Raport F5 Labs ujawnia nowe techniki ataku na systemy sztucznej inteligencji

Najnowszy raport F5 Labs wskazuje na istotną zmianę w metodach obchodzenia zabezpieczeń systemów sztucznej inteligencji. Cyberprzestępcy przestają szukać bezpośrednich luk w kodzie, wykorzystując zamiast tego natywne funkcje analityczne oraz interpretacyjne modeli. Zjawisko to stawia zupełnie nowe wyzwania przed przedsiębiorstwami wdrażającymi rozwiązania oparte na uczeniu maszynowym.

Technika określana jako Adversarial Tales polega na wprowadzaniu szkodliwych poleceń zamaskowanych w pozornie niegroźnych opowiadaniach. Zespół badawczy ocenił skuteczność tego rozwiązania na grupie 26 modeli pochodzących od dziewięciu dostawców. Wyniki pokazały, że przełamanie barier ochronnych następowało średnio w 71,3% prób.

Poziom odporności poszczególnych systemów wykazał jednak znaczne różnice. Wskaźnik udanych ataków sięgał od 35% dla rozwiązania Claude Haiku 4,5 do aż 94% w przypadku modelu Qwen3 Max. Żaden z przebadanych algorytmów nie wykazał całkowitej odporności na ten typ manipulacji, choć rozwiązania zajmujące czołowe pozycje w rankingu CASI radziły sobie z zagrożeniem wyraźnie lepiej.

– To, co wyróżnia Adversarial Tales, to fakt, że model nie zostaje oszukany. Robi dokładnie to, do czego został stworzony, analizuje tekst i interpretuje jego treść. W efekcie ukryte instrukcje traktuje jako materiał do analizy, a nie jako polecenie wymagające uruchomienia mechanizmów odmowy. Co istotne, cały atak odbywa się w ramach jednej interakcji, bez stopniowego obchodzenia zabezpieczeń czy wykorzystywania rozbudowanych bibliotek promptów – wyjaśnia Mariusz Sawczuk, Senior Solution Engineer, F5.

Od teorii do operacji ransomware

Eksperci F5 Labs, firmy specjalizującej się w dostarczaniu i zabezpieczaniu aplikacji oraz interfejsów API, zwracają uwagę, że kolejne techniki mogą wykorzystywać wiele naturalnych form komunikacji z algorytmami. Zjawisko to przestaje mieć wyłącznie charakter teoretyczny.

Raport przywołuje między innymi operację JadePuffer, zaobserwowaną pierwotnie przez zespół Sysdig. Był to pierwszy udokumentowany przypadek zastosowania autonomicznego agenta sztucznej inteligencji w incydencie z użyciem oprogramowania ransomware. Chociaż wstępne doniesienia przesadnie oceniały samodzielność systemu, potwierdzono jego znaczne możliwości wykonawcze.

Wskazanie celu, przygotowanie infrastruktury oraz dostarczenie danych dostępowych należało do zadań człowieka. Po otrzymaniu wstępnych informacji agent samodzielnie przeprowadził jednak kolejne etapy operacji. Objęły one rozpoznanie środowiska, przemieszczanie się pomiędzy systemami oraz końcowe szyfrowanie zasobów.

Nowe podejście do ochrony korporacyjnej infrastruktury

Opisany przypadek ilustruje rosnącą zdolność sztucznej inteligencji do realizacji złożonych zadań po uzyskaniu odpowiednich danych wejściowych. Dla działów bezpieczeństwa oznacza to konieczność wdrożenia zupełnie nowych metod weryfikacji ruchu i zapytań.

– Paradoks rozwoju AI polega na tym, że nowe techniki jailbreaków wykorzystują nie słabości modeli, ale ich najmocniejsze strony. Analiza dokumentów, interpretacja treści czy wydobywanie informacji z tekstu to funkcje, dla których przedsiębiorstwa wdrażają AI. To oznacza, że skuteczne zabezpieczenia nie mogą koncentrować się wyłącznie na wykrywaniu niebezpiecznych promptów. Muszą uwzględniać również sposób, w jaki modele wykonują swoje codzienne zadania – podsumowuje Sawczuk.