AI agenti údajně napadali e-shopy za desítky dolarů na cíl

Nejde o případ, kdy by se jazykový model sám rozhodl útočit na firmy. Podle zveřejněného vyšetřování měl finančně motivovaný operátor nastavit a řídit soustavu AI agentů, které dokázaly ve velkém automatizovat průzkum cílů, pokusy o zneužití slabin, sběr platebních údajů i mazání stop. 8

Co vyšetřovatelé uvádějí

Společnost Gambit Security uvedla, že aktér používal proti online prodejcům tři open-source agentní nástroje: Strix, Cairn a Hermes. V řadě kroků měly fungovat téměř bez dozoru. Aktivita podle firmy začala v červenci 2026 a při zveřejnění výzkumu stále pokračovala. 8

Jen mezi 10. a 15. zářím bylo podle Gambitu spuštěno 105 útočných projektů a nejméně 27 společností bylo kompromitováno v různé míře. 8 Jiná média hovoří o zacílení až na 100 organizací a o přibližně 8 000 dolarech vynaložených na přístup k modelům. 7

Vyšetřovatelé aktéra popsali jako čínsky hovořícího. Jde o závěr vycházející z jazyka a provozních stop, nikoli o potvrzení jeho identity, národnosti nebo napojení na vládu.

Jak měla agentní sestava fungovat

Kampaň byla v reportech spojována s modely DeepSeek a Kimi a se starší verzí Claude; nad nimi měly běžet nástroje Strix, Cairn a Hermes. 713 Nešlo přitom o jediný univerzální nástroj: jednotlivé části sestavy měly dostávat rozdílné úlohy v automatizovaném pracovním postupu.

Na obecné úrovni měl postup vypadat takto:

1. Vyhledání a posouzení cílů. Agenti procházeli weby prodejců a hledali možné zranitelnosti.
2. Pokus o přístup a nasazení sběrného kódu. Po získání přístupu měla kampaň vkládat na stránky pokladen skripty pro odchyt údajů z platebních karet.
3. Sběr a třídění odcizených dat. Provozní prostředí útočníka mělo ukládat karetní záznamy i další údaje související s operací.
4. Zahlazování stop. Čištění mělo omezit důkazy o průniku, nejméně ve dvou případech však údajně vedlo ke zničení dat obětí. 819

Podstatná je ekonomika takového útoku: automatizace může dramaticky snížit čas, který člověk musí věnovat opakování stejných kroků vůči mnoha cílům. Gambit hovoří o mezních nákladech v řádu desítek dolarů na firmu, zatímco reportáž o pětidenní vlně uvádí celkové náklady okolo 8 000 dolarů. Nejde ale o univerzální ceník útoků na firmy, nýbrž o odhady z tohoto konkrétního vyšetřování. 78

Dopad: přes 600 000 karetních záznamů, ale neúplný obraz obětí

Gambit uvedl, že bylo odcizeno více než 600 000 záznamů platebních karet a skimmovací skripty se objevily na desítkách stránek pokladen. 819

Forbes napsal, že útočník mezi 10. a 15. zářím získal přístup alespoň k 30 webům. Kolik z organizací napadených v širší kampani bylo skutečně úspěšně prolomeno, však zůstává nejasné. 7 Další reportáž uvádí, že významnou část odcizených záznamů tvořily karty držitelů z USA. 6

Úplný a nezávisle potvrzený veřejný seznam zasažených firem není v dostupných materiálech k dispozici. Je důležité tyto kategorie nerozmělňovat: seznam cílů, kompromitovaný web, stránka pokladny se skimmerem a potvrzené oznámení úniku dat nejsou totéž.

Proč výzkumníci považují zjištění za věrohodná

Podle zpráv o vyšetřování útočník omylem vystavil část své infrastruktury na veřejný internet. Výzkumníkům to mělo zpřístupnit artefakty včetně konfigurace agentů a dat spojených s provozem kampaně. 13

Díky tomu mohli rekonstruovat části operace a spojit je s napadenými prodejci, skimmery na pokladnách a úložišti ukradených karetních dat. Hodnotu přes 600 000 záznamů je proto vhodné číst jako počet nahlášený vyšetřovateli na základě odkrytého prostředí útočníka, nikoli jako záznam po záznamu potvrzený každým zasaženým obchodníkem. 813

Co znamená tvrzení o odmítání ze strany novějšího Claude

Reportáže uvádějí, že součástí sestavy byla starší verze Claude, zatímco novější verze Claude měly explicitně škodlivé požadavky odmítat. 7 To odpovídá účelu bezpečnostních opatření modelů: odmítat návody a požadavky směřující k nelegální kybernetické činnosti.

Veřejně dostupné podklady ale neobsahují řízené technické srovnání příslušných verzí, kompletní prompty ani plnou konfiguraci agentního prostředí. Nelze proto důvodně tvrdit, že za kampaní „stál“ jeden konkrétní model nebo že rozdíl vysvětlují pouze novější odmítací mechanismy. Rozhodující byl návrh nástrojů, přístupů a pracovního postupu ze strany operátora.

Co si z případu mají odnést provozovatelé e-shopů

Gambit uvádí, že kampaň pokračovala a útočník obnovoval svou infrastrukturu. 8 Hlavní veřejný popis rozsahu a metod zatím pochází právě od této společnosti. Nadace Shadowserver naproti tomu rozesílá ověřeným správcům sítí, vládám a národním týmům CSIRT přizpůsobené zprávy pro nápravu, což může pomoci dostat ověřené informace o kompromitaci k organizacím schopným reagovat. 18

Pro e-shopy je závěr hlavně praktický: průběžně hlídat stránky pokladen, skripty třetích stran, vystavená administrační rozhraní i procesy obnovy. Údajné mazání dat navíc připomíná, že připravenost na incident není jen otázkou odhalení útoku, ale také schopnosti služby obnovit. Zvláštní pozornost si zaslouží monitoring neautorizovaných změn platebních toků a pravidelně testované, izolované zálohy.

AI agenti mohou zlevnit a urychlit opakující se útočné kroky, neruší však potřebu lidského operátora, infrastruktury, přístupových cest ani možností obrany. Odpovědí zůstává snižování exponované plochy, rychlá detekce změn, ověřená obnova a sdílení prověřených indikátorů s důvěryhodnými partnery. 818