Alisina NawabiGoogle ziet aanvallers bedrijfscompute voor AI kapen
Google meldt dat aanvallers naast credential harvesting ook bedrijfsclouds inzetten voor ongeautoriseerde AI-workloads. In een door Mandiant onderzochte inbraak leidde een gestolen GitHub-PAT via een nieuw serviceaccount met Editor-rechten en Cloud Run tot Gemini Enterprise, LiteLLM en Manus, extra NVIDIA RTX 6000-quota en 48-vCPU-instances; UNC6508 draaide lokale open-weight modellen op gecompromitteerde infrastructuur om toezicht van commerciële AI-providers te ontwijken.
Voor een Nederlandse organisatie verschuift daarmee het risico van gestolen sleutels naar misbruik van betaalde rekenquota, modeltoegang en eigen AI-assets. GTIG beschrijft daarnaast dat een China-nexusgroep met Gemini, Claude en Codex een geautomatiseerde pentest- en exploitatieketen bouwde, terwijl BASIN CASTLE en CALANQUE ION LLM's inzetten voor doelwitprofilering, gelokaliseerde social engineering, malware en reverse engineering; Iraanse actoren maakten met Gemini fotorealistische fictieve persona's voor invloedscampagnes, een Noord-Koreaanse IT-workercluster genereerde gefabriceerde cv's, functieomschrijvingen en recruiterpersona's, en UNC5267 en UNC5342 registreerden op grote schaal LLM-accounts met gekaapte accounts. Zo beschrijft The Hacker News deze dreigingsgroepen en hun werkwijzen.
Google Threat Intelligence Group ziet aanvallers in minder dan zes uur een autonome aanvalsketen bouwen die duizenden credentials oogst, blijkt uit een rapport van 8 september 2026.
Voor een Nederlandse ondernemer verschuift daarmee de inzet van een los gestolen wachtwoord naar de hele toegangsketen. Wie een agent toegang geeft tot cloudinfrastructuur, CI/CD of AI-diensten, kan die toegang laten doorwerken in scanwerk, sleutelverzameling en vervolgacties. De grens tussen een account en een geautomatiseerde werknemer wordt daarmee een bedrijfsrisico.
Van cloudcompromis naar campagne
Het rapport beschrijft waarnemingen van Mandiant uit het tweede kwartaal van 2026. Een financieel gemotiveerde aanvaller nam eerst een cloudomgeving over. Daarna gebruikte de groep een AI-codingchatbot, een prompt en vooraf geschreven markdown-instructies om een multi-agent aanvalskader te plannen, te bouwen en uit te voeren.
BleepingComputer beschrijft hoe de agents kwetsbaarheden scanden, duizenden credentials oogstten, problemen oplosten en IP-adressen roteerden zonder voortdurende menselijke tussenkomst. Het verkeer liep via gecompromitteerde cloudinfrastructuur, waardoor de bron op legitieme IP-adressen leek. De operationele winst zit dus niet alleen in snelheid. De agent hield de keten draaiende toen een stap mislukte. Voor verdedigers verdwijnt daarmee de pauze tussen een mislukte actie en een nieuwe poging.
Credentials als schaalbare buit
De aanvaller verzamelde credentials van derden. GTIG zag daaronder API-sleutels voor cloud- en AI-platforms, precies de toegang waarmee een volgende aanval of ongeautoriseerd rekenwerk kan worden betaald. The Hacker News meldt dat Google een blootgestelde C2-server vond met een dashboard dat ruim 23.800 gestolen secrets voor cloud- en AI-diensten organiseerde, valideerde en beheerde.
Dat getal is geen teller van één datalek bij één Nederlandse organisatie. Het toont wel wat een geautomatiseerde buitverwerking kan betekenen: credentials worden eerst buitgemaakt en daarna direct gesorteerd en gecontroleerd op bruikbaarheid. Voor een bedrijf dat een agent aan cloudaccounts, GitHub Actions of API's koppelt, is tokenbeheer daardoor onderdeel van de AI-architectuur.
UNC6780 misbruikt ook de ontwikkelomgeving
Dezelfde GTIG-publicatie beschrijft UNC6780, ook TeamPCP genoemd, als financieel gemotiveerde groep die sinds maart 2026 softwareketens in PyPI, npm en Docker Hub compromitteert. Infosecurity Magazine vat samen hoe UNC6780 AI-ontwikkeltools en CI/CD-omgevingen via DUSTMAKER en besmette pakketten raakt.
DUSTMAKER zoekt onder meer naar OIDC-tokens in het geheugen van GitHub Actions-runners. Met zo'n token kan malware zich voordoen als vertrouwde pakketuitgever. Ook kan het bestanden plaatsen in verborgen werkmappen zoals .claude/, .vscode/ en .cursor/, waar een AI-assistent of IDE ze later als configuratie kan lezen. Een prompt in zo'n bestand kan de assistent vervolgens opdrachten laten uitvoeren. De aanval gebruikt daarmee precies de plekken die ontwikkelteams als hulpmiddel en automatisering hebben ingericht.
De nieuwe grens loopt bij identiteit
De impact reikt verder dan ontwikkelteams. Cloudaccounts, CI/CD-runners en AI-API's vormen samen een doorgeefluik: één overgenomen token kan nieuwe sleutels, code en rekenquota bereikbaar maken. Een gestolen sleutel die in twee minuten bijna 200.000 modelverzoeken afvuurde liet eerder al zien hoe snel geldige modeltoegang in directe kosten kan veranderen.
Het verschil met klassieke malware is dat de agent niet alleen een opdracht uitvoert. Hij kiest vervolgstappen, herstelt fouten en verandert de route. Dat verkort de tijd waarin een organisatie een cloudtoken kan intrekken of afwijkend gedrag kan onderzoeken.
Daarom verschuift de ontwerpvraag bij organisaties die agenten inzetten: welke identiteit krijgt toegang, hoe lang en met welke acties? Een gedeelde sleutel zonder eigenaar laat de agent precies de ruimte die deze campagne uitbuitte. Identiteitsbeheer wordt zo onderdeel van de AI-architectuur, niet alleen een administratieve laag ernaast.
Veelgestelde vragen
Bouw agenttoegang met grenzen
Ik denk mee over de juiste grenzen voor agenten, ontwerp de toegangsstromen en realiseer en automatiseer het geheel end-to-end. Waar het kan, bouw ik self-hosted, zodat je weet welke data en sleutels waar blijven.
Dit artikel is geproduceerd samen met het Agent Team. Meer over de redactie.
