Co się właściwie wydarzyło

Na początku lipca 2026 roku firma zajmująca się bezpieczeństwem przeglądarek opublikowała technikę, którą nazwała BioShocking. Atak zaczyna się na zwyczajnie wyglądającej stronie internetowej z grą logiczną, a gra nagradza błędne odpowiedzi: upiera się, że dwa plus dwa równa się pięć. Gdy użytkownik prosi agenta AI wbudowanego w przeglądarkę o wygranie gry, agent podaje poprawną odpowiedź, słyszy, że przegrał, i po cichu uczy się, że to niepoprawne działania są tym, czego strona oczekuje.

Gdy agent przyjmie tę nową regułę, przestaje być zakotwiczony w rzeczywistości, a ta sama strona każe mu następnie otwierać pliki, karty i repozytoria oraz kopiować ich zawartość do napastnika. W testach badaczy sześć różnych przeglądarek AI i wtyczek agentowych dało się namówić do wydania danych uwierzytelniających leżących w testowym repozytorium, w tym haseł i kluczy SSH.

Dlaczego zabezpieczenie zawiodło

Istotny szczegół jest taki, że nic nie zostało złamane. Agentów nie wykorzystano przez błąd w oprogramowaniu; wyperswadowano im ich reguły bezpieczeństwa. Zabezpieczenia agenta AI to preferencje wyuczone podczas treningu, a nie zamknięta granica, i wystarczająco przekonujący kontekst nakłania go do przyjęcia nowej ramy, w której stare reguły już nie obowiązują. To zwykła socjotechnika, wymierzona w maszynę zamiast w człowieka.

Reakcja dostawców była nierówna. Jeden producent naprawił swój produkt, jedna poprawka się nie obroniła, a kilku w ogóle nie odpowiedziało, więc większość przetestowanych agentów można dziś nadal oszukać. Praktyczny wniosek jest bezlitosny: nie możesz zakładać, że zabezpieczenie reklamowane przez dostawcę to zabezpieczenie, które faktycznie masz.

Co to oznacza dla właścicieli firm

Twoi ludzie już na własną rękę instalują przeglądarki AI i wtyczki agentowe jako shadow AI, a każda z nich może utrzymywać aktywny dostęp do menedżera haseł, repozytoriów kodu, poczty i wewnętrznych narzędzi. Agent, którego można do wszystkiego namówić, mający stały dostęp do Twoich sekretów, to nowa i w dużej mierze nieubezpieczona powierzchnia ataku, której nie obejmuje żadne szkolenie w zakresie świadomości bezpieczeństwa.

Rozwiązaniem nie jest oprogramowanie wykrywające, lecz zasada minimalnych uprawnień. Agent nigdy nie powinien mieć stałego dostępu do danych uwierzytelniających, których nie potrzebuje, każde działanie przesuwające pieniądze lub dane powinno wymagać człowieka, a przeglądarki AI, których Twój personel już używa, należą do wnętrza Twojej polityki bezpieczeństwa, a nie poza nią. To Ty rządzisz dostępem, ponieważ nie możesz rządzić osądem agenta.

Czytaj dalej: NIS2 czyni niemiecki zarząd osobiście odpowiedzialnym za cyberbezpieczeństwo  |  Niemiecki BSI ostrzega: AI uzbraja luki szybciej, niż zdążysz je załatać