--- title: "AI przyspiesza tworzenie malware, ale nie zwiększa jego skuteczności" description: "Palo Alto Networks Unit 42 przeanalizowało 405 próbek malware powiązanych z AI. Tylko 12 pojawiło się na produkcyjnych endpointach, a wszystkie wywołały alerty bezpieczeństwa." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/ai-przyspiesza-tworzenie-malware-ale-nie-zwieksza-jego-skutecznosci" markdown_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/ai-przyspiesza-tworzenie-malware-ale-nie-zwieksza-jego-skutecznosci/index.md" date_published: "2026-08-27T19:34:59.984Z" date_modified: "2026-08-27T19:35:12.758Z" author: "Redakcja" category: "Cyberbezpieczeństwo" tags: - "cyberbezpieczeństwo" - "malware" - "sztuczna inteligencja" - "ransomware" - "bezpieczeństwo endpointów" source_url: "https://www.securityweek.com/ai-speeds-up-malware-development-not-its-success-rate-analysis/" source_name: "SecurityWeek" image_url: "https://najnowsze-informacje.pl/api/media/file/cyberbezpieczenstwo-unsplash-1787767269549.jpeg" image_alt: "a computer circuit board with a brain on it" image_credit: "© Steve A Johnson / Unsplash" image_credit_url: "https://unsplash.com/@steve_j" --- # AI przyspiesza tworzenie malware, ale nie zwiększa jego skuteczności > Analiza 405 próbek powiązanych z AI wykazała, że tylko 12 dotarło na chronione urządzenia końcowe. ## Kluczowe informacje - Unit 42 przeanalizowało 405 próbek malware powiązanych z AI. - Tylko 12 hashy pojawiło się na chronionych endpointach. - Każda z 12 próbek wywołała alert bezpieczeństwa. - Do wykrycia wystarczyły istniejące mechanizmy, między innymi analiza zachowania i sandbox. Sztuczna inteligencja może skracać czas potrzebny na przygotowanie złośliwego oprogramowania, ale sama nie sprawia, że malware staje się trudniejsze do wykrycia. Do takiego wniosku doszli badacze z zespołu Unit 42 firmy Palo Alto Networks, którzy przeanalizowali 405 próbek w jakiś sposób powiązanych z AI. Wśród nich znalazły się zarówno ransomware tworzone częściowo z pomocą dużych modeli językowych, jak i zwykłe instalatory wykorzystujące nazwę popularnej aplikacji AI jako przynętę. Tylko niewielka część próbek dotarła do celu Badacze porównali hashe wszystkich 405 plików z kilkoma źródłami danych. Sprawdzili telemetrię endpointów, sesje sieciowe przekazywane do analizy w środowisku sandbox oraz wewnętrzne rejestry alertów generowanych wtedy, gdy próbka faktycznie została uruchomiona. Tylko 12 hashy pojawiło się na działających, chronionych endpointach. Nieco większa grupa, od 15 do 20 hashy, wystąpiła w ruchu sieciowym kierowanym do sandboxów. Oznacza to, że około 97 procent próbek nie wyszło poza sandbox, repozytorium badawcze albo wewnętrzne środowisko testowe i nie dotarło do prawdziwego celu. Zbiór obejmował 405 próbek powiązanych z AI w różny sposób. Na produkcyjnych endpointach wykryto 12 hashy. Od 15 do 20 hashy odnotowano w ruchu kierowanym do sandboxów. Każda z 12 próbek obecnych na chronionych urządzeniach wywołała alert bezpieczeństwa. Większość próbek była kodem testowym albo przynętą Próbki, które nie trafiły do produkcyjnych systemów, Unit 42 podzieliło na trzy główne grupy. Największą stanowił kod typu proof of concept, przygotowany do zademonstrowania określonej techniki. Takie programy były skonfigurowane do działania wyłącznie w lokalnych lub prywatnych sieciach, zawierały komunikaty debugowania, których raczej nie pozostawiłby rzeczywisty napastnik, i często były przesyłane tylko raz przez laboratorium badawcze albo uczelnię. Ich obecność w zbiorze nie oznaczała więc, że zostały użyte przeciwko produkcyjnej organizacji. Drugą grupę tworzyły pliki przesyłane przez organizacje sprawdzające własne zabezpieczenia na podstawie wcześniej opisanych przypadków malware powiązanego z AI. Badacze rozpoznawali takie testy między innymi po wielokrotnym przesyłaniu tego samego pliku z jednego źródła w krótkim czasie. Trzecia grupa wykorzystywała markę AI wyłącznie jako wabik. Zwykły ładunek był przedstawiany jako instalator znanego produktu AI, choć sam nie miał funkcji związanych ze sztuczną inteligencją. Na żywych endpointach pojawiło się pięć rodzin malware Dwanaście próbek wykrytych na działających endpointach reprezentowało pięć rodzin malware i pochodziło z aktywności obserwowanej w trzech krajach. Unit 42 nie wskazało koncentracji w konkretnej branży ani regionie. Wśród tych próbek znalazł się FunkSec, rodzina ransomware, którą wielu badaczy łączyło z wykorzystaniem pomocy dużych modeli językowych. Nazwy plików projektowych zapisane wewnątrz analizowanych próbek wskazywały, że twórca wielokrotnie zmieniał nazwę tego samego ransomware. Zdaniem Unit 42 tempo tych zmian bardziej przypominało generowanie sterowane promptami niż tradycyjny cykl tworzenia oprogramowania. Najczęściej spotkaną pojedynczą próbką był instalator udający aplikację Recipe Lister, przeznaczoną do wyszukiwania przepisów. Plik miał podpis cyfrowy i po instalacji po cichu uruchamiał backdoor. Rozprzestrzenił się w ponad 50 organizacjach, co przełożyło się na około 6500 rekordów endpointów i około 9600 alertów. Podpis początkowo nie wzbudził podejrzeń, jednak później wykrycie ułatwiło połączenie nietypowego sygnatariusza z silnym pakowaniem zawartości pliku. W innym przypadku Oyster, czyli backdoor, podszywał się pod instalator Dropboxa. Podpis pliku wskazywał Dropbox jako wydawcę. Unit 42 oceniło, że napastnicy coraz częściej wykorzystują narzędzia AI do generowania takiego kodu dostarczającego malware, ponieważ może to przyspieszać i obniżać koszt uzyskania początkowego dostępu do organizacji. W zbiorze znalazł się również plik wykonywalny dla Windows, który dostarczał stealera informacji Rhadamanthys i prowadził aktywną komunikację z infrastrukturą dowodzenia i kontroli. Wcześniejsze doniesienia łączyły ten łańcuch infekcji z pomocą AI. Piąta opisana próbka udawała komponent chińskiego produktu 360 Total Security i wykorzystywała technikę COM hijacking do utrzymania obecności w systemie. Unit 42 włączyło ją do zbioru, ponieważ pojawiała się w kampaniach dostarczanych razem z przynętami wykorzystującymi marki AI. Jednocześnie zachowanie samego pliku nie zależało od AI. Ten przypadek pokazuje, że określenie malware powiązane z AI może odnosić się nie tylko do sposobu napisania kodu, lecz także do marki użytej w procesie dostarczenia. Obrona nie wymagała nowych metod wykrywania Wszystkie próbki, które pojawiły się na chronionych endpointach, wywołały alert bezpieczeństwa. Zabezpieczenia wykorzystywały te same mechanizmy, które służą do wykrywania konwencjonalnego malware: uruchamianie plików w sandboxie, analizę zachowania, wykrywanie anomalii w podpisach cyfrowych oraz ocenę stopnia pakowania lub szyfrowania pliku. Unit 42 podało, że żadna z próbek powiązanych z AI nie wymagała wdrożenia nowej metody detekcji, aby ją rozpoznać i zablokować. Wyniki nie oznaczają, że wykorzystanie AI przez napastników jest pozbawione znaczenia. Analiza wskazuje raczej na obecny, bardziej ograniczony charakter tej zmiany. AI może przyspieszać przygotowywanie kodu, tworzenie kolejnych wariantów oraz budowanie instalatorów służących do dostarczenia ładunku. Nie wynika z niej jednak, że takie próbki automatycznie omijają analizę zachowania, kontrolę podpisów, sandbox albo inne mechanizmy ochrony endpointów. Dla obrońców najważniejszy pozostaje więc monitoring aktywności plików i urządzeń, a także reagowanie na sygnały wskazujące na nietypowe pochodzenie lub konstrukcję programu. ## Wyjaśnienie pojęć ### [sandbox](https://najnowsze-informacje.pl/definicje/sandbox) Sandbox to model rozgrywki, w którym gracz otrzymuje dużą swobodę wyboru działań, kolejności zadań lub sposobu rozwijania świata gry. ### [ransomware](https://najnowsze-informacje.pl/definicje/ransomware) Rodzaj złośliwego oprogramowania, które blokuje dostęp do danych lub systemów, często przez ich zaszyfrowanie, a następnie żąda zapłaty za przywrócenie dostępu. ### [COM hijacking](https://najnowsze-informacje.pl/definicje/com-hijacking) Technika utrwalania obecności programu w systemie Windows poprzez zmianę sposobu obsługi określonych komponentów COM. ## Źródło pierwotne [SecurityWeek](https://www.securityweek.com/ai-speeds-up-malware-development-not-its-success-rate-analysis/) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-08-27T19:34:59.984Z - **Ostatnia aktualizacja:** 2026-08-27T19:35:12.758Z - **Kategoria:** Cyberbezpieczeństwo - **Adres kanoniczny:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/ai-przyspiesza-tworzenie-malware-ale-nie-zwieksza-jego-skutecznosci](https://najnowsze-informacje.pl/cyberbezpieczenstwo/ai-przyspiesza-tworzenie-malware-ale-nie-zwieksza-jego-skutecznosci) - **Wersja Markdown:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/ai-przyspiesza-tworzenie-malware-ale-nie-zwieksza-jego-skutecznosci/index.md](https://najnowsze-informacje.pl/cyberbezpieczenstwo/ai-przyspiesza-tworzenie-malware-ale-nie-zwieksza-jego-skutecznosci/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „AI przyspiesza tworzenie malware, ale nie zwiększa jego skuteczności”, 2026-08-27, https://najnowsze-informacje.pl/cyberbezpieczenstwo/ai-przyspiesza-tworzenie-malware-ale-nie-zwieksza-jego-skutecznosci