Tiny Enough to Break In: Agentic Remote Access Trojans Powered by Small Language Models

Stel je een wereld voor waarin computers niet alleen bevelen opvolgen als gehoorzame robots, maar zelf gaan nadenken als nieuwsgierige detectives. Dit is het domein van Agentic AI. In tegenstelling tot een standaardprogramma dat telkens wacht tot een mens op "uitvoeren" klikt, is een "agent" een digitale assistent die een situatie kan beoordelen, kan bedenken wat de volgende stap is, het kan proberen, en als het mislukt, iets anders kan proberen — allemaal op eigen houtje. Stel je nu voor dat je dat idee verkleint. In plaats van een enorme, cloudgebaseerde supercomputer nodig te hebben voor het denkwerk, hebben we het over Small Language Models (SLM's). Dit zijn als zakformaat breinen die op een gewone laptop of zelfs een telefoon passen, in staat om lokaal te redeneren zonder dat ze "naar huis moeten bellen" via het internet.

Waarom is dit belangrijk? Omdat hackers decennialang "Remote Access Trojans" (RAT's) hebben gebruikt — kwaadaardige programma's waarmee ze zich in een computer kunnen sluipen en deze op afstand kunnen controleren. Meestal moet een menselijke hacker daar zitten, het scherm lezen en commando's typen, beslissen wat er gestolen of vernield moet worden. Maar wat als de malware zelf zou kunnen denken? Wat als het virus naar de computer waarop het draait zou kunnen kijken, zou beseffen: "Hé, dit poortje staat open," zou besluiten om een specifieke truc uit te proberen, zou zien of het werkte, en zo niet, een andere truc zou proberen — allemaal zonder dat een mens ooit het toetsenbord aanraakt? Dat is de angstaanjagende vraag die dit artikel stelt: Kan een piepklein, lokaal AI-brein klein genoeg zijn om in een computer te verstoppen, en toch slim genoeg om in haar eentje in te breken en de controle over te nemen?

Het kleine brein in het Paard van Troje

In dit onderzoek heeft een team van onderzoekers van de University of Virginia een digitale "sandbox" gebouwd — een veilige, geïsoleerde speeltuin waar ze een wild idee konden testen zonder iemand schade te berokkenen. Ze wilden zien of ze een Remote Access Trojan (RAT) konden bouwen die wordt aangedreven door een Small Language Model (SLM). Zie dit als een digitale inbreker die geen menselijke meester nodig heeft om te vertellen welk raam hij moet forceren; in plaats daarvan heeft hij een klein, lokaal brein dat rondkijkt, het slot begrijpt en probeert het te kraken.

Om dit te testen, richtten ze een lab in met twee hoofdpersonages: een "Kali"-computer (de aanvaller) en een "Metasploitable"-computer (het slachtoffer, een machine die ontworft is om vol gaten te zitten). Ze installeerden een lokaal AI-model genaamd dolphin3-cyber-8b (een model met 8 miljard parameters) aan de kant van de aanvaller. Dit model was klein genoeg om op gewone hardware te draaien zonder een cloudverbinding nodig te hebben. De taak van de AI was om de "hersenen" van de RAT te zijn. Het was bedoeld om te:

1. Kijken: De computer van het slachtoffer scannen om te zien welke services openstaan (zoals controleren welke deuren onvergrendeld zijn).
2. Denken: Beslissen welke tool gebruikt moet worden om binnen te breken.
3. Handelen: Het commando verzenden om te proberen binnen te komen.
4. Reageren: Als het mislukte, de foutmelding analyseren, begrijpen waarom het misging, en een andere aanpak proberen.

De resultaten: Een onhandige inbreker met een veelbelovende toekomst

De onderzoekers ontdekten een gespleten persoonlijkheid in hun creatie. Aan de ene kant werkt de architectuur. Het kleine AI-brein was er succesvol in om de volledige cyclus van "kijken, denken, handelen" uit te voeren zonder menselijke hulp en zonder verbinding met het internet nodig te hebben. Het kon de scanresultaten lezen, een tool kiezen en een commando uitvoeren. De "leidingen" van het systeem waren solide.

Aan de andere kant was het brein nog erg onhandig. Wanneer de onderzoekers de AI vroegen om een strikte checklist van taken te voltooien, slaagde het slechts in 10,9% daarvan. Dat zijn ongeveer 6 succesvolle pogingen op 55 proeven.

De AI was goed in de makkelijke dingen. Wanneer de scan een zeer duidelijke, eenstaps-deur liet zien (zoals een specifieke "bind shell" op poort 1524 of een FTP-service op poort 21), kon de AI er zo doorheen lopen. Het was als een inbreker die een deur ziet die al wagenwijd openstaat en gewoon naar binnen loopt. Maar zods de taak meer dan één stap vereiste — zoals het raden van een wachtwoord, het afhandelen van een complexe fout, of het wisselen van tool na een mislukking — begon de AI te struikelen.

Het artikel benadrukt drie belangrijke manieren waarop de AI faalde:

• Hallucinaties: De AI bedacht soms commando's die niet bestonden of gebruikte tools op een manier waarvoor ze niet bedoeld waren.
• Verwarring: Het las de foutmeldingen van de computer vaak verkeerd, waarbij het dacht dat een mislukking eigenlijk een succes was.
• Eigenwijsheid: Wanneer een commando faalde, probeerde de AI in plaats van een compleet nieuwe strategie te proberen, vaak gewoon hetzelfde mislukte commando te herformuleren en opnieuw te proberen, waardoor het in een loop terechtkwam.

De onderzoekers waren zeer duidelijk over wat dit betekent: het concept is mogelijk, maar de huidige technologie is er nog niet. Ze spraken expliciet het idee tegen dat dit een "opgelost" probleem is of een perfect wapen. Sterker nog, ze merkten op dat als een menselijke hacker dit succespercentage (10,9%) zou hebben, hij direct ontslagen zou worden. Maar ze wezen op een ijzingwekkende wending: een mens moet betaald worden om te werken, maar een computer niet. Als je deze onhandige AI duizenden keren per dag kunt draaien voor bijna geen kosten, kan zelfs een succespercentage van 10% uiteindelijk leiden tot een inbraak.

Wat dit ons vertelt over de toekomst

De belangrijkste les van dit artikel is niet dat de AI vandaag de dag een meesterhacker is. Het is dat de machinerie klaar is, ook al leert het brein nog. Het systeem dat gegevens verwerkt, commando's valideert en ze uitvoert, werkte perfect. Het enige dat het tegenhield, was het redeneervermogen van het kleine model.

De auteurs betogen dat naarmate deze kleine AI-modellen beter en slimmer worden, de "onhandige inbreker" zal veranderen in een "meesterdief". De kloof tussen "kan het niet" en "kan het wel" sluit zich snel. Voor verdedigers suggereert het artikel dat we niet langer alleen naar specifieke codesignatures kunnen kijken. In plaats daarvan moeten we letten op het gedrag van deze agenten. Omdat de AI in de studie vastliep in loops, dezelfde fouten herhaalde en vreemde combinaties van tools probeerde, zijn dat de "kenmerken" waar beveiligingssystemen op moeten letten.

Kortom, het artikel bewijst dat een kleine, lokale AI op eigen houtje een remote access attack kan uitvoeren. Het kan het alleen nog niet erg goed nu. Maar omdat de technologie zo snel verbetert, is de dag dat een kleine, zelfdenkende virus zonder menselijke tussenkomst in je computer kan breken, waarschijnlijk veel dichterbij dan we denken. Het "kleine" deel van de titel gaat niet alleen over de omvang; het gaat over hoe klein deze dreigingen worden, waardoor ze moeilijker te detecteren en gemakkelijker te verbergen zijn.