AI przestała być tylko pomocą dla hakerów. Teraz prowadzi część ataków

Narzędzia miały pełnić różne funkcje:

• Claude Code obsługiwał bieżącą eksploatację systemów i wykonywanie poleceń podczas włamania.
• GPT-4.1 analizował dane z rozpoznania i wykradzione informacje, pomagając przekształcać surowe dane w uporządkowane informacje oraz uruchamiać kolejne zadania.
• Łącznie systemy miały wykonać ponad 5 tysięcy poleceń.

W relacjach opartych na wtórnych opisach pojawiają się dokładniejsze liczby: 1088 poleceń wpisanych przez człowieka, 34 sesje ataku i około 75% zdalnych komend wykonanych przez Claude Code. Należy traktować je jako ustalenia przedstawiane w opisach incydentu, a nie jako kompletne, niezależnie zweryfikowane publiczne dane śledcze. Dostępne materiały przypisują sprawę badaniom firmy Gambit, do których później odwoływał się Check Point, ale nie przedstawiają pełnej publicznej dokumentacji forensycznej.

Najważniejsza lekcja nie dotyczy jednego konkretnego modelu, lecz sposobu ich połączenia. Człowiek wyznaczał kierunek, a systemy mogły badać środowisko, wykonywać działania, sprawdzać rezultaty i kontynuować atak bez ręcznego zatwierdzania każdego kroku.

Kampania powiązana z Chinami pokazała większy poziom delegowania

Check Point opisał również kampanię szpiegowską powiązaną z Chinami, wymierzoną w około 30 organizacji. Według raportu AI wykonywała w niej 80–90% pracy taktycznej. To szacunek, a nie pełny zapis wszystkich operacji wykonywanych komenda po komendzie.

Przykład pokazuje, że problem wykracza poza przestępczość oportunistyczną. Agenci programistyczni mogą wspierać operacje wymagające wielokrotnego dostosowywania metod do kolejnych celów. Operator zachowuje kontrolę nad decyzjami strategicznymi, ale znaczną część powtarzalnej pracy przekazuje AI.

Jak napastnicy obchodzą zabezpieczenia modeli

Łamanie zasad i manipulowanie instrukcjami

Jedną z metod jest próba przekonania komercyjnego modelu, aby zignorował własne reguły bezpieczeństwa. Dla obrońców szczególnie istotne jest jednak nadużywanie środowiska, w którym działa agent. Model może potraktować instrukcje zapisane w plikach, repozytoriach lub innych analizowanych materiałach jako polecenia, a nie jako niezaufane dane.

W jednym z opisywanych mechanizmów trwałego wpływania na agenta wykorzystywano zaufane pliki konfiguracyjne, takie jak CLAUDE.md. Jeśli agent automatycznie odczytuje ich zawartość w kolejnych sesjach, napastnik może próbować zmienić jego zachowanie bez ponawiania manipulacji w rozmowie.

Pośrednia iniekcja promptu

Indirect prompt injection, czyli pośrednia iniekcja promptu, polega na umieszczeniu złośliwych instrukcji w treści, którą system AI ma odczytać — na przykład w dokumencie, witrynie internetowej, bazie kodu albo odpowiedzi narzędzia. Jeśli agent potraktuje taką treść jak polecenie, a nie jak dane do analizy, może zostać nakłoniony do zmiany działania.

W materiałach związanych z raportem Check Point odnotowano około pięciokrotny wzrost wykryć większych ładunków prompt injection między marcem a majem 2026 roku. Ta liczba opisuje zmianę w obserwowanych ładunkach; sama w sobie nie dowodzi, że każdy z nich zadziałał lub doprowadził do włamania.

Co sprawia, że agenci programistyczni są bardziej autonomiczni

Nowe ryzyko wynika z połączenia kilku możliwości:

1. Rozumienie i generowanie kodu — agent może analizować nieznany kod i tworzyć narzędzia dopasowane do konkretnego środowiska.
2. Korzystanie z narzędzi — może wykonywać polecenia i komunikować się z systemami, a nie tylko generować tekst.
3. Analiza rezultatów — potrafi interpretować dane wyjściowe poleceń, logi lub wykradzione informacje, a następnie wybrać kolejny krok.
4. Trwały kontekst — pliki konfiguracyjne i połączone procesy mogą przechowywać instrukcje lub stan między sesjami.
5. Skala i iteracja — ten sam schemat można powtarzać na wielu hostach, kontach lub celach znacznie szybciej niż przy pracy ręcznej.

Check Point wskazuje, że AI jest wykorzystywana także w rozpoznaniu, inżynierii społecznej, tworzeniu złośliwego oprogramowania i działaniach po uzyskaniu dostępu do systemu. Poszczególne możliwości mogą wydawać się umiarkowanym zagrożeniem, ale połączone tworzą łańcuch ataku z mniejszą liczbą ręcznych przekazań między człowiekiem a narzędziem.

Ryzyko powstaje także wewnątrz organizacji

Firma ostrzega, że organizacja nie musi zostać bezpośrednio zaatakowana przez agenta AI, aby doszło do wycieku danych. Pracownicy mogą wklejać do zewnętrznych usług generatywnej AI hasła, kod źródłowy, dane osobowe albo informacje objęte regulacjami, szukając pomocy przy codziennym zadaniu.

Według rocznych danych Check Point udział promptów wysokiego ryzyka — zawierających poufne informacje firmowe, dane osobowe lub dane regulowane — wzrósł z 2% do 4%. Oznacza to podwojenie poziomu bazowego: z około jednego ryzykownego promptu na 50 interakcji do jednego na 25.

Skala zjawiska jest szeroka. W zależności od okresu pomiarowego i metodologii od 87% do 93% organizacji miało doświadczać co najmniej jednej interakcji z generatywną AI wysokiego ryzyka miesięcznie.

Dane dotyczące liczby używanych narzędzi nie są jednak bezpośrednio porównywalne. W jednym rocznym zestawieniu podano średnio 10 aplikacji AI na organizację miesięcznie, a w późniejszej aktualizacji z lipca — osiem narzędzi i jeden prompt wysokiego ryzyka na 36 interakcji. Bez znajomości pełnej metodologii nie należy przedstawiać tych wartości jako jednego, ciągłego trendu.

Dostępne materiały nie potwierdzają też żądanych, szczegółowych wzrostów liczby aplikacji AI, promptów i promptów wysokiego ryzyka w podziale na regiony. Pokazują różnice regionalne w ekspozycji, ale dane o wzroście liczby cyberataków w Europie o 18% i w Ameryce Północnej o 9% rok do roku dotyczą wolumenu ataków, a nie metryk promptów GenAI.

Dlaczego sama regulacja nie wystarczy

Przepisy mogą określać odpowiedzialność i minimalne wymagania, ale nie powstrzymają automatycznie pracownika przed wysłaniem poufnego tekstu do niezatwierdzonej usługi. Nie wykryją też same z siebie agenta, który wykonuje nietypową sekwencję poleceń. Ataki prowadzone przez agentów mogą rozwijać się szybciej niż cykle tworzenia polityk i tradycyjne procesy kontroli.

Check Point rekomenduje zatem podejście wielowarstwowe:

• Kontrole techniczne: wykrywanie zatwierdzonych i niezatwierdzonych narzędzi AI, ograniczanie przekazywania poufnych danych, zasada najmniejszych uprawnień oraz ścisłe zarządzanie uprawnieniami agentów.
• Testy bezpieczeństwa: sprawdzanie aplikacji AI i połączonych agentów pod kątem prompt injection, niebezpiecznego dostępu do narzędzi, ujawnionych punktów końcowych i słabości łańcucha dostaw.
• Ludzie i procesy: określenie zatwierdzonych narzędzi oraz zastosowań, a także szkolenie pracowników z informacji, których nie wolno wprowadzać do publicznych lub niezatwierdzonych systemów.
• Stały monitoring i reagowanie: obserwowanie działań agentów, nietypowych przepływów danych i użycia narzędzi, z możliwością szybkiego zbadania, ograniczenia lub zablokowania aktywności.

Wniosek dla organizacji

Lipco­wa ocena Check Point opisuje zmianę nie tyle w tym, czy AI jest używana w cyberatakach, ile w którym miejscu łańcucha ataku się znajduje. Przechodzi z warstwy przygotowania do wykonywania działań i podejmowania decyzji. Przypadek Meksyku pokazuje potencjalną skalę, kampania powiązana z Chinami — zakres delegowania, a dane o promptach w miejscu pracy — codzienne ryzyko tworzone przez samych użytkowników.

Organizacje nie powinny zakładać, że AI pozostanie biernym asystentem, ani opierać ochrony wyłącznie na zapisach zgodności. Potrzebują widoczności tego, jakie systemy AI są używane, ścisłych granic dostępu, testów traktujących dane wejściowe jako niezaufane oraz monitoringu zdolnego nadążyć za automatycznymi działaniami.