Eksperci Kaspersky zidentyfikowali kampanię wymierzoną w instytucje edukacyjne w Afryce i Ameryce Łacińskiej, która wykorzystuje framework CyberStrikeAI. Jest to jedno z pierwszych publicznych opisów ataku, w którym model językowy (LLM) pełni rolę orkiestratora w fazie post-eksploatacji.
Mechanizm działania opiera się na rozdzieleniu ról: człowiek definiuje ogólny cel, a model LLM na serwerze C2 decyduje o konkretnych krokach technicznych, narzędziach i sekwencji komend. Sam implant na zainfekowanym hoście pozostaje klasycznym agentem C2 bez funkcji AI, co utrudnia detekcję anomalii związanych z samym procesem myślowym modelu.
Atak przebiegał dwuetapowo. Po wstępnym przejęciu dostępu (np. przez SQL Server) i ręcznym rozpoznaniu, napastnicy wdrażali agenta CyberStrikeAI. Dzięki automatyzacji, procesy takie jak rozpoznanie domeny, ruch boczny (SMB/WMI) czy eksfiltracja danych, które tradycyjnie wymagają manualnej pracy operatora, trwały zaledwie kilka godzin.
Framework CyberStrikeAI jest narzędziem open-source napisanym w języku Go. Łączy on funkcje serwera C2 z orkiestracją opartą na AI, co pozwala na błyskawiczne przechodzenie od lokalnego rozpoznania do pełnego przejęcia domeny.
