Výzkumníci ze SentinelOne popsali nový macOS malware, který se snaží oklamat AI nástroje používané k jeho analýze. Vzorek dostal přezdívku Gaslight, protože do své binárky vkládá falešné chybové hlášky, jež mají jazykový model přimět k pochybnostem o vlastní analýze.
Bezpečnostní analytici dnes čím dál častěji nasazují na reverzní inženýrství a triáž malwaru nástroje poháněné jazykovými modely. Gaslight je jedním z prvních vzorků, který na tuto praxi přímo reaguje – místo klasického vyhýbání se sandboxu cílí na vnímání samotného AI agenta.
Jak útok funguje
Samotný malware je binárka v jazyce Rust s funkcemi backdooru a kradení informací, tedy nic neobvyklého. Odlišuje ho payload o velikosti 3,5 KB, do kterého autoři vložili 38 vymyšlených systémových zpráv. Ty se tváří jako vývojářské logy, hlášení o pádech a ladicí výstupy, používají formátování Markdown a šablonové zástupné symboly, aby působily jako legitimní data.
Mezi vloženými řetězci jsou falešná upozornění na vypršení tokenu, selhání připojení k Redis, chyby build-pipeline i varování o SQL injection. S reálným chováním malwaru nemají nic společného.
Podle SentinelOne nejde o snahu vyhnout se spuštění v sandboxu. Tyto řetězce jsou obsahem typu prompt injection, navrženým tak, aby LLM-asistovaný analytický pipeline začal pochybovat o platnosti vlastní relace nebo rovnou odmítl pokračovat. Společnost popisuje vloženou kaskádu vyfabrikovaných hlášení o selhání jako pokus dotlačit triážního agenta k přerušení, zkrácení nebo odmítnutí analýzy. Útok míří na vnímání agenta, ne na prostředí, ve kterém běží – odtud i jméno rodiny.
Zatím nepotvrzená účinnost
SentinelOne přisuzuje malware s vysokou mírou jistoty aktérovi napojenému na Severní Koreu. Co se týče samotné techniky, výzkumníci zatím nepředvedli, že by dokázala některou z AI platforem pro analýzu malwaru skutečně obejít.
Zjištění ale ukazuje směr, kterým útočníci experimentují: anti-analytické metody zaměřené konkrétně na obcházení AI-asistovaných bezpečnostních platforem. Gaslight tak zapadá do širšího týdne plného útoků mířených na umělou inteligenci, mezi nimiž byl i koncept, kdy čistě vypadající GitHub repozitář dokáže přimět kódovacího agenta ke spuštění reverzního shellu.
