De skapade falska AI-assistenter — och lurade användare att installera skadlig kod

När AI-verktygen vänds mot användarna

AI-revolutionen har gett oss fantastiska verktyg — men den har också gett brottslingarna ett nytt vapen. Enligt en färsk rapport från säkerhetsföretaget Huntress har angripare lyckats utnyttja ChatGPT:s funktion för anpassade agenter, så kallade Custom GPTs, i en skräddarsydd attackkampanj som är lika sofistikerad som den är oroväckande.

Sättet det gick till är nästan beundransvärt i sin cyniska smarthet — om det inte hade handlat om att skada riktiga människor. Angriparna skapade två anpassade ChatGPT-agenter och döpte dem till "Plus 5.6", utformat för att se ut som en officiell uppgradering av ChatGPT. Dessa falska agenter dök sedan upp som köpta sökresultat högt upp i Google — alltså synliga, trovärdiga, och lättillgängliga för vanliga användare som helt enkelt sökte efter det populära AI-verktyget.

En fälla i flera lager

Vad som sedan utspelade sig var en klassisk men välsmord fälla. När en användare interagerade med den falska agenten fick de ett meddelande om begränsad tillgänglighet och uppmanades att besöka en reservdomän. Den domänen — placerad på Google Sites, vilket i sig skapar ett sken av legitimitet — visade en falsk säkerhetskontroll utformad att likna Cloudflares verifieringssystem.

Detta är vad säkerhetsexperter kallar en ClickFix-attack: ett bedrägligt gränssnitt som instruerar offret att manuellt köra ett skadligt kommando, i detta fall via PowerShell. Offret tror sig göra något nödvändigt och ofarligt. I verkligheten hämtar och installerar kommandot skadlig programvara på datorn.

Och infektionskedjan slutar inte där. Enligt Huntress var attacken påfallande välkonstruerad: den skadliga koden gömde sig bakom ett legitimt, digitalt signerat program från Canon för att undvika att fastna i säkerhetsskydd. Den etablerade sedan ett fotfäste i systemet via schemalagda uppgifter som förkläddes till något så oskyldigt som "Canon Configuration Reader". Ytterligare skadlig kod doldes dessutom i vad som vid första anblick såg ut att vara vanliga ljudfiler.

Inte ett enstaka misstag — utan ett systemfel att adressera

Det är lätt att skylla på de drabbade användarna. Men det vore fel. Det som gör den här attacken så anmärkningsvärd är just hur metodiskt angriparna utnyttjat tillit — tilliten till Google-sökresultat, tilliten till ChatGPT som varumärke, tilliten till säkerhetsgränssnitt från etablerade aktörer som Cloudflare. Varje steg i kedjan var utformat för att kännas normalt och tryggt.

Det här är inte ett isolerat problem. Det är en naturlig konsekvens av att kraftfulla AI-verktyg gjorts tillgängliga i öppna ekosystem utan tillräckliga kontrollmekanismer. ChatGPT:s plattform för anpassade agenter är en genial innovation — den låter företag och utvecklare bygga specialiserade verktyg ovanpå en världsledande AI-modell. Men samma öppenhet som gör plattformen värdefull gör den också sårbar.

OpenAI och liknande plattformar ställs nu inför en klassisk avvägning som teknikbranschen känner väl: hur öppen ska en plattform vara, och vem bär ansvaret när öppenheten utnyttjas? Svaret kan inte vara att stänga ner ekosystemen — det vore att kasta ut barnet med badvattnet. Men det kräver skarpare granskningsprocesser, bättre kontrollmekanismer för vad anpassade agenter får göra och kommunicera, samt ett starkare samarbete med sökmotorer för att förhindra att falska AI-verktyg köper sig synlighet.

Vad kan du göra nu?

För dig som privatperson eller beslutsfattare på ett företag finns det konkreta lärdomar att dra direkt:

• Verifiera alltid källan innan du interagerar med ett AI-verktyg — gå direkt till officiella webbplatser i stället för att klicka på sökresultat, oavsett hur högt upp de rankas.
• Kör aldrig kommandon som ett verktyg eller en webbsida uppmanar dig att klistra in i terminalen, om du inte med säkerhet vet vad de gör.
• Investera i säkerhetsutbildning — den mänskliga faktorn är fortfarande den vanligaste ingångspunkten för angrepp.

Den goda nyheten är att säkerhetsföretag som Huntress är vaksamma och snabba med att avslöja nya angreppsmönster. Det är precis det samarbete mellan AI-innovation och säkerhetsbranschen som vi behöver mer av.