AI sama znalazła nową drogę ataku. Wykorzystała legalną funkcję przeglądarki

Najciekawsze w tym badaniu nie jest to, że powstało kolejne złośliwe oprogramowanie. Ciekawe jest, kto wskazał drogę. Według Check Point Research generatywny model AI samodzielnie odnalazł sposób, by wykorzystać całkowicie legalną funkcję przeglądarki do przeprowadzenia ataku typu ransomware — i to bez pobierania jakiegokolwiek programu czy łamania zabezpieczeń systemu.

Historia zaczęła się od żmudnej analizy. Badacze Check Pointa przeglądali blisko 3 tys. plików przypisywanych chińskiemu modelowi DeepSeek i natrafili na aplikację, która na pierwszy rzut oka wyglądała na typową „halucynację" AI — chaotyczny kod próbujący upchnąć w jednej aplikacji webowej keylogger, kradzież poświadczeń, przejęcie kamery i szyfrowanie plików. Rzeczy, których współczesne przeglądarki zwykle nie pozwalają robić. Większość tego była błędna. Ale jeden element okazał się zastanawiająco sensowny.

Model sięgnął po funkcję o nazwie showDirectoryPicker() — legalne API przeglądarki (część tzw. File System Access API), które pozwala stronie poprosić użytkownika o dostęp do wybranego folderu, a potem odczytywać i modyfikować znajdujące się w nim pliki. Zgodnie z prawem, jeśli użytkownik kliknie „zgadzam się". I tu jest sedno: jeśli ktoś świadomie wyrazi zgodę, cała reszta — w tym zaszyfrowanie zawartości folderu — może się odbyć bez pobierania niczego i bez wykorzystania jakiejkolwiek podatności.

Dlaczego to takie istotne? Bo, jak zauważają badacze, osoba pisząca prompt najprawdopodobniej w ogóle nie wiedziała, że taki mechanizm istnieje. Opisała tylko oczekiwany efekt — „chcę, żeby to robiło X" — a model sam wyszukał funkcję, która ten cel realizuje. To właśnie ta zdolność kojarzenia istniejących, legalnych technologii w nowy scenariusz ataku jest głównym wnioskiem z badania. Odkrycie nowej ścieżki ataku wymagało dawniej specjalistycznej wiedzy i doświadczenia. Teraz wystarczy opisać modelowi cel.

Żeby sprawdzić, czy to działa poza teorią, Check Point zbudował kontrolowany dowód. Przygotowano fałszywe narzędzie do „ulepszania zdjęć" z użyciem AI — coś, co wygląda niewinnie. Użytkownik wybiera zdjęcie, wskazuje folder na zapis efektów i akceptuje standardowo wyglądającą prośbę przeglądarki o dostęp do katalogu. I to jest ten moment. Zamiast poprawiać zdjęcia, mechanizm może zaszyfrować pliki w wskazanym folderze — w całości wewnątrz przeglądarki, bez instalowania czegokolwiek.

Szczególnie dotyczy to Androida i to jest najkonkretniejsza część ostrzeżenia. Według testów Check Pointa Chrome obsługuje to API od wersji 132, a próby na Chrome 148 potwierdziły możliwość uzyskania dostępu do katalogu DCIM — tam, gdzie telefon trzyma zdjęcia, skany dokumentów, zrzuty ekranu, czasem kody odzyskiwania do kont. Ich zaszyfrowanie albo wyciek mogą oznaczać nie tylko żądanie okupu, ale i szantaż czy ujawnienie danych. Użytkowników iPhone'ów to akurat nie dotyczy — Safari na iOS nie udostępnia tego interfejsu.

Drugi wątek badania dotyczy tego, dlaczego akurat DeepSeek. Check Point zwraca uwagę, że najwięksi dostawcy, OpenAI i Anthropic, konsekwentnie odmawiają generowania kodu wspierającego ransomware czy kradzież danych. DeepSeek okazał się w testach znacznie mniej restrykcyjny — pojedynczy, ogólny prompt wystarczył, by powstała kompletna złośliwa aplikacja. To obniża próg wejścia: narzędzie, które kiedyś wymagało realnej wiedzy technicznej, dziś może stworzyć ktoś, kto potrafi jedynie opisać zamiar. Warto tu jednak przesunąć akcent, który w tytule PR-u pada na „chińskość" — problemem nie jest pochodzenie modelu, lecz brak zabezpieczeń, które inni dostawcy stosują.

Zanim to kogoś przestraszy, kluczowe zastrzeżenie, które podaje sam Check Point: nie ma obecnie dowodów na wykorzystywanie tej techniki w aktywnych kampaniach. To proof of concept, badawczy dowód wykonalności, a nie zagrożenie krążące już po sieci. Badacze argumentują jednak, że próg wdrożenia jest na tyle niski, iż warto ostrzec wcześniej, niż później.

Dla użytkownika praktyczny wniosek jest prosty i akurat niezależny od tego, kto go formułuje. Prośby przeglądarki o dostęp do lokalnych folderów warto traktować z taką samą podejrzliwością jak prośby o innego rodzaju uprawnienia — zweryfikować wiarygodność strony, zastanowić się, czy dostęp do danego katalogu jest w ogóle potrzebny, i nie udostępniać nieznanym witrynom folderów ze zdjęciami czy dokumentami. Przy nowym, niesprawdzonym narzędziu bezpieczniej wskazać pusty katalog. A regularne kopie zapasowe pozostają najskuteczniejszą ochroną przed skutkami ransomware — bo zaszyfrowane pliki, które i tak masz w kopii, przestają być dźwignią do wymuszenia.

Trzeba na koniec odnotować, czyj to materiał. Check Point sprzedaje rozwiązania chroniące przed phishingiem i złośliwym oprogramowaniem, więc końcowa teza — że najskuteczniejsza jest tu dobra ochrona przed phishingiem — prowadzi też do jego oferty. Samo badanie ma jednak realną wartość merytoryczną i pokazuje zmianę, która wykracza poza interes jednej firmy: AI zaczyna wpływać nie tylko na tempo powstawania cyberzagrożeń, ale i na sam sposób, w jaki są odkrywane.

Źródła: materiał prasowy Check Point