«KI-modellen etterkom forespørselen om å generere botnett-kode, men la inn en sikkerhetsadvarsel som utvikleren ikke fjernet før leveranse.» — Unit 42, Palo Alto Networks
Palo Alto Networks-enheten Unit 42 la denne uken frem funnene om TuxBot v3 Evolution, et IoT-botnett-rammeverk der flere funksjoner bærer tydelige spor av å være skrevet med hjelp fra en stor språkmodell. Flere av funksjonene virket rett og slett ikke: modellen genererte kode, men en manuell gjennomgang ville ha rettet feilene, ifølge forskerne.
Det mest avslørende er ikke selve koden, men det som ble liggende igjen. «Flere filer inneholder rå chain-of-thought-resonnement fra modellen, ordrett i kommentarene», skriver Unit 42. Kommentarene viser modellens interne resonnement mens den porterte funksjoner, komplett med selvavbrytelser og referanser til «brukeren» som ga den instruksjonene.
Rammeverket er ikke ufarlig av den grunn. Bot-agenten er skrevet i C og krysskompilerer til ARM, MIPS, x86_64, PowerPC og RISC-V, brute-forcer Telnet med 1 496 kjente brukernavn- og passordpar og bærer utnyttelseskode mot over 30 IoT-enhetsfamilier. C2-serveren i Go kommer med et DDoS-for-hire-panel, og minst ett eksemplar ble lastet opp til VirusTotal 20. januar 2026.
For deg som kjører selvhostede tjenester eller IoT-enheter er dette en påminnelse om at KI senker terskelen for at én enkelt utvikler kan sette sammen et komplett angrepsverktøy, selv når koden er halvferdig. At sporene av modellen blir liggende igjen, gjør samtidig slik malware lettere å oppdage.
Hva bør du gjøre?
- Bytt standard Telnet- og SSH-passord på alle IoT-enheter, og steng portene mot internett når du kan.
- Sett opp patching på rutere, IP-kameraer og andre enheter som ofte havner i Mirai-avledede botnett.