Dva týdny jsme psali, že korejský regulátor „nemůže vyloučit“ použití AI nástroje při úniku dat ze sedmi finančních firem. Bezpečnostní firma CrowdStrike teď přišla s něčím jiným než dohadem — s útočníkovými vlastními soubory. Díky jeho chybě (otevřený adresář na serveru) si CrowdStrike přečetla jeho relace v Claude Code, konfiguraci nástroje ARTEX i to, jaké modely přes ně pouštěl. Stejné soubory ukázaly i to, že útočník použil tutéž AI na plánování prodeje ukradených dat — a na životopis, kterým se chtěl pochlubit.
Co se stalo
- CrowdStrike četla útočníkovu vlastní práci, ne odhad. Podle zprávy zveřejněné na blogu CrowdStrike (vyšla ve středu 7. října amerického času, potvrzuje agentura Yonhap) firma našla na útočníkem kontrolované infrastruktuře otevřený, nezabezpečený adresář. V něm ležely historie relací z Claude Code, konfigurační soubory nástroje ARTEX a soubory s pamětí Claude — tedy přímo pracovní poznámky útočníka, ne stopy, které je nutné rekonstruovat z malwaru.
- Jaký nástroj a jaké modely. ARTEX je open-source agentní nástroj na penetrační testování vyvinutý v Číně. Útočník ho provozoval na IP adrese 38.244.50[.]120, kde měl i soubor
/.claude/CLAUDE.mds čínsky psaným promptem, jak má LLM testování vést. Jako hlavní model používal DeepSeek v4.1-flash, doplňkově GLM-5.3 (Zhipu AI) a Grok 4.6 — všechny přes relace v Claude Code. K DeepSeeku se podle CrowdStrike pravděpodobně přihlašoval přes proxy/reseller xcai[.]pro. Druhý server, v Hongkongu, sloužil jako hlavní řídicí infrastruktura. - Atribuce zůstává opatrná i u CrowdStrike. Firma útok nepřiřadila žádné konkrétní, jmenované skupině. Hodnocení „pravděpodobně čínsky mluvící a finančně motivovaný útočník“ staví jen na „střední jistotě“ (moderate confidence) — na použití čínského nástroje ARTEX a čínských promptů v relacích, ne na identifikaci osoby.
- Co CrowdStrike naopak nepotvrzuje. Zpráva výslovně říká, že počet postižených organizací „zůstává nepotvrzený“. Napadené systémy popisuje jen obecně — „služba pro dotazy na stav úvěru využívaná makléři“ u jedné banky a „mobilní systém na podporu zaměstnanců“ u druhé (odpovídá tomu, co jsme popsali u Shinhan a Hana Bank minulý týden) — ale sama píše, že cíle „se překrývají“ s tím, co popsala média, nikoli že jde o stejné, jmenovitě potvrzené firmy.
- Ironie na konec: útočník použil Claude i na vlastní prodej a chlubení. Ve stejných relacích se Claude ptal, kde se obvykle prodávají uniklá korejská data a kde najde telegramové skupiny, co s takovými daty obchodují. V jiné relaci požádal Claude o sepsání životopisu bezpečnostního výzkumníka, který by vypíchl výsledky akce ARTEX — se jménem „YY“, telegramovým účtem @YY520CN, věkem 26 let (přitom nejdřív zadal datum narození 2007, tedy věk 19 — údaje si neodpovídají) a školou v Kuang-tungu. CrowdStrike sama upozorňuje, že tyto osobní údaje nelze s jistotou přiřadit ke skutečné identitě útočníka.
Proč se to týká i vás
Hlavní poučení není „AI hackuje banky“. Je to, že agentní AI nástroje po sobě zanechávají úplně jiný typ stopy než klasický malware — relace, paměťové soubory, projektové poznámky v markdownu. Tahle stopa je čitelná bez reverzního inženýrství, stačí ji najít. Útočníka v tomto případě neprozradila chyba v nástroji ARTEX ani slabina v LLM, ale banální chyba administrátora: nechal adresář se svými pracovními soubory veřejně přístupný. Totéž riziko má i vaše firma, pokud používá agentní nástroje (Claude Code a podobné) při penetračním testování nebo vývoji — relace a paměťové soubory agenta jsou citlivá data, která prozrazují metodiku, cíle i přístupy, a patří za přístupová práva, ne na stejný server, který testujete.
Druhé poučení je o přesnosti řeči. CrowdStrike teď poskytla technický důkaz, že nástroj a modely byly reálně použité — to je jiná úroveň jistoty než „regulátor to nevyloučil“, co jsme psali minulý týden. Přesto ani CrowdStrike nepotvrzuje počet postižených firem, jmenovité napojení na konkrétní banky ani identitu útočníka. Když o incidentu mluvíte dovnitř firmy nebo k zákazníkům, má smysl rozlišovat, co je teď technicky doloženo (nástroj, modely, metoda) a co zůstává jen pravděpodobné (kolik firem, kdo konkrétně).
Co s tím
- 1. Zkontrolujte vlastní servery a cloudová úložiště na otevřené, nezabezpečené výpisy adresářů — zvlášť tam, kde běží agentní AI nástroje nebo probíhá penetrační testování. Přesně tahle jedna chyba stála za celým odkrytím kampaně.
- 2. Pokud týmy u vás používají Claude Code nebo podobné agenty na bezpečnostní práci, ukládejte relace a paměťové soubory agenta s omezeným přístupem — ne na tentýž server nebo instanci, kterou agent zrovna testuje nebo atakuje.
- 3. Při komunikaci o incidentu uvádějte zvlášť to, co potvrdil bezpečnostní dodavatel s vlastním technickým důkazem, a zvlášť to, co je jen shoda s dřívějšími médiálními odhady. CrowdStrike ten rozdíl ve své zprávě sama explicitně dělá — stojí za to ho při interním referování zachovat.
- 4. Nezapomínejte, že totéž, co usvědčilo útočníka, platí i o vás — pokud vaši lidé používají AI agenty na interní bezpečnostní testy, mají stejně bohatou stopu, jakou tu popisuje CrowdStrike. Otázka není jen „hlídáme útočníky“, ale „je naše vlastní agentí stopa uložená bezpečně“.
A teď proti vlastnímu byznysu: pokud u vás žádný tým nepoužívá agentní AI nástroje na penetrační testování ani vývoj a nemáte veřejně přístupná úložiště s pracovními daty, tenhle konkrétní poučný bod se vás netýká — nejde o obecné varování před AI agenty, ale o konkrétní provozní chybu (otevřený adresář), která může potkat kohokoli bez ohledu na AI.
Kde to řeším s klienty
Audit toho, jestli vaše AI agenty a jejich relace, paměť a logy mají odpovídající přístupová práva, řešíme v rámci AI Agent Governance Checkupu. Pokud si nejste jistí, jestli se vás tohle téma týká vůbec, začněte AI Risk Scanem zdarma.