72 timer. Så lang tid tok det for en enkelt trusselaktør å kompromittere et AWS-miljø som ellers ville krevd uker, ifølge rapporten «Inside an AI-Assisted Cloud Attack: Familiar Techniques at Unfamiliar Speed» fra det israelske sikkerhetsselskapet Sygnia. Aktøren lette ikke etter ny skadevare eller nulldagssårbarheter. Han brukte KI til hastighet.
Inngangen var kjent kost: en tilgangsnøkkel hentet gjennom svakheter i en internettvendt applikasjon. Derfra kjørte angriperen KI-assisterte arbeidsflyter på fire oppgaver samtidig. Én lette etter hemmeligheter i S3-bøtter, applikasjonsdatabaser, AWS Secrets Manager og Parameter Store. Én bygde bakdører gjennom nye IAM-brukere, nye tilgangsnøkler og reverse shells på EC2 og ECS. Én eksfiltrerte data fra RDS-databaser. Den siste demonstrerte kapasitet for offeret ved å sperre S3-bøtter, skalere ECS-tjenester til null og tømme SQS-køer.
Ingen av teknikkene er nye. Det Sygnia peker på, er at KI fjerner tiden mellom dem. Rapporten knytter gjennombruddet til kontrollhull i hemmelighetshåndtering, identitetsstyring, deploy-arbeidsflyter og skytillatelser, kombinert med svak overvåking og manglende beredskap hos offeret.
«Etter hvert som store språkmodeller og agentisk KI blir mer tilgjengelig, kan de senke terskelen for å komme i gang, akselerere angrepsflyter og sette mindre avanserte aktører i stand til å operere med enestående hastighet og skala.» — Avi Dayan, VP for incident response i Sygnia
For deg som drifter egne skymiljøer er ikke poenget at angriperen var smartere enn før. Deteksjonsvinduet krympet. En responsrutine som forutsetter at rekognosering, persistens og eksfiltrering skjer i adskilte faser over flere dager, har ikke lenger den luften å gå på.
Hva bør du gjøre?
- Begrens skyadministrasjon til IP-allowlistede lokasjoner, og steng utgående trafikk fra arbeidslaster til godkjente destinasjoner.
- Kartlegg hvor hemmelighetene dine faktisk ligger. Klartekst i S3, API-nøkler i applikasjonsdatabaser, Secrets Manager og Parameter Store var alle i spill i dette innbruddet.
- Test om varslingen din fanger fire parallelle aktivitetsspor, ikke bare ett om gangen.