CrowdStrike beschrijft vier AI-agentcampagnes bij inbraken

CrowdStrike beschrijft op 21 oktober vier niet eerder gemelde aanvallers die tussen mei en augustus AI-agenten keuzes lieten maken en commando’s uitvoeren bij echte inbraken.

Een gestolen account of API-sleutel die aan een agent is gekoppeld, kan een hele keten aan vervolgstappen openen. Als een agent cloud, CRM of broncode mag benaderen, bepalen de gekoppelde sleutels en rechten hoe ver een indringer vanaf de eerste toegang komt. Daarmee raken AI-agenten direct aan toegangsbeheer en incidentbestrijding.

De software kreeg vier verschillende rollen

CrowdStrike vond de vier aanvalssystemen in openbare mappen die de aanvallers open hadden laten staan. De eerste campagne trof minstens vijftien Argentijnse zorginstellingen; bij één slachtoffer werden inloggegevens en medische dossiers buitgemaakt. Een Supervisor-agent op basis van Claude Code koos taken uit een vooraf ingestelde reeks, waarna een Executor-agent die uitvoerde. De software was gebaseerd op PentestGPT en kreeg extra MCP-servers, Python-scripts en vaardigheden.

Een Chineestalige aanvaller had meer dan twintig benoemde doelen wereldwijd. De campagne drong binnen bij overheden in twee landen en bedrijven in Brazilië en de Verenigde Staten, onder meer in biotechnologie, zorg, voedsel, detailhandel, technologie en reizen. De aanvaller gebruikte een in China gevestigde dienst om Claude te bereiken. Het ene systeem liet het model kiezen uit vaste handelingen; het andere kon Claude Code op één doel richten of specialistische agents parallel inzetten.

Een Indonesischtalige aanvaller liet Claude Code werken met 819 vaardigheden, grotendeels uit openbare GitHub-projecten en zonder extra aansturing door andere agents. Soms moest de aanvaller ingrijpen bij geblokkeerde acties of het model aansporen verder te proberen. De groep drong binnen bij domeinen van overheden en bedrijven. Russischtalige personen haalden klantgegevens uit een Amerikaanse CRM-dienst en drongen binnen bij SaaS- en datacenterbedrijven in Rusland, Kirgizië en de Verenigde Staten, plus een overheidsdomein. Het commando /pentest-setup gaf Claude Code een werkwijze van zeven stappen, ruimte om aanvalsmethoden te kiezen en expliciete instructies om gegevens uit het systeem te halen.

Rechten bepalen hoe ver een agent komt

In één beschreven geval verplaatste een agent zich binnen een netwerk en oogstte hij binnen ongeveer twintig minuten inloggegevens voor een domeincontroller, de server die accounts en toegangsrechten beheert. Dat gebeurde zonder verdere menselijke sturing. Het openbare rapportoverzicht meldt dat alle vier de aanvallers commerciële AI-veiligheidsmaatregelen omzeilden.

De aanvaller koos het doel en bouwde de aanvalsomgeving; de agent nam een deel van de operationele keuzes en uitvoering over. Dat verschil bepaalt waar de toegangsgrens ligt. Veel agents draaien op geleende medewerkerstokens, gedeelde serviceaccounts of statische API-sleutels. Op 2 september kondigde CrowdStrike een Agentic Identity Provider aan die agents een eigen identiteit en tijdelijke toegangstokens met alleen de rechten voor de taak moet geven. In die aankondiging noemt het bedrijf geen lanceringsdatum of prijs.

Voor een CRM-agent vertaalt dezelfde vraag zich naar veldrechten en vrijgave. Een agent kan gegevens lezen en voorstellen klaarzetten, terwijl een aparte actie pas na menselijke goedkeuring naar het live CRM schrijft. Een CRM-agent met lees-, voorstel- en schrijfrechten plus menselijke vrijgave houdt een brede API-sleutel buiten de opdracht van het model.

Google zag dezelfde stap naar autonomie

Google Threat Intelligence Group zag in het tweede kwartaal van 2026 een agentgestuurde campagne voor grootschalige diefstal van inloggegevens in minder dan zes uur plannen en uitvoeren, nadat een aanvaller een cloudomgeving had gecompromitteerd. Het team beschrijft ook systemen met meerdere agents die scans beheren en operationele fouten herstellen.

CrowdStrike beschreef in augustus LLMjacking: een campagne waarin aanvallers modeltoegang kaapten en in twee minuten 200.000 API-verzoeken verstuurden. Die casus liet zien dat de kosten van modeltoegang bij de accounteigenaar terechtkomen. De nieuwe gevallen laten zien hoe aanvallers agenten ook stappen in de bredere bedrijfsomgeving laten uitvoeren.

Op 24 september waarschuwde het Nederlandse NCSC dat AI de aanvalsketen automatiseert en riep het bestuurders op digitale beveiliging prioriteit te geven. Een richtlijn van zes nationale cyberdiensten adviseert te beginnen met laagrisicotaken en agenten geen brede of onbeperkte toegang te geven. De richtlijn plaatst agentrechten binnen bestaande beveiligingskaders.

Vier gevallen tonen richting, geen frequentie

De bevindingen komen uit CrowdStrikes eigen onderzoek naar vier aanvalskaders die aanvallers online lieten staan. De openbare samenvatting noemt geen slachtoffers bij naam en geen totaal van succesvolle aanvallen. De casussen laten zien wat agenten in afzonderlijke inbraken deden, maar geven geen incidentpercentage voor de markt.

CrowdStrike vermoedt met gematigde zekerheid dat AI-agenten basisstappen van een cyberaanval makkelijker uitvoerbaar maken. Voor de komende twaalf maanden verwacht het bedrijf met hoge zekerheid dat het aantal en de verfijning van agentondersteunde inbraken toenemen, op basis van snelle adoptie, effectiviteit en openbare aanvalssystemen. Bij de Indonesische campagne moest de aanvaller het model herhaaldelijk aansporen. De mate van autonomie verschilde dus per taak en per aanvalssysteem.

Gezamenlijk suggereren de waarnemingen van CrowdStrike en Google dat AI-agenten ook als uitvoerders van delen van een inbraak worden ingezet. Voor Nederlandse organisaties komt de vraag op bestuursniveau te liggen: welke agent mag bij welke gegevens en handelingen, onder welke identiteit, en welke acties vragen eerst menselijke goedkeuring? Die antwoorden bepalen hoeveel werk een gestolen sleutel kan voortzetten en of een onderzoek achteraf de agent en diens opdrachtgever aanwijst.