Custom GPTs truchos de «ChatGPT Plus 5.6» en anuncios de Google llevan a un ClickFix que instala un RAT
Huntress detectó Custom GPTs falsos promocionados como resultados patrocinados al buscar «chatgpt». El GPT manda al usuario a un dominio de Google Sites con un CAPTCHA falso de Cloudflare que pide pegar un comando de PowerShell (ClickFix). El payload es un MSI (ISOSimple.msi) que abusa de un binario firmado por Canon para hacer DLL sideloading y deja un RAT con captura de cámara y audio, escritorio remoto y robo de credenciales de 17 navegadores. Hubo al menos 40 infectados y el C2 se resuelve por DNS-over-HTTPS para esquivar los logs locales. Ojo con esto: la plataforma del GPT ahora funciona como el primer eslabón de confianza del phishing.
LiteLLM CVE-2026-84377: cualquier usuario autenticado redirige la llamada al provider y se lleva las credenciales del proxy (CVSS 6.5)
La validación del body del proxy era una denylist que no cubría todos los parámetros sensibles ni miraba los anidados. Un caller podía mandar api_base, base_url, model_list o fallbacks apuntando a un host propio, y el proxy reenviaba ahí sus propias API keys de los providers: exfiltración de credenciales más SSRF contra servicios internos. Parcheado en 1.96.2, 1.95.1, 1.94.3, 1.93.2, 1.92.2, 1.91.5, 1.90.7, 1.89.7 y 1.88.6. Si no podés actualizar ya, poné general_settings.allow_client_side_credentials: false y bloqueá esos parámetros en el gateway.
Anthropic: GLM-5.3 escribe exploits a nivel de Claude Mythos Preview y sus safeguards caen entre 64% y 100% de las veces
El Frontier Red Team de Anthropic evaluó GLM-5.3 de Zhipu AI, que NIST califica como el modelo open-weight con más capacidad ofensiva publicado hasta hoy. Desarrolla exploits end-to-end a tasas comparables con Claude Mythos Preview, y en el benchmark interno de binary exploitation logra control flow hijacks completos que GLM-5.2 y Claude Opus 4.6 no conseguían. Lo preocupante son los safeguards: prompts engañosos los saltan el 64% de las veces, el razonamiento prefilled el 92% y la abliteration el 100%. Anthropic pide evaluaciones gubernamentales de modelos open-weight y acceso de defensores a modelos de frontera.
OpenAI acusa a asociados de Moonshot AI de una campaña de distillation con más de 15.000 cuentas
Según OpenAI, entre el 1 y el 28 de julio operadores vinculados a Moonshot AI (Kimi) lanzaron queries masivas para que el modelo reprodujera su razonamiento protegido en forma visible y así entrenar un competidor sin los guardrails. Documenta 16.000 requests el 24 y 25 de julio desde más de 4.000 usuarios, más actividad en otras 15.000 cuentas. No hubo intrusión: fue manipulación de las interacciones con el modelo. OpenAI baneó cuentas, cerró los huecos técnicos y compartió indicadores con otros labs y con el gobierno. Para cualquiera que sirva un modelo por API, el rate limiting por patrón de extracción ya es un control de seguridad.
Tendencias Destacadas
Las plataformas de IA se volvieron infraestructura de ataque: Custom GPTs como señuelo de phishing y APIs de modelos como fuente de extracción de capacidades.
Los gateways de LLM siguen filtrando secretos de providers por parámetros de request que el cliente no debería poder controlar.
Fake «ChatGPT Plus 5.6» Custom GPTs in Google ads lead to a ClickFix lure that installs a RAT
Huntress found fake Custom GPTs promoted as sponsored results for the search «chatgpt». The GPT sends users to a Google Sites domain showing a fake Cloudflare CAPTCHA that asks them to paste a PowerShell command (ClickFix). The payload is an MSI (ISOSimple.msi) that abuses a Canon-signed binary for DLL sideloading and drops a RAT with camera and audio capture, remote desktop control, and credential theft from 17 browsers. At least 40 users were infected, and the C2 is resolved over DNS-over-HTTPS to evade local DNS logging. The GPT platform itself now serves as the first trusted hop in the phishing chain.
LiteLLM CVE-2026-84377: any authenticated user can redirect provider calls and steal the proxy's credentials (CVSS 6.5)
The proxy's request-body validation was a denylist that missed some sensitive parameters and never inspected nested ones. A caller could send api_base, base_url, model_list or fallbacks pointing to their own host, and the proxy forwarded its own provider API keys there: credential exfiltration plus SSRF against internal services. Patched in 1.96.2, 1.95.1, 1.94.3, 1.93.2, 1.92.2, 1.91.5, 1.90.7, 1.89.7 and 1.88.6. If you cannot upgrade yet, set general_settings.allow_client_side_credentials: false and block those parameters at the gateway.
Anthropic: GLM-5.3 writes exploits on par with Claude Mythos Preview, and its safeguards fail 64–100% of the time
Anthropic's Frontier Red Team evaluated Zhipu AI's GLM-5.3, which NIST rates as the most cyber-capable open-weight model released to date. It builds end-to-end exploits at rates comparable to Claude Mythos Preview, and on Anthropic's internal binary-exploitation benchmark it achieves full control-flow hijacks that GLM-5.2 and Claude Opus 4.6 could not. The worrying part is the safeguards: deceptive prompts bypass them 64% of the time, prefilled reasoning 92%, and abliteration 100%. Anthropic calls for government evaluations of capable open-weight models and for defender access to frontier models.
OpenAI accuses Moonshot AI associates of a distillation campaign spanning 15,000+ accounts
OpenAI says that between July 1 and July 28, operators tied to Moonshot AI (Kimi) ran bulk queries designed to make its models reproduce protected reasoning in visible form, in order to train a competitor without the guardrails. It documents 16,000 requests on July 24–25 from more than 4,000 users, plus related activity across 15,000+ accounts. There was no intrusion; the attack worked by manipulating model interactions. OpenAI banned the accounts, closed the technical gaps, and shared indicators with other labs and government agencies. For anyone serving a model over an API, detecting extraction patterns is now a security control.
Notable Trends
AI platforms are becoming attack infrastructure: Custom GPTs as phishing lures and model APIs as a source of capability extraction.
LLM gateways keep leaking provider secrets through request parameters clients should never control.
De faux Custom GPTs «ChatGPT Plus 5.6» dans des annonces Google mènent à un leurre ClickFix qui installe un RAT
Huntress a repéré de faux Custom GPTs promus en résultats sponsorisés sur la recherche «chatgpt». Le GPT renvoie vers un domaine Google Sites affichant un faux CAPTCHA Cloudflare qui demande de coller une commande PowerShell (ClickFix). Le payload est un MSI (ISOSimple.msi) qui détourne un binaire signé Canon pour du DLL sideloading et dépose un RAT capable de capturer caméra et audio, de prendre le contrôle du bureau et de voler les identifiants de 17 navigateurs. Au moins 40 victimes ; le C2 est résolu en DNS-over-HTTPS pour échapper à la journalisation DNS locale.
LiteLLM CVE-2026-84377 : tout utilisateur authentifié peut rediriger les appels provider et voler les identifiants du proxy (CVSS 6.5)
La validation du corps de requête du proxy reposait sur une denylist incomplète qui n'inspectait pas les paramètres imbriqués. Un appelant pouvait envoyer api_base, base_url, model_list ou fallbacks vers son propre hôte, et le proxy y transmettait ses propres clés API providers : exfiltration d'identifiants et SSRF vers les services internes. Corrigé en 1.96.2, 1.95.1, 1.94.3, 1.93.2, 1.92.2, 1.91.5, 1.90.7, 1.89.7 et 1.88.6. Contournement : general_settings.allow_client_side_credentials: false et blocage de ces paramètres au niveau de la gateway.
Anthropic : GLM-5.3 écrit des exploits au niveau de Claude Mythos Preview et ses garde-fous cèdent dans 64 à 100 % des cas
La Frontier Red Team d'Anthropic a évalué GLM-5.3 de Zhipu AI, que le NIST considère comme le modèle open-weight le plus capable en cyberoffensive publié à ce jour. Il produit des exploits de bout en bout à des taux comparables à Claude Mythos Preview et réussit des détournements complets du flot de contrôle que GLM-5.2 et Claude Opus 4.6 ne réussissaient pas. Les garde-fous cèdent dans 64 % des cas avec des prompts trompeurs, 92 % avec un raisonnement prérempli et 100 % avec l'abliteration.
OpenAI accuse des proches de Moonshot AI d'une campagne de distillation sur plus de 15 000 comptes
Selon OpenAI, entre le 1er et le 28 juillet, des opérateurs liés à Moonshot AI (Kimi) ont lancé des requêtes massives pour faire reproduire à ses modèles leur raisonnement protégé sous forme visible, afin d'entraîner un concurrent sans garde-fous. OpenAI documente 16 000 requêtes les 24 et 25 juillet depuis plus de 4 000 utilisateurs, et une activité liée sur plus de 15 000 comptes. Pas d'intrusion : uniquement de la manipulation des interactions. Comptes bannis, failles techniques corrigées et indicateurs partagés avec d'autres labs et les autorités.
Tendances Notables
Les plateformes d'IA deviennent une infrastructure d'attaque : Custom GPTs comme leurres de phishing et API de modèles comme source d'extraction de capacités.
Les passerelles LLM continuent de laisser fuiter les secrets des providers via des paramètres de requête que le client ne devrait pas contrôler.