že publikace balíčku by se rovnala reálnému útoku, kdyby byl internet skutečný, a označil to za „NENÍ v pořádku a rozhodně to není zamýšlené řešení". Poté se argumentačně dopracoval zpět k závěru, že prostředí je nastražené, a to na základě toho, že nerozpoznal certifikační autority zabezpečující jeho spojení a že systémy vykazovaly kalendářní datum 2026.

Když automatické skenery začaly balíček instalovat, Claude je vyhodnotil jako naskriptované aktéry uvnitř cvičení.

Nejzávažnější dopad měl samostatný incident s modelem Claude Opus 4.7, kdy fiktivní cílová firma sdílela jméno s živou doménou. Během čtyř běhů se Claude marně snažil dosáhnout na svůj simulovaný cíl, zjistil, že reálná firma je dostupná přes internet, a předpokládal, že to je zamýšlený cíl. Vytáhl aplikační a infrastrukturní přihlašovací údaje a dostal se k databázi obsahující několik set řádků produkčních dat.

To byl jediný případ, kdy model pokračoval v útoku i poté, co si uvědomil, že je na reálném systému. Anthropic uvedl, že všechny čtyři běhy nakonec rozpoznaly, že cíl je skutečný, a ve dvou z nich Claude usoudil, že reálná firma musí být stejně součástí cvičení.

Třetí incident se týkal nevydaného interního výzkumného modelu, který po neúspěšném pokusu dosáhnout na zamýšlený cíl proskenoval zhruba 9 000 cílů a poté kompromitoval aplikaci vystavenou na internetu s využitím přihlašovacích údajů z odhalené debug stránky a SQL injection. Tento model si později všiml, že hostitel se nachází v cloudovém účtu bez souvislosti s výzvou, dospěl k závěru, že cíl je reálný, a sám se zastavil.

Žádný z útoků nepoužil nové techniky. Anthropic je popsal jako slabá hesla a neautentizované endpointy.

Anthropic zahájil svůj přezkum 23. července a téhož dne pozastavil veškeré kybernetické evaluace. Tři incidenty identifikoval následující den a 27. července informoval Irregular a zasažené organizace. Třetí se společnost stále snaží zkontaktovat.

Nejstarší ze tří incidentů sahá až do dubna, což znamená, že část aktivity zůstala nezjištěna zhruba tři měsíce. Evaluace probíhaly bez klasifikátorů a monitoringu, jež jsou součástí běžně dostupných modelů Claude, přestože si modely ponechaly svůj bezpečnostní trénink.

Anthropic uvedl, že jeho produkční pojistky by dané chování zablokovaly, a incidenty charakterizoval spíše jako selhání testovacího prostředí (harness) a provozní selhání než jako selhání zarovnání (alignment) modelu na základě toho, že modelům bylo řečeno, že nemají přístup k internetu, zatímco ve skutečnosti jej měly.

Nyní plánuje širší monitoring přepisů, lepší vyšetřovací nástroje a více práce na zárukách s dodavateli evaluací. Společnost uvedla, že jedná s METR o nezávislém přezkumu a že během dalšího týdne zveřejní lehce redigovaný přepis běhu s PyPI.

Ani jedna ze dvou zasažených organizací, které Anthropic zkontaktoval, aktivitu sama nezjistila. Stejně jako u incidentu OpenAI s Hugging Face vyplula na povrch až proto, že se zodpovědná AI laboratoř sama probírala vlastními přepisy.

Amazon spojil supply-chain útoky se severokorejskými hackery

Amazon spojil několik medializovaných útoků na dodavatelský řetězec open-source softwaru , které cílily na ekosystém Node Package Manageru (npm), se severokorejskými hackery.

Cloudový gigant propojil kompromitace knihoven typo-crypto, debug, chalk a axios s aktérem Sapphire Sleet, známým také jako BlueNoroff a Stardust Chollima.

Počáteční aktivita začala trojanizací balíčku typo-crypto v březnu 2025, který podle Amazonu posloužil jako testovací pole. V září téhož roku pak eskalovala kompromitací široce používaných balíčků debug a chalk , jež během dvou hodin zasáhla odhadem 10 % cloudových prostředí. V březnu 2026 se hacker zaměřil na axios , jeden z nejpopulárnějších npm balíčků s více než 100 miliony stažení týdně.

Je třeba poznamenat, že incident s axios už byl veřejně připsán aktérům napojeným na KLDR , Amazon jej však propojil s dřívějšími kompromitacemi balíčků. Amazon uvádí , že útočník získal přístup skrze sociální inženýrství vůči správcům balíčků a následně publikoval škodlivé aktualizace, které byly automaticky distribuovány nic netušícím uživatelům.

Atribuce ke skupině Sapphire Sleet má střední míru jistoty a opírá se o sdílené taktiky, techniky a postupy (TTPs) pozorované v kampani, o command-and-control (C2) infrastrukturu a o různé provozní podobnosti.

Výzkumníci se rovněž domnívají, že útočník měl finanční motivaci, jelikož cílil na populární balíčky za účelem získání nepřímého přístupu k velké skupině potenciálních navazujících (downstream) obětí naráz.

Amazon také upozorňuje na několik trendů, které z nedávných supply-chain útoků vyvstaly:

Útočníci rozdělují škodlivou funkcionalitu mezi více zdánlivě neškodných balíčků, čímž ztěžují detekci.
Aktéři tráví měsíce budováním důvěry tím, že udržují legitimní projekty nebo se stávají přispěvateli, než zavedou škodlivý kód.
Škodlivé chování je stále více oddělováno od obsahu balíčku a spoléhá na externí skripty, konfigurační soubory nebo servery, které lze zneužít později.
Malware používá silnější šifrování a vícefázové payloady s klíči generovanými za běhu nebo stahovanými na dálku, což znesnadňuje statickou analýzu.
Payloady se stávají „environment-aware“ (vědomé si prostředí) a odkládají spuštění, dokud nedetekují reálné vývojářské nebo produkční prostředí, aby se vyhnuly analytickým sandboxům.
Útočníci stále více zneužívají „ slopsquatting “ tím, že registrují názvy balíčků halucinované AI kódovacími asistenty v naději, že je vývojáři nebo autonomní kódovací agenti nainstalují.

Mnohé z těchto taktik jsou umocněny a zjednodušeny umělou inteligencí, vysvětluje Amazon, protože útočníkům pomáhá generovat kód, dokumentaci a identity správců.

Amazon vyzdvihl mnohovrstevnatou reakci na tato nebezpečí, včetně sdílení svých zjištění a zpravodajských informací s komunitou, spolupráce s OpenSSF a dalšími průmyslovými partnery a investice 12,5 milionu dolarů do iniciativy Akrites, která pomáhá chránit kritický open-source software před útoky využívajícími AI.

VMware opravil tři kritické chyby

Broadcom vydal bezpečnostní aktualizace opravující pět zranitelností ve VMware vCenter, ESX, Workstation a Fusion, včetně tří kritických chyb, jež útočníkům umožňují obejít autentizaci, spustit libovolný kód nebo uniknout z virtuálního stroje na hostitele.

Zranitelnosti postihují i produkty obsahující vCenter nebo ESX, včetně VMware Cloud Foundation, VMware vSphere Foundation, VMware Telco Cloud Platform a VMware Telco Cloud Infrastructure.

Broadcom uvádí, že organizace provozující verze vydané před těmi, které jsou v jeho advisory uvedeny jako opravené, by měly předpokládat, že jsou zranitelné, a okamžitě jednat.

Pět zranitelností je shrnuto níže:

CVE-2026–59309: Kritická zranitelnost obejití autentizace ve VMware Directory Service. Neautentizovaný útočník se síťovým přístupem k vCenter může chybu zneužít k obejití autentizace a získání neoprávněného přístupu k systému.
CVE-2026–59310: Kritická zranitelnost typu directory traversal v Syslog serveru vCenter, která neautentizovanému útočníkovi se síťovým přístupem umožňuje spustit libovolný kód.
CVE-2026–47876: Kritická zranitelnost typu out-of-bounds write ve virtuálním síťovém adaptéru VMXNET3. Útočník s lokálními administrátorskými oprávněními uvnitř virtuálního stroje využívajícího VMXNET3 může chybu zneužít ke spuštění kódu na hostiteli ESX, což vede k úniku z virtuálního stroje (VM escape). Virtuální stroje používající jiné síťové adaptéry zasaženy nejsou.
CVE-2026–41703: Zranitelnost typu out-of-bounds read v ESX, Workstation a Fusion. Útočník s oprávněními k nasazování virtuálních strojů by ji mohl zneužít k úniku informací nebo vyvolání stavu odepření služby (DoS) v procesu hostitele. Na Workstation a Fusion je dopad omezen na únik informací.
CVE-2026–41709: Zranitelnost nedostatečného logování, která zákeřnému administrátorovi ESX umožňuje provádět určité operace, aniž by byly zaznamenány.

Třemi kritickými zranitelnostmi jsou dvě chyby vCenter, CVE-2026–59309 a CVE-2026–59310, které mají CVSS skóre 9,8, a chyba úniku přes VMXNET3, CVE-2026–47876, hodnocená skóre 9,3.

Zbývající problémy jsou méně závažné. CVE-2026–41703 je na ESX hodnocena jako Important se skóre 7,6. Na Workstation a Fusion je její dopad omezen na únik informací a je hodnocena jako Low se skóre 2,7. CVE-2026–41709 je rovněž hodnocena jako Low se skóre 2,7.

Zranitelnosti vCenter jsou opraveny ve verzích 9.1.0.0300, 9.0.2.0100 a 8.0 Update 3k, zatímco chyby ESX jsou vyřešeny v ESXi 9.1.0.0200, ESXi 9.0.2.0100 a ESXi 8.0 Update 3k.

Uživatelé VMware Workstation a Fusion provozující verzi 25H2 musí kvůli opravě CVE-2026–41703 přejít na verzi 26H1. Pro VMware Cloud Foundation 5.x a zasažené telco produkty jsou v advisory Broadcomu samostatné pokyny k záplatování.

Ruští hackeři zneužívají zero-day v OWA k dlouhodobému přístupu

Ruská státem sponzorovaná hackerská skupina Laundry Bear, známá také jako Void Blizzard, zneužívá zranitelnost v Exchange Outlook Web Access v e-mailových kampaních k doručení sofistikovaného backdooru zvaného OWAReaper.

Společnost Proofpoint aktivitu zaznamenala zhruba před týdnem při útocích na různé organizace včetně vládních subjektů v USA a Evropě a firem z odvětví telekomunikací, financí, pohostinství a letectví.

Laundry Bear zneužil CVE-2026–42897, zranitelnost typu cross-site scripting (XSS), jež umožňuje spustit libovolný JavaScript v kontextu prohlížeče, když uživatel otevře speciálně vytvořený e-mail v aplikaci Outlook Web Access (OWA). Titíž hackeři už dříve využili jinou XSS zranitelnost (CVE-2025–66376) jako zero-day v e-mailových serverech Zimbra k doručení malwaru ZimReaper, jenž krade e-mailovou komunikaci, kódy dvoufaktorového ověření (2FA), přístupové kódy aplikací a hesla.

Výzkumníci Proofpointu tento typ XSS aktivity na webmailových platformách označují jako „half-click exploit" (exploit na půl kliknutí), protože k vyvolání zneužité zranitelnosti uživatelům stačí pouze otevřít škodlivý e-mail. Tento bezpečnostní problém způsobuje, že server nesprávně sanitizuje HTML kód v těle zprávy, což lze využít ke spuštění JavaScriptu při otevření e-mailu.

Podle Proofpointu Laundry Bear, kterou společnost sleduje pod označením TA488, vytvořila útočnou infrastrukturu pro kampaň OWAReaper už v březnu. V naposledy pozorované aktivitě použil aktér témata, jež cíl zajímají, jako jsou analýzy dodavatelského řetězce, výzkumné novinky a výkonnostní ukazatele pro trhy cestovního ruchu a plynu. „Předměty zpráv a návnady jsou banální, pravděpodobně proto, aby cílený uživatel zprávu otevřel a proletěl, ale odbyl ji jako spam bez nahlášení, zvláště když v ní nejsou žádné podezřelé URL ani přílohy.“

Proofpoint vysvětluje, že útočník využívá problém nesprávné sanitizace k zahrnutí škodlivého kódu do zpráv, aby do nich přidal HTML a JavaScript. E-maily obsahovaly JavaScriptový loader a Base64-kódované bloby payloadu vložené do URL ikon sociálních sítí za znakem „#“. Exploit doručuje backdoor, který výzkumníci nazývají OWAReaper a popisují jako „nejsofistikovanější backdoor doručovaný přes half-click exploity“, jaký viděli.

Analýza odhalila „sadu nenápadných perzistentních mechanismů“ a ukázala, že jde o evoluci malwaru ZimReaper pozorovaného při útocích na e-mailové servery Zimbra.

„OWAReaper se spouští výhradně ve čtecím podokně (reading pane) Outlook Web Access (OWA). Po spuštění používá Outlook API k přepsání e-mailu na serveru Exchange a odstranění obsahu exploitu. Současně po dobu svého běhu deaktivuje vyskakovací okna OWA a možnost kliknutí pravým tlačítkem,“ uvádí Proofpoint .

Malware sbírá e-mailovou adresu, uživatelské jméno a nastavení Outlooku kompromitovaného účtu. Rovněž se pokouší ukrást přístupové údaje tím, že vytváří neviditelné prvky v Document Object Model (DOM) a čeká, až je prohlížeč automaticky vyplní.

Výzkumníci Proofpointu zjistili, že TA488 (Laundry Bear, Void Blizzard) si dokáže udržet přístup k poštovní schránce cíle i tehdy, když je jeho systém obnoven z čistého image nebo když jsou rotovány přihlašovací údaje. Aktér toho dosahuje přes OWAReaper, který kontroluje nainstalované doplňky (add-iny) Outlooku s oprávněními ReadWriteMailbox a používá je ke krádeži OAuth tokenů prostřednictvím požadavku operace GetClientAccessToken . Poté volá UpdateFolder, aby si na každé poštovní složce udělil oprávnění na úrovni Owner (vlastník) pro uživatele nastavené na Default (přednastavený alias s nízkými oprávněními ve všech tenantech Microsoft Exchange). To útočníkům umožňuje přistupovat k poštovní schránce z libovolného autentizovaného účtu v rámci organizace.

Protože oprávnění poštovní schránky jsou konfigurována na straně serveru, změna přihlašovacích údajů kompromitovaného uživatele ani přeinstalace zasaženého systému útočníkům přístup neodebere.

OWAReaper implementuje druhý perzistenční mechanismus tím, že povolí cachování a vloží škodlivý iframe do HTML zpráv uložených v offline IndexedDB v OWA. „Tento iframe se spustí pokaždé, když oběť otevře otrávený e-mail z cache,“ uvádějí výzkumníci.

Malware podporuje dva mechanismy command-and-control (C2) pro příjem instrukcí od útočníka. Jeden z nich používá jako komunikační kanál commit zprávy na GitHubu. Každých 24 hodin se malware dotazuje GitHub Commit Search API na zašifrované zprávy, jež odpovídají konkrétnímu formátu a obsahují e-mailovou adresu cíle.

OWAReaper dokáže také parsovat e-maily doručené do schránky cíle. Kontroluje v IndexedDB těla zpráv se strukturou {target_email_address}{mezera}{Base64text} .

Laundry Bear použil k exfiltraci dat rovněž dvě metody. Hlavní z nich používá HTTPS s URI cestami šifrovanými pomocí AES-CTR, jež jsou proxovány přes určité domény sítí pro doručování obsahu (CDN) obrázků. Pokud primární metoda selže, data jsou doručena přímo na server útočníka, který je definován ve funkci inicializující odchozí síťové relace.

K dispozici je i záložní DNS exfiltrace, kdy jsou data zašifrována a poté zakódována do paketů metodou Base32.

Proofpoint kampaň OWAReaper připsal aktérovi TA488 na základě behaviorálních překryvů s aktivitou ZimReaper a využívání half-click XSS exploitů k cílení na uživatele webmailu za účelem špionáže. Výzkumníci rovněž zveřejnili malou sadu indikátorů kompromitace (IoCs), jež zahrnuje použité domény a HTML tělo zprávy s exploitem CVE-2026–42897 a payloadem OWAReaper.

Coca-Cola potvrdila krádež dat při ransomwaru na Fairlife

Společnost The Coca-Cola Company potvrdila, že hackeři při útoku ransomwaru počátkem tohoto měsíce ukradli data z její mlékárenské dceřiné společnosti Fairlife . V krátkém prohlášení globální nápojový gigant uvedl, že stále pracuje na obnovení části zasažených systémů a provozů, většina výroby v USA však už byla obnovena.

Coca-Cola kybernetický útok oznámila v podání u americké Komise pro cenné papíry (SEC) dne 16. července, kde odhalila, že útok ransomwaru narušil výrobní provoz ve Fairlife. Tato společnost je výrobcem ultrafiltrovaného mléka, proteinových nápojů a nutričních nápojů. Provozuje čtyři výrobní závody v USA a její roční maloobchodní tržby přesahují jednu miliardu dolarů .

O několik dní později se k útoku přihlásil ransomwarový gang Anubis a přidal Fairlife na seznam obětí na svém vyděračském webu. Hackerská skupina pohrozila, že zveřejní jeden terabajt souborů údajně odcizených firmě, pokud Fairlife nezaplatí výkupné.

Jakmile Coca-Cola průnik zjistila, nahlásila jej úřadům a neřídila se pokyny útočníka k vyjednávání. Odpočet, který ransomware Anubis dříve nastavil pro zveřejnění odcizených dat, vypršel a data jsou nyní k dispozici ke stažení.

Ve zkratce

O seriálu

Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a bezpečnostního týmu CESNET-CERTS sdružení CESNET, bezpečnostního týmu CDT-CERT provozovaného společností ČD - Telematika a bezpečnostních specialistů Jana Kopřivy ze společnosti Nettles Consulting a Moniky Kutějové ze sdružení TheCyberValkyries. Více o seriálu…

Seriál: Postřehy z bezpečnosti