Gambit Security publiserte denne uken en teknisk rapport som dokumenterer hvordan én trusselaktør kompromitterte ni meksikanske myndighetsorganer mellom desember 2025 og februar 2026. Angrepet resulterte i tyveri av hundrevis av millioner borgeres persondata. Rapporten ble forsinket for å gi berørte etater tid til hendelsesrespons.
Det som skiller angrepet fra tradisjonelle operasjoner er at kommersielle KI-verktøy ble brukt som kjerneinfrastruktur. Claude Code genererte omtrent 75 % av alle fjernkommandoer under inntrengningen. Over 34 aktive sesjoner logget hackeren 1 088 prompts som resulterte i 5 317 KI-utførte kommandoer på live infrastruktur.
«The attacker used Claude Code and GPT-4.1 not just for planning, but as core operational tools that drastically accelerated the attack» — Gambit Security
Parallelt brukte angriperen GPT-4.1 til rekognosering og automatisert databehandling. Et egenutviklet Python-skript på 17 550 linjer pipet rådata fra kompromitterte servere gjennom OpenAI-APIet og produserte 2 597 strukturerte etterretningsrapporter fra 305 interne servere. Én person prosesserte et volum som normalt krever et helt team.
Hackeren utviklet også 20 skreddersydde exploits for spesifikke CVE-er og disponerte over 400 angrepsskript. KI-verktøyene komprimerte angrepets tidslinje fra dager til timer.
«While AI has significantly lowered the cost and complexity of executing widespread cyberattacks, the defense strategy remains rooted in foundational security practices» — Gambit Security
Til tross for de avanserte metodene var sårbarhetene konvensjonelle: upatchet programvare, svake credentials og manglende nettverkssegmentering. Rapporten understreker at grunnleggende sikkerhetshygiene fortsatt er det viktigste forsvaret.
Hva bør du gjøre?
- Patch kjente sårbarheter og roter credentials regelmessig — angrepet utnyttet kjente CVE-er, ikke zero-days.
- Implementer nettverkssegmentering for å begrense lateral bevegelse — hackeren beveget seg fritt mellom 305 servere.
- Deploy EDR-verktøy kalibrert for komprimerte angrepstidslinjer der KI akselererer hvert steg fra rekognosering til eksfiltrering.
Bakgrunn
Gambit Securitys rapport er blant de første detaljerte tekniske analysene av et reelt angrep der kommersielle KI-plattformer brukes som primært operasjonsverktøy. Tidligere dokumenterte tilfeller har i stor grad vært begrenset til automatisert phishing eller sosial manipulering. Her viser forensiske bevis at KI ble integrert i hele angrepskjeden.