Hackerii black hat conduc acum roiuri de agenți.

Timp de douăzeci de ani, lucrul care limita un hacker black hat nu era imaginația, ci orele. Să citești codul altcuiva până apare o slăbiciune, să scrii un exploit care rezistă la contactul cu un sistem real, să te miști lateral odată intrat fără să declanșezi nimic — toate erau muncă manuală calificată, iar munca aceea era exact ce despărțea o echipă sponsorizată de un stat de cineva care lucra singur dintr-un dormitor. Între noiembrie 2025 și septembrie 2026, distanța aceea a fost măsurată, documentată chiar de companiile ale căror modele erau folosite, și în mare parte închisă. Mai jos e ce s-a întâmplat de fapt și ce înseamnă pentru un site care nu e țintă de stat și nu va fi niciodată.

Dezvăluirile care marchează schimbarea

Fiecare rând e un furnizor sau un cercetător care dezvăluie abuzul propriului produs ori al unei platforme pe care o monitorizează — cea mai solidă categorie de dovezi disponibilă aici și, în același timp, cea mai selectivă: acestea sunt campaniile care au fost prinse. Nimic din tabel nu e o proiecție.

Unde stă riscul de fapt, platformă cu platformă

Tabelul clasifică expunerea, nu calitatea. Nucleul WordPress a avut șase vulnerabilități în tot 2025 și toate au fost de prioritate mică — platforma nu e problema, cele treizeci de plugin-uri sunt. Un site WordPress întreținut și actualizat săptămânal e mai sigur decât o aplicație pe măsură lăsată în paragină, iar ordinea rândurilor nu spune nimic despre ce ți se potrivește ție.

Uneltele ofensive cu AI documentate public

Fiecare rând vine din raportări publice de threat intelligence, iar cele mai multe sunt unelte legitime de red team folosite de oameni pentru care nu au fost scrise — tiparul Cobalt Strike, repetat. Sunt listate ca să fie lizibilă capacitatea pentru cine decide ce apără, nu ca recomandare: nimic din toate astea nu e obscur și tot e deja în rapoartele furnizorilor.

Ce repari, în ordinea care contează

Ordinea e dată de randament, nu de sofisticare. Primele patru rânduri acoperă marea majoritate a compromiterilor reale ale site-urilor mici și mijlocii și niciunul nu cere un specialist în securitate — cer pe cineva a cărui treabă e să le facă după un calendar.

Priceperea care a încetat să mai fie rară

O intruziune a avut mereu aceeași formă: afli ce rulează ținta, găsești ceva stricat, intri, iei ce merită luat și rămâi neobservat destul cât să termini. Fiecare etapă e o problemă de cercetare, iar problemele de cercetare s-au dovedit a fi exact lucrul la care modelele mari de limbaj sunt neobișnuit de bune. Partea ofensivă a observat devreme, din motivul evident: capacitatea care găsește o slăbiciune ca să o raporteze e aceeași capacitate care o găsește ca să o folosească.

Ce s-a schimbat nu e că un model poate scrie malware. Era adevărat și banal deja în 2023, iar rezultatul era mediocru. S-a schimbat faptul că un model poate primi acum un obiectiv, un set de unelte și o buclă, și poate fi lăsat să lucreze — alegând ce încearcă mai departe în funcție de ce a returnat încercarea anterioară. Asta e diferența dintre o unealtă și un operator, iar ea a ajuns în producție de partea atacatorilor cu puțin înainte să ajungă în producție de partea apărătorilor.

Prima campanie condusă efectiv de model

Pe 13 noiembrie 2025, Anthropic a anunțat că a oprit ceea ce a descris drept prima campanie de spionaj cibernetic orchestrată de AI raportată vreodată. Gruparea, urmărită sub numele GTG-1002 și atribuită unor actori sponsorizați de statul chinez, construise în jurul Claude Code o schelărie care conducea unelte obișnuite de testare a penetrării, open source, printr-un ciclu complet de intruziune împotriva a circa treizeci de organizații — companii de tehnologie, instituții financiare și agenții guvernamentale.

Cifra care a făcut din asta un moment de cotitură e optzeci până la nouăzeci la sută: partea din munca tactică pe care modelul a dus-o singur. Oamenii au ales țintele și au aprobat cele câteva momente care contau. Tot ce era între ele — scanarea, identificarea slăbiciunilor, scrierea codului de exploatare, recoltarea credențialelor, mișcarea laterală, apoi sortarea datelor furate după valoare — a rulat în ritm de mașină, în rafale susținute de mai multe operațiuni pe secundă.

Câteva dintre intruziuni au reușit înainte ca acele conturi să fie închise. Campania contează mult mai puțin prin ce a luat decât prin ce a demonstrat: întregul flux a ținut cap-coadă, nesupravegheat, împotriva unor ținte reale. Nimeni din afara unui laborator de cercetare nu arătase asta până atunci.

Roiuri și breșa de trei ore

Raportul Anthropic din septembrie 2026 acoperă decembrie 2025 – august 2026 și se citește ca un catalog al anului în care tehnica s-a maturizat. Un actor legat de China a menținut roiuri permanente de agenți care descompuneau recunoașterea în sub-agenți paraleli rulând după un orar, producând peste o duzină de posibile zero-day-uri într-o singură lună. Un operator legat de Rusia a rulat agenți de monitorizare care își rescriau propriul malware de fiecare dată când se declanșa o detecție, iterând până rămânea curat. Într-o compromitere a lanțului de aprovizionare SaaS, agenții au făcut aproape toată munca și au escaladat un singur token furat până la control administrativ complet pe un mediu cloud, în circa trei ore.

Grupul de informații despre amenințări al Google a publicat varianta de consum a aceleiași povești pe 8 septembrie 2026. Un actor motivat financiar a compromis o singură resursă cloud, apoi a planificat, construit și rulat o campanie de recoltare în masă de credențiale folosind un cadru agentic condus de fișiere markdown. Și-a rotit singur adresele IP, și-a depanat singur erorile și a luat mii de credențiale terțe în mai puțin de șase ore, fără om în buclă pe toată durata.

Propria concluzie a Anthropic despre perioadă e partea care merită reținută, pentru că e o afirmație despre economie, nu despre tehnologie: atacurile sofisticate nu mai cer atacatori sofisticați. Munca ce despărțea un program de stat bine finanțat de un om singur cu o cheie de API furată s-a ieftinit până la banalitate, iar cei doi produc acum campanii comparabile.

Jumătatea pe care nu o poate opri nimeni

Toate poveștile de până aici au aceeași trăsătură discretă la final: cineva îl închide pe atacator. Anthropic a suspendat conturile GTG-1002. Google a dezactivat resursele Gemini din spatele PROMPTSPY. Asta se poate pentru că acei operatori foloseau un model găzduit, ceea ce înseamnă un cont, o politică și telemetrie — trei lucruri care există de partea furnizorului.

Un model care rulează pe hardware-ul atacatorului nu are niciunul dintre ele: niciun furnizor, nicio politică, niciun log și nimic de suspendat — iar stratul de siguranță poate fi scos dintr-un model cu greutăți deschise de oricine îl descarcă. Cercetătorii care au scanat internetul public în ianuarie 2026 au găsit 175.000 de gazde Ollama expuse în 130 de țări, dintre care 201 serveau deja șabloane de prompt scrise anume ca să elimine barierele de siguranță.

Consolarea obișnuită e că modelele locale sunt mult mai slabe, iar pentru raționamentul cel mai greu chiar așa e. E mai puțin adevărat pentru munca ce contează aici — să citești cod până ceva arată greșit, să scrii un script de unică folosință, să rezumi rezultatul unei scanări. Sunt sarcini banale, merg acceptabil pe o singură placă video de consumator și reprezintă grosul unei intruziuni. Consecința practică e că rapoartele Anthropic și Google trebuie citite ca un prag minim al problemei, nu ca o măsurătoare a ei. Ele descriu atacatorii care au ales varianta urmăribilă.

Mai e o latură care ajunge mult mai aproape de casă. Un model local e un server. Aceeași cercetare a găsit o vulnerabilitate critică, CVE-2026-7482 cu scor CVSS 9.1, care expunea aproximativ 300.000 de servere la scurgeri de chei de API, variabile de mediu și conversații salvate, iar Sysdig a înregistrat pe 12 iunie 2026 primul caz confirmat de atacator care folosea un server Ollama prost configurat pe post de motor de raționament pentru propriul lanț de atac. Dacă cineva din firma ta ține un model care rulează în rețeaua de birou, locul lui e în inventar și în spatele firewallului, ca orice altceva.

Uneltele se iau de-a gata și cele mai multe sunt legitime

HexStrike-AI a fost publicată de un cercetător în securitate ca automatizare open source pentru testarea penetrării: un server MCP care leagă un model de limbaj de peste 150 de unelte de securitate existente și le rulează în secvență, cu logică de reîncercare și recuperare din erori, ca un pas eșuat să nu oprească rularea. În cele douăsprezece ore de după dezvăluirea unui set de vulnerabilități Citrix NetScaler, Check Point a urmărit pe forumuri underground discuții despre exact cum să fie îndreptată spre ele — scanare după instanțe expuse, generare de payload-uri, plasare de webshell-uri pentru persistență. Operatorii pretindeau că timpul de transformare în armă scăzuse de la zile la sub zece minute. ShadowServer număra în jur de 28.000 de endpoint-uri expuse când a apărut vulnerabilitatea și circa 8.000 cinci zile mai târziu — o rată de actualizare încurajatoare și, în același timp, vreo opt mii de organizații care încă așteptau.

Villager e aceeași idee, vândută ca produs. Publicată pe PyPI în iulie 2025 de Cyberspike, împachetează un lanț de unelte Kali Linux containerizat în jurul unor modele DeepSeek ca să orchestreze un angajament cap-coadă, și a strâns 10.030 de descărcări în primele două luni. Cercetătorii o descriu drept succesorul AI-nativ al lui Cobalt Strike, iar comparația e tot argumentul: Cobalt Strike a fost scris pentru echipe de red team și a devenit cel mai frecvent cadru de post-exploatare din mâinile infractorilor. Nu există niciun motiv să ne așteptăm la alt final aici, iar numărul de descărcări sugerează că a început deja.

Al treilea tipar e pur și simplu furtul de putere de calcul. Între martie și mai 2026, senzori de tip honeypot au prins trei operatori diferiți îndreptând Strix și HexStrike-AI spre endpoint-uri Ollama și LiteLLM deturnate — folosind serverul de model nesecurizat al altcuiva pe post de creier al operațiunii și lăsându-i lui nota de plată. Un al patrulea rula un agent de programare sub o persona construită ca să îl treacă peste propriile refuzuri.

Nimic din toate astea nu e exotic, și exact asta merită reținut. E ciclul obișnuit de viață al uneltelor de securitate — scrise pentru apărători, la fel de eficiente pentru toți ceilalți — doar că stratul de AI a eliminat pragul de pricepere care îi ținea pe cei mai mulți departe de a le folosi bine. Apărarea nu se schimbă pentru că atacatorul a primit o unealtă mai bună. Se schimbă pentru că atacatorul a devenit mai rapid, iar asta e o discuție despre ritmul tău de actualizare și despre nimic altceva.

Apărătorii s-au mișcat în direcția opusă

Raportul Verizon privind investigarea breșelor de date, ediția 2026, a analizat peste 22.000 de breșe din 145 de țări și a găsit că exploatarea unei vulnerabilități cunoscute e acum cea mai frecventă cale prin care intră atacatorii — 31% din accesul inițial, față de 20% în anul precedent. E o creștere de 55% de la an la an pentru categoria asta, care a depășit și phishingul, și credențialele furate, ajungând pe primul loc.

Cifrele de remediere s-au mișcat exact invers în aceleași douăsprezece luni. Timpul median până la aplicarea unui patch a urcat de la 32 la 43 de zile. Proporția vulnerabilităților cunoscute ca fiind exploatate care chiar au fost remediate a scăzut de la 38% la 26%. Atacatorii au accelerat și apărătorii au încetinit, simultan, iar distanța dintre cele două curbe e toată povestea lui 2026 într-un singur grafic.

Pentru site-urile obișnuite, cifrele sunt și mai concrete. Atacurile de bază asupra aplicațiilor web înseamnă 10% din breșe, iar după numărătoarea anterioară a Verizon, 88% dintre ele implică credențiale pe care cineva le furase deja în altă parte. Cele mai multe compromiteri de site-uri nu sunt deștepte. Sunt un cont de autentificare care ar fi trebuit să aibă un passkey pe el.

Cinci ore

Raportul Patchstack despre starea securității WordPress în 2026 a numărat 11.334 de vulnerabilități noi în ecosistemul WordPress pe parcursul lui 2025, cu 42% mai multe de la an la an. Nouăzeci și unu la sută au fost în plugin-uri și nouă la sută în teme. Nucleul WordPress a contribuit cu șase, toate de prioritate mică. Din total, 1.966 au fost de severitate mare — o categorie care a crescut cu 113% într-un an — iar 46% nu aveau niciun fix de la dezvoltator în momentul dezvăluirii.

Pentru o vulnerabilitate intens vizată, timpul median de la dezvăluire la exploatarea în masă e de cinci ore, iar aproximativ jumătate dintre problemele cu impact mare sunt exploatate într-o zi. Niciun proces uman de actualizare nu funcționează la scara asta de timp. Să aștepți fereastra lunară de mentenanță e, aritmetic, decizia de a fi exploatat întâi și actualizat după.

O constatare din raport merită citită de două ori de oricine a presupus că plătit înseamnă sigur: componentele premium și freemium au produs 29% din raportările de vulnerabilități, dar 76% dintre ele erau exploatabile și aduceau de trei ori mai multe vulnerabilități cunoscute ca fiind exploatate decât cele gratuite. Patchstack a măsurat și cât prind apărările de la nivelul găzduirii, iar răspunsul a fost 26% din atacurile pe vulnerabilități în general și 12% din cele specifice WordPress. Presupune că restul ajunge la site-ul tău.

Site-ul tău e acum input pentru agentul altcuiva

Mai există o suprafață, mai ciudată, care nu exista acum trei ani. Agenții citesc internetul ca să își facă treaba și nu pot distinge sigur între conținut și instrucțiune. Text ascuns într-o pagină — în HTML, în metadate, într-o recenzie, într-un câmp de comentarii — poate fi scris special ca să fie citit drept comandă de orice asistent rezumă pagina aceea mai târziu. OWASP clasează fenomenul, injectarea indirectă de prompt, drept riscul numărul unu pentru aplicațiile bazate pe modele de limbaj, și nu mai e teoretic: Google a găsit o creștere relativă de 32% a injecțiilor din categoria malițioasă scanând arhiva publică CommonCrawl între noiembrie 2025 și februarie 2026.

Răspunderea de aici e neobișnuită, pentru că victima nu ești tu. Dacă site-ul tău acceptă conținut de la utilizatori — recenzii, comentarii, câmpuri de profil, documente încărcate — atunci găzduiești text pe care agentul altcuiva îl va asculta, iar consecințele cad de partea lui a gardului. Merită înțeles înainte ca agenții să facă și cumpărăturile pe site-ul tău; cum cumpără agenții AI acoperă cealaltă jumătate.

Ce platforme sunt cele mai sigure și care nu sunt

Răspunsul cinstit e că nu există platformă sigură, ci doar două variabile care prezic efectiv dacă ești compromis: cât cod al altcuiva rulează pe serverul tău cu drepturile tale pe baza de date și cât de repede e actualizat când se dovedește greșit. Fiecare rând din tabelul de mai sus e un răspuns diferit la aceste două întrebări, iar nimic altceva dintr-o platformă nu contează nici pe departe la fel de mult.

WordPress nu e nesigur — nucleul a avut șase vulnerabilități de prioritate mică în tot 2025 — dar cele treizeci de plugin-uri de deasupra sunt locul unde stau 91% din problemele ecosistemului, fiecare rulând cu acces deplin la baza ta de date. E o problemă de configurare, nu de platformă, și se rezolvă: mai puține plugin-uri, actualizări automate pornite și un interval de mentenanță care e treaba cuiva anume. WordPress sau un CMS headless e varianta lungă a deciziei ăsteia.

La capătul expus, Magento și Adobe Commerce găzduite pe cont propriu au cea mai proastă poziție structurală de pe web, iar un exemplu rulează chiar în timp ce scriem asta. StyleSmuggler, CVE-2026-75650, e o vulnerabilitate de execuție de cod la distanță cu scorul CVSS maxim, 10.0. Sansec a confirmat exploatarea începând cu 4 septembrie 2026; remedierea de urgență de la Adobe a apărut pe 7. Sunt trei zile de vulnerabilitate de severitate maximă, fără autentificare, folosită activ împotriva unei platforme care ține fluxurile de plată, iar fiecare magazin care nu a fost actualizat în câteva ore de la remediere a petrecut săptămâna aceea sperând.

La capătul sigur, raționamentul e aproape plictisitor. Un site static sau pre-randat servit dintr-un CDN nu are bază de date pe originea publică, nu are formular de admin de spart prin forță brută și nu are plugin care să ruleze la cerere, așa că majoritatea claselor de atac de mai sus pur și simplu nu au unde să aterizeze — de ce construim cu Next.js e în parte exact argumentul ăsta. Platformele SaaS administrate sunt aproape la fel de bune, dintr-un motiv diferit: furnizorul actualizează centralizat, pentru toți, de obicei în câteva ore, singurul răspuns suficient de rapid pentru o fereastră de cinci ore. Ce pierzi e controlul, iar ce îți rămâne e riscul din aplicațiile tale, din scripturile temei și din conturile angajaților.

Ce ai de făcut concret

Lista de reparații de mai sus e ordonată după randament, nu după sofisticare, iar lucrul frapant la ea e cât de puțin înseamnă muncă de securitate în sensul de specialitate. MFA rezistent la phishing, un ciclu scurt de actualizări, mai puține piese în mișcare și backup-uri din care s-a restaurat măcar o dată vor preveni marea majoritate a compromiterilor reale ale unui site de firmă obișnuit. Nimic din toate astea nu cere un consultant. Cere pe cineva a cărui treabă e să le facă după un calendar, exact lucrul pe care îl cumperi cu un abonament de mentenanță.

Credențialele merită primul loc pentru că cifrele sunt strâmbe. Microsoft măsoară MFA-ul rezistent la phishing ca oprind peste 99% din atacurile pe identitate, în timp ce codurile SMS și cele de unică folosință sunt ocolite curent de atacatori care au deja parola. Passkey-urile nu mai sunt exotice — FIDO Alliance numără 48% dintre primele o sută de site-uri ca suportându-le, iar Google raportează peste 800 de milioane de conturi care se autentifică așa. Să le pornești pe conturile de admin, găzduire, registrar și DNS e o după-amiază care elimină o categorie întreagă de risc.

Ultimul rând e cel mai probabil să fie ignorat. Dacă vreo parte din site-ul tău a fost scrisă cu ajutorul AI — iar în 2026 undeva e, aproape sigur — trebuie verificată pe zonele care țin de input, autentificare și acces la date, pentru că 45% din mostrele generate de AI conțin o problemă din OWASP Top 10. Uneltele nu sunt problema și le folosim zilnic. Absența unui om care verifică este.

De unde începi dacă e prea mult

Începe cu un inventar, pentru că aproape nimeni nu are unul. Ce rulează pe server, ce versiune e, când a fost actualizat ultima oară, cine se poate autentifica și ce terți au o cheie. Lista asta singură răspunde de obicei la întrebarea ce faci întâi și e frecvent prima dată când cineva scrie negru pe alb câte plugin-uri sau integrări s-au adunat în cinci ani.

De acolo, ordinea e cea din tabel: credențiale, ritm de actualizare, reducerea suprafeței, backup-uri. Dacă preferi să nu aduni totul singur, un audit tehnic produce exact inventarul acela și lista de reparații prioritizată care decurge din el, în limbaj clar, nu ca un raport brut de scaner. Oricum ai proceda, lucrul care merită reținut din anul ăsta e că fereastra s-a strâns de la săptămâni la ore, iar orice plan care presupune că vei observa la timp nu mai stă în picioare.

Surse

Verificate în septembrie 2026. Dezvăluiri primare de la furnizori și cercetători oriunde o cifră vine de la ei — vezi notele de subsol ale fiecărui tabel pentru ce măsoară și ce nu măsoară cifrele.

• Anthropic — Disrupting the first reported AI-orchestrated cyber espionage campaign ↗

  Campania GTG-1002 dezvăluită pe 13 noiembrie 2025: circa 30 de organizații vizate, 80–90% din munca tactică executată de model, rafale susținute de mai multe operațiuni pe secundă.

• Anthropic — Countering misuse of AI: September 2026 ↗

  Decembrie 2025 – august 2026, pe șapte categorii de abuz: roiuri de agenți, escaladarea în trei ore de la un token furat la administrare completă pe cloud și concluzia că atacurile sofisticate nu mai cer atacatori sofisticați.

• Google Cloud — Adversaries leverage AI for vulnerability exploitation, augmented operations and initial access ↗

  GTIG, 12 mai 2026. Primul zero-day despre care se crede că a fost dezvoltat cu AI, familiile de malware PROMPTSPY și PROMPTFLUX și compromiterea TeamPCP a pachetelor Trivy, Checkmarx și LiteLLM la sfârșitul lui martie 2026.

• The Hacker News — Autonomous AI agents compromise thousands of credentials in under six hours ↗

  Relatarea dezvăluirii Google Threat Intelligence Group din 8 septembrie 2026, inclusiv furturile SANDCLOCK și DUSTMAKER livrate prin PyPI, npm și Docker Hub.

• Verizon — 2026 Data Breach Investigations Report ↗

  Peste 22.000 de breșe din 145 de țări: exploatarea vulnerabilităților la 31% din accesul inițial, timpul median până la patch urcat de la 32 la 43 de zile, remedierea vulnerabilităților cunoscute ca exploatate scăzută de la 38% la 26%.

• Patchstack — State of WordPress Security in 2026 ↗

  11.334 de vulnerabilități noi în ecosistem în 2025 (+42%), 91% în plugin-uri și șase în nucleu, median de cinci ore până la exploatarea în masă, 46% fără fix la dezvăluire și apărări de găzduire care opresc 12% din atacurile specifice WordPress.

• Sansec — StyleSmuggler: Magento and Adobe Commerce 0-day RCE (CVE-2026-75650) ↗

  CVSS 10.0, afectând versiunile de la 2.4.4 la 2.4.9. Exploatare confirmată din 4 septembrie 2026; remedierea de urgență de la Adobe lansată pe 7 septembrie 2026.

• Check Point Research — HexStrike-AI: when LLMs meet zero-day exploitation ↗

  Cazul Citrix NetScaler: activitate pe forumuri underground în douăsprezece ore de la dezvăluire și afirmația că transformarea în armă a scăzut de la zile la sub zece minute.

• Straiker — Cyberspike Villager: Cobalt Strike’s AI-native successor ↗

  Villager pe PyPI din iulie 2025 — unelte Kali containerizate conduse de modele DeepSeek, 10.030 de descărcări în două luni și argumentul dual-use pentru care asta contează.

• The Hacker News — Researchers find 175,000 publicly exposed Ollama AI servers across 130 countries ↗

  Amploarea infrastructurii de modele locale nesupravegheate, inclusiv cele 201 gazde care serveau șabloane de prompt fără bariere și expunerea CVE-2026-7482.

• Zenity Labs — Bring your own agent: hijacking exposed AI backends to power offensive operations ↗

  Date de honeypot din martie–mai 2026 care arată Strix și HexStrike-AI rulate pe endpoint-uri Ollama și LiteLLM deturnate, plus un agent de programare cu o persona care îi suprimă refuzurile.

• Help Net Security — Indirect prompt injection is taking hold in the wild ↗

  Scanarea Google a arhivei publice CommonCrawl, care a găsit o creștere relativă de 32% a injecțiilor de prompt din categoria malițioasă între noiembrie 2025 și februarie 2026.