Staats-APT’s omzeilen blokkades met eigen AI

Volgens het onderzoek zetten geavanceerde cyberdreigingsgroepen (APT's) AI-technologie in voor uiteenlopende doeleinden, variërend van het op schaal aanpassen van exploits tot het iteratief genereren van malware en het inzetten van deepfakes bij arbeidsfraude. Tijdens een inbraak door de Chinese groep Earth Lamia werd waargenomen dat de aanvaller direct overschakelde van het westerse Claude-model naar het Chinese MiMo-V2.5-Pro toen de westerse toegang onbetrouwbaar werd.

Ook landen zonder eigen topinfrastructuur benutten AI effectief. Rusland hergebruikt modellen via openbare API's, zoals de LAMEHUG-malware die het Chinese Qwen-model aanroept. Noord-Koreaanse agenten gebruiken deepfakes, AI-cv's en live LLM-assistentie tijdens sollicitatiegesprekken om bij westerse technologiebedrijven te infiltreren, terwijl Iraanse groepen commerciële modellen inzetten voor phishing en desinformatie.

Feike Hacquebord, Principal Threat Researcher bij TrendAI en co-auteur van het rapport, benadrukt dat aanvallers niet het meest geavanceerde model hoeven te bezitten om er profijt van te hebben. De impact zit volgens hem in de toegenomen snelheid, schaal en automatisering.

Voor cybersecurityverdedigers verschuift de taakstelling. Wanneer aanvallers lokaal gehoste modellen gebruiken, zoals via Ollama, verdwijnt de zichtbaarheid van extern netwerkverkeer en wordt endpoint-detectie cruciaal. Daarnaast maakt door AI gegenereerde code traditionele attributie op basis van schrijfstijl complexer. De strijd in het cyberdomein verplaatst zich daardoor van de vraag wie het slimste model heeft naar wie AI-technologie het snelst weet op te schalen.