Pada 2 September 2026, Unit 42 milik Palo Alto Networks menerbitkan butiran siasatan terhadap pencerobohan rangkaian sebuah perusahaan. Angka yang menjadi tunjang laporan itu: penyerang bermula di perkhidmatan web yang boleh diakses oleh orang ramai dan berakhir dengan akses tahap root ke seluruh persekitaran dalam kurang sepuluh jam, kerja yang mengambil masa kira-kira dua minggu bagi pasukan manusia.

Butiran yang lebih penting ialah apa yang tidak terlibat. Tiada zero-day. Tiada teknik luar biasa. Pencerobohan ini menggunakan lebih 50 teknik yang sudah dikatalogkan dalam rangka kerja MITRE ATT&CK, iaitu teknik yang didokumenkan dan diterbitkan serta diketahui oleh pihak pertahanan. Yang berubah bukan kaedahnya, tetapi rentaknya. Daripada menjalankan setiap peringkat secara manual, pengendali mengarahkan ejen AI yang memantau, menilai, bertindak dan merancang semula dalam satu gelung tanpa henti yang tidak pernah berhenti seketika dan tidak pernah tidur.

Apa yang berlaku dalam sepuluh jam itu

Urutannya seperti yang diterangkan oleh laporan:

  1. Kemasukan. Perkhidmatan web yang boleh diakses oleh orang ramai diceroboh, kemudian terowong dibina ke dalam rangkaian dalaman.
  2. Peninjauan. Ejen automatik memetakan perkhidmatan mikro dalaman tanpa sebarang penglibatan manusia.
  3. Penuaian rahsia. Sub-ejen menyelongkar repositori kod untuk mencari token akses dan kata laluan perkhidmatan yang ditulis terus di dalam kod.
  4. Peningkatan keistimewaan. Token itu membuka sistem pengurusan rahsia, yang menghasilkan kelayakan pentadbiran induk yang memberikan akses root ke seluruh persekitaran.
  5. Saluran paip. Saluran paip binaan dan pelaksanaan dirampas melalui aliran kerja tersuai untuk mengeluarkan kunci akses awan.
  6. Penyongsangan. Kunci itu digunakan untuk menukar titik akhir AI milik mangsa sendiri menjadi infrastruktur pasca-kompromi bagi penyerang.

Baca semula langkah terakhir itu. Langganan AI milik syarikat itu sendiri menjadi alat di tangan sesiapa yang menceroboh masuk, berjalan menggunakan akaun syarikat dan atas invois syarikat. Ini corak baharu yang wajar ditambah ke dalam daftar risiko anda: setiap kunci API untuk model AI adalah aset operasi dan juga item perbelanjaan pada masa yang sama.

Angka yang membimbangkan anda bukan sepuluh jam

Sepuluh jam memang angka yang mengejutkan, tetapi ia datang daripada satu insiden sahaja. Angka yang sepatutnya benar-benar mengubah perancangan anda terdapat dalam CrowdStrike 2026 Global Threat Report, yang mengukur masa breakout: jurang antara akses pertama penyerang dan saat dia mula bergerak ke arah sistem lain di dalam rangkaian.

  • Purata masa breakout eCrime telah turun kepada 29 minit, peningkatan kelajuan sebanyak 65% berbanding tahun sebelumnya.
  • Kes terpantas yang pernah direkodkan: 27 saat.
  • Peningkatan 89% dalam serangan yang dikaitkan dengan musuh yang menggunakan AI.
  • 82% pengesanan pada 2025 adalah tanpa perisian hasad, bermakna penyerang log masuk dengan kelayakan yang sah dan bukannya menanam virus.
  • Peningkatan 266% dalam pencerobohan yang menyasarkan awan oleh pelaku yang berkaitan dengan negara.

Maksud 29 minit dalam amalan: pelan tindak balas yang menganggap seseorang akan perasan amaran pada waktu pagi dan pasukan akan bermesyuarat selepas makan tengah hari ialah pelan untuk era yang sudah berakhir. Dan angka 82% menyatakan sesuatu yang lebih keras. Antivirus anda tidak nampak serangan itu kerana serangan itu tidak membawa apa-apa untuk dilihatnya. Pencerobohan moden bukan fail berniat jahat yang tiba, tetapi akaun sah yang disalah guna.

Mengapa ia berjaya: rahsia yang ditulis di dalam kod

Ejen-ejen itu tidak memecahkan sebarang penyulitan dan tidak mencipta sebarang kelemahan. Mereka menemui kata laluan yang ditulis di tempat yang tidak sepatutnya ada kata laluan, iaitu di dalam fail projek. Satu token yang sah membuka pengurus rahsia, dan pengurus rahsia membuka segala-galanya.

Ini bukan masalah yang terhad kepada perusahaan besar. Semak senarai ini dengan projek anda sendiri:

  • Kunci get laluan pembayaran atau perkhidmatan pesanan dalam fail konfigurasi yang di-commit bersama kod.
  • Kata laluan pangkalan data di dalam skrip pelaksanaan lama yang tiada siapa buka.
  • Token akses milik kakitangan atau pembangun luar yang telah pergi setahun lalu, tetapi masih sah.
  • Repositori yang dahulunya peribadi dan menjadi awam selepas migrasi atau pertukaran akaun.
  • Salinan sandaran fail konfigurasi pada komputer riba seseorang.

Perbezaan antara ejen dan penyerang manusia di sini bukan kecerdasan, tetapi kesabaran dan daya pemprosesan. Ejen membaca keseluruhan repositori, setiap cawangan dan setiap semakan lama dalam sejarah, tidak terlepas satu fail pun, dan selesai dalam beberapa minit. Sebarang rahsia yang pernah anda commit dan kemudian padam masih hidup dalam sejarah repositori, dan sejarah itulah tempat ia mencari.

Apa yang perlu dilakukan minggu ini

Lima langkah. Langkah pertama tidak memerlukan bajet atau vendor luar:

  1. Imbas repositori anda untuk mencari rahsia. Alat pengimbasan rahsia tersedia dan terbina dalam platform kod utama. Jalankannya merentasi keseluruhan sejarah, bukan hanya semakan semasa.
  2. Jadikan putaran kunci satu rutin, bukan langkah kecemasan. Kunci yang tidak berubah selama dua tahun ialah kunci yang bocor yang belum anda temui. Dan apabila anda memutarkannya selepas kebocoran, putarkannya di setiap tempat ia digunakan, bukan di satu tempat sahaja.
  3. Sediakan satu buku panduan pembatalan. Ini cadangan langsung Unit 42: mampu melaksanakan pembendungan selaras yang membatalkan kelayakan, sesi OAuth, saluran paip CI/CD dan akaun awan secara serentak. Batalkan separuh sahaja, dan anda memberi penyerang masa untuk masuk semula melalui separuh lagi.
  4. Urus tadbir AI sebagai infrastruktur teras. Simpan inventori setiap model dan kunci yang digunakan, tetapkan had kadar, gunakan keistimewaan minimum, dan hidupkan pengelogan diagnostik. Laporan itu mencadangkannya secara jelas, dan inilah yang mengubah insiden di atas daripada bencana senyap kepada amaran awal.
  5. Wajibkan semakan kod oleh beberapa pihak dan perlindungan cawangan. Terutamanya pada repositori infrastruktur sebagai kod, kerana itulah pintu yang membolehkan perubahan satu baris menanam pintu belakang. Di samping itu, pantau tingkah laku dan bukannya tandatangan: lonjakan permintaan API dan perubahan keadaan yang pantas ialah cap jari ejen automatik.

Dalam konteks Arab Saudi, langkah-langkah ini bukan amalan baik yang pilihan. Kawalan Keselamatan Siber Penting oleh Pihak Berkuasa Keselamatan Siber Kebangsaan (NCA) merangkumi domain khusus untuk pengurusan identiti dan akses serta untuk keselamatan perubahan dan pembangunan, dan tanggungjawab melindungi data peribadi terletak pada organisasi di bawah Undang-undang Perlindungan Data Peribadi (PDPL). Pencerobohan yang bermula dengan kunci yang ditulis dalam kod sumber tidak sedikit pun mengurangkan tanggungjawab itu.

Pandangan Origami

Kami melihat insiden ini sebagai berakhirnya satu idea: bahawa keselamatan ialah satu set alat yang anda beli. Penyerang di sini tidak pernah berdepan dengan tembok api dan tidak pernah memintas antivirus, kerana kedua-duanya tidak menghalang laluannya. Dia masuk dengan kunci sah yang ditemuinya tertulis, dan bertindak dengan kebenaran yang memang telah diberikan. Tiada produk yang anda beli dapat membetulkannya. Yang membetulkannya ialah disiplin dalam cara kod ditulis, cara rahsia disimpan, dan cara kebenaran diberikan serta ditarik balik.

Satu corak yang kami lihat berulang kali dengan pelanggan: rahsia yang paling berbahaya jarang berada dalam sistem utama. Ia berada dalam projek sampingan, skrip migrasi data yang ditulis sekali, papan pemuka laporan dalaman yang dibina oleh kontraktor, integrasi pembekal sementara yang sudah berjalan selama dua tahun. Semua ini tidak pernah memasuki semakan keselamatan kerana tiada siapa mengiranya sebagai sistem. Penyerang tidak membuat pembezaan sebegitu. Apabila kami menyemak persekitaran pelanggan, kami bermula tepat di sini: di mana kunci-kunci itu, siapa memegang kebenaran apa, dan apa yang berlaku jika satu kunci bocor malam ini. Jika anda mahukan semakan dari sudut itu, anda boleh menemui kami di halaman hubungi.

Kesimpulan

Kaedah serangan tidak berubah. Kelajuannya yang berubah. Lebih 50 teknik yang diketahui dijalankan dalam kurang sepuluh jam kerana ejen automatik menjalankannya tanpa henti, dan purata masa breakout di dalam rangkaian kini 29 minit. Pertahanan yang bergantung pada seseorang yang perasan tepat pada masanya tidak lagi memadai. Mulakan dengan soalan yang paling mudah dan paling sukar: adakah anda tahu di mana kunci anda berada sekarang, dan siapa yang boleh membacanya?

Sumber