Saldırganlar, komuta-kontrol sistemini büyük bir dil modeliyle (LLM) birleştiren sızma testi çerçevesi CyberStrikeAI’ı kullandı. İnsan operatör hedefleri belirlerken yapay zekâ modeli araçları seçebiliyor, komut oluşturabiliyor ve sonuçları analiz edebiliyor. Saldırılar Eylül ve Ekim 2026 döneminde gözlemlendi.
Yeniden oluşturulan olaylardan birinde saldırganlar, ele geçirilmiş bir SQL Server üzerinden manuel olarak çalışmaya başladı ve iki haftalık aranın ardından CyberStrikeAI implantını devreye soktu. İmplantın yüklenmesinden etki alanı yöneticisi hesaplarının ele geçirilmesine kadar üç ila dört gün geçti.
Bilgisayarlar arası geçiş, kimlik bilgilerinin toplanması ve veritabanının dışarı aktarılmasını kapsayan son aşama bir saatten kısa sürdü. Yapay zekâ, ele geçirilen bilgisayarlarda değil saldırganların sunucusunda çalışıyordu; implant geleneksel bir uzaktan kontrol aracı gibi işlev gördü.
Kaspersky Tehdit Keşif Birimi Başkanı Nikita Nazarov, çerçevenin sistem keşfi, kimlik bilgilerinin ele geçirilmesi, yatay hareket ve veri toplama gibi bilinen tekniklere dayandığını söyledi. Nazarov, yapay zekânın saldırganların faaliyetlerini nasıl koordine ettiğini ve ne kadar hızlı hareket ettiğini değiştirdiğini belirtti.
Araştırmacılar komut dosyalarında Çince yorum satırlarına rastladı; ancak bu bulgular saldırganların kimliğini veya bulundukları yeri ortaya koymaya yetmedi. Kaspersky, faaliyeti henüz bilinen bir tehdit aktörüyle doğrudan ilişkilendirmedi, tespit edilen tüm altyapının aynı operatör tarafından yönetildiğini de teyit etmedi.