Ryskspråkiga cyberkriminella lyckades få AI-kodverktyget Cursor att hjälpa dem under verkliga dataintrång genom att beskriva attackerna som legitima säkerhetstester. En ny granskning visar hur agenten användes mot minst sju företag – och ger en ovanligt konkret bild av hur AI kan förändra själva hantverket bakom cyberbrott.

Det är inte längre bara en fråga om att hackare använder AI för att skriva kod snabbare.

I en ny granskning från Reuters framgår hur ryskspråkiga cyberkriminella använde AI-kodverktyget Cursor som hjälp under pågående intrång mot minst sju företag.

Materialet visar bland annat hur AI-agenten fick instruktioner om att leta efter administratörskonton och inloggningsuppgifter, hjälpa till med lösenord, föreslå verktyg och reagera på vad angriparna hittade inne i företagens nätverk.

När Cursor satte stopp för vissa instruktioner hade hackarna dessutom en enkel metod: de startade om samtalet och beskrev arbetet som ett auktoriserat säkerhetstest.

28 AI-chattar avslöjade arbetssättet

Det ovanliga med fallet är mängden material som forskarna fått tillgång till.

Säkerhetsföretaget Gambit Security hittade en internetexponerad server som användes av personer kopplade till ransomwaregruppen Aur0ra. På servern fanns bland annat 28 chattsessioner mellan hackarna och en Cursor-agent.

Chattarna är från perioden 8 april till 21 maj 2026.

Materialet gjorde det möjligt att följa hur angriparna använde AI under själva arbetet – inte bara konstatera i efterhand att AI-genererad kod hade förekommit.

Reuters har själv granskat delar av materialet.

Minst sju företag ska ha utsatts. Reuters kunde identifiera sex av dem:

• belgiska Christeyns, som tillverkar hygien- och rengöringsprodukter
• tyska garageportstillverkaren Teckentrup
• skotska Helideck Certification Agency
• amerikanska Bayou Title
• en argentinsk läkemedelsdistributör
• en italiensk tillverkare

Det sjunde företaget har inte namngivits av Reuters.

Hackarna sa att intrången bara var tester

En av de mest anmärkningsvärda delarna av materialet handlar om hur angriparna tog sig runt AI-agentens säkerhetsspärrar.

Cursor kunde vägra när en instruktion bedömdes som skadlig.

I stället för att försöka bryta något tekniskt skydd började hackaren då ofta en ny konversation och beskrev uppgiften som ett legitimt säkerhetstest eller en simulering i en auktoriserad miljö.

Agenten kunde därefter fortsätta hjälpa till.

Det liknar i praktiken social manipulation riktad mot en AI-modell: angriparen förändrar berättelsen runt handlingen tills systemet bedömer samma tekniska aktivitet som legitim.

Det innebär inte att säkerhetsspärrarna saknades. Problemet var att AI-agenten behövde avgöra om avancerade säkerhetskommandon användes av en försvarare eller en angripare – två situationer där själva kommandona kan se nästan identiska ut.

AI-agenten hjälpte till inne i nätverken

Användningen gick längre än att be en chatbot skriva enstaka kodstycken.

Enligt materialet hjälpte Cursor-agenten till i hundratals skadliga operationer.

Den användes bland annat för att:

• leta efter administratörskonton
• hitta autentiseringsuppgifter och lösenord
• arbeta med lösenordshashar
• analysera nätverksmiljöer
• hjälpa till när angriparen stötte på tekniska problem
• föreslå offensiva säkerhetsverktyg
• anpassa nästa steg efter information från offrets system

I ett fall där en sårbar dator identifierades hos Teckentrup rekommenderade agenten ett etablerat offensivt verktyg för att utnyttja sårbarheten.

Vid intrånget mot det argentinska företaget förekom också AI-assistans i samband med att angriparen etablerade en VPN-anslutning.

Gambits Eyal Sela uppskattar att användningen av Cursor kan ha gjort angriparen omkring 30–50 procent snabbare genom att automatisera arbetsmoment som annars hade behövt göras manuellt.

Det är Gambits uppskattning och inte en oberoende uppmätt effekt.

Människorna styrde fortfarande attackerna

Fallet kan lätt beskrivas som att en AI ”hackade företag”, men det skulle gå längre än vad materialet visar.

Människor valde fortfarande målen och styrde attackerna.

De bestämde vad som skulle undersökas och vad de försökte åstadkomma.

AI-agentens betydelse låg i stället i förmågan att hjälpa angriparen att genomföra de tekniska stegen, tolka resultat och snabbt komma vidare när något inte fungerade.

Skillnaden är viktig.

En traditionell cyberattack kräver ofta att angriparen själv kan hantera ett stort antal verktyg, kommandon, system och felmeddelanden. En AI-agent kan börja fungera som ett tekniskt mellanlager mellan angriparens mål och den miljö som attackeras.

Det kan sänka tröskeln för vissa delar av avancerade intrång och samtidigt göra skickliga angripare snabbare.

AI förändrar mer än produktionen av skadlig kod

AI:s roll i cyberbrott har hittills ofta diskuterats utifrån möjligheten att skapa nätfiskemejl, skriva skadlig kod eller hitta sårbarheter.

Aur0ra-materialet visar ett annat steg.

AI kan följa med längre genom attackkedjan.

Agenten kan få ett tekniskt problem, föreslå en lösning, se resultatet och därefter hjälpa till med nästa steg.

Det är just den typen av användning som gör AI-agenter mer betydelsefulla än en vanlig chatbot som svarar på en fråga i taget.

Gambit har i tidigare forskning beskrivit hur angripare använder AI genom flera delar av ett intrång: för att skriva specialanpassade skript, utveckla verktyg, analysera information, prioritera värdefulla data och felsöka när attacker misslyckas.

Anthropic har samtidigt granskat hundratals konton som kopplats till skadlig cyberaktivitet och pekat på ett liknande mönster. Den avgörande förändringen är inte alltid en helt ny attackmetod, utan att AI kan orkestrera eller assistera många redan kända metoder betydligt snabbare.

Reuters kunde inte fastställa allt som hände

Det finns samtidigt tydliga gränser för vad granskningen visar.

Reuters kunde inte själv fastställa exakt hur avgörande AI-agenten var för att varje enskilt intrång skulle lyckas.

Det går inte heller att slå fast att samtliga sju företag utsattes för fullbordad datastöld eller ransomwareutpressning.

Amerikanska Bayou Title förekom på Aur0ras läcksajt, vilket normalt används av ransomwaregrupper för att publicera eller hota att publicera information om organisationer som inte har gått med på deras krav.

De sex identifierade företagen svarade enligt Reuters inte på frågor om intrången. Aur0ra svarade inte heller.

Ryskspråkiga hackare – inte bevis för rysk stat

En annan viktig skillnad gäller angriparnas ursprung.

Materialet pekar på ryskspråkiga cyberkriminella.

Det finns däremot inget i Reuters granskning som visar att operationen styrdes av den ryska staten, Kreml eller någon rysk underrättelsetjänst.

Aur0ra beskrivs som en ransomwareaktör.

Ryskspråkig cyberbrottslighet och ryska statliga hackeroperationer är två olika saker och bör inte blandas ihop utan konkreta belägg.

Säkerhetsspärrarna har utvecklats efter attackerna

De exponerade chattarna är från april och maj 2026.

Det är relevant eftersom både Cursor och leverantörer av de underliggande AI-modellerna arbetar löpande med nya säkerhetssystem.

Cursor förbjuder hacking, nätfiske och försök att kringgå säkerhetssystem i sin användningspolicy. Företaget beskriver också sina skydd för känsliga agentåtgärder som säkerhetslager som ska begränsa riskfylld användning.

Cursor har efter perioden då intrången ägde rum dessutom presenterat ytterligare säkerhetsarbete kring sina AI-agenter.

Det går därför inte att utifrån april- och majloggarna slå fast att exakt samma metod fungerar på samma sätt i den nuvarande versionen.

Ett tidigt exempel på nästa fas i cyberbrottsligheten

Det kanske mest betydelsefulla med Aur0ra-fallet är därför inte vilket enskilt kommando Cursor hjälpte till med.

Det är arbetsfördelningen mellan människa och AI.

Angriparen anger målet. Agenten hjälper till med teknik, analys och problemlösning. När ett försök misslyckas kan nästa väg framåt tas fram direkt.

Cyberkriminella behöver fortfarande hitta offer, få initial åtkomst och fatta beslut. Men en del av den tekniska kompetens och det manuella arbete som tidigare låg helt hos människan kan flyttas över till en agent.

Det gör inte cyberbrottsligheten autonom.

Men det kan göra den snabbare, billigare och tillgänglig för fler.

De 28 läckta Cursor-chattarna ger därför något som länge saknats i diskussionen om AI och hacking: en detaljerad inblick i hur en AI-agent faktiskt används under verkliga intrång.

Och det är sannolikt den större varningen i fallet.

Problemet är inte längre bara vad en AI kan skriva åt en angripare.

Det är vad den kan hjälpa angriparen att göra härnäst.