Apa yang terjadi
SOCRadar mengekspos tujuh server yang dikuasai penyerang (akhir Sept 2026) yang mendokumentasikan afiliasi grup ransomware INC dan The Gentlemen menjalankan intrusi melalui OpenCode dengan model yang dihosting OpenRouter, kerangka kerja kill-chain red-team otonom 'Phantom', server MCP yang diprompt WormGPT, dan basis pengetahuan AI yang persisten. Analisis 8.257 pesan di 133 sesi OpenCode menunjukkan loop operasi yang dieksekusi AI dan disetujui manusia, dengan pengeluaran API AI tercatat >$23.900 dan 46 build enkriptor INC yang disiapkan untuk enam korban.
Mengapa penting
Ini adalah deployment agen AI di sisi penyerang: kelompok ransomware menggunakan agen coding AI dan perkakas MCP sebagai co-pilot operasional untuk pengintaian, pembuatan perintah, pelacakan korban, dan triase — bukan hanya sebagai target. Ini menunjukkan bahwa infrastruktur agen AI kini digunakan untuk membahayakan organisasi nyata, dan bahwa log sesi/basis pengetahuan AI milik penyerang sendiri menjadi jejak bukti. Ini adalah kelas kemampuan agen frontier yang sama seperti yang dijelaskan dalam post-mortem laboratorium, tetapi di sisi ofensif.
Vektor serangan
Intrusi berbantuan AI: AI merencanakan/mengeksekusi langkah di bawah persetujuan manusia; kredensial dan basis pengetahuan di server C2 penyerang yang terekspos
Sistem yang terdampak
Perkakas agen AI yang digunakan aktor ancaman (OpenCode + OpenRouter/model komersial, server MCP); 62 organisasi korban yang disebutkan, 36 di AS
Mitigasi
Panduan pembela: lacak dan batasi kredensial perkakas agen AI, korelasikan log identitas/beban kerja/pengiriman, rotasi kredensial yang dapat diakses dari sumber daya yang dikompromikan