V původní rychlé zprávě o kampani VAPOR PANDA je jedna věta důležitější než všechny zmínky o konkrétním modelu: útočníci už AI nepoužívají jen jako chytrý chat pro jednotlivé úkoly. Podle analýzy CrowdStrike nechali agentní framework ARTEX koordinovat paralelní práci proti více než dvěma stům organizací.
To není příběh o stroji, který se sám rozhodl dobýt svět. Je to příběh o malé skupině lidí, která dostala další vrstvu pracovního výkonu. A právě v tom je problém: obrana se musí připravit na útoky, které nejsou jen rychlejší, ale také širší, vytrvalejší a levnější na koordinaci.
Když jeden útok přestane být jeden útok
CrowdStrike popisuje kampaň, která začala 17. října 2026 a během jedenácti dnů zasáhla podle jeho telemetrie více než 200 různých organizací nejméně ve 14 zemích. Mezi cíli byly zahraniční úřady, telekomunikační firmy a organizace z farmacie, obrany, polovodičového průmyslu nebo strategických think-tanků. Nejde tedy o izolovaný pokus proti jedné firmě, ale o koordinovanou sérii angažmá, která běžela souběžně.
ARTEX v tomto případu fungoval jako orchestrace. Hlavní agent rozděloval práci plánovacím a pracovním podagentům, kteří sdíleli graf úkolů, zjištění a cílů. Agenti mohli pokračovat v průzkumu, hledat další cestu po neúspěšném kroku a předávat si kontext, aniž by člověk ručně řídil každý jednotlivý pohyb.
Důležitá je i hranice, kterou CrowdStrike výslovně uvádí: člověk z procesu nezmizel. Záznamy podle firmy ukazují operátora, který agentům zadával instrukce a zasahoval v rozhodovacích bodech. AI zde není autonomní špion s vlastním politickým cílem. Je to pracovní systém, který dokáže lidské rozhodnutí rozprostřít do mnoha paralelních úloh.
Model není hlavní zpráva
V kampani byl podle analýzy CrowdStrike nasazen především čínský model DeepSeek a druhý komerční model, jehož identitu se výzkumníkům nepodařilo potvrdit. V jednom průniku spotřebovaly plánovací agenty přibližně 1,4 miliardy vstupních tokenů. To zní jako detail pro tabulku cen API, ale ve skutečnosti jde o měřítko automatizované práce.
Kdo se na podobný incident dívá jen jako na otázku „který model byl použit“, míjí podstatu. Samotný model je v řetězci pouze jedna součást. Rozhodující je spojení modelu s nástroji, stavem úkolu, přístupovými údaji, možností opakovat neúspěšný krok a s člověkem, který schvaluje další směr.
Tohle je stejný posun, který jsme na Radyzu popisovali u řetězení oprávnění mezi AI agenty. Nejde jen o to, zda agent umí zavolat nástroj. Jde o to, jestli se po několika předáních práce stále dá vysvětlit, kdo akci schválil, jaký byl její rozsah a zda šlo oprávnění zastavit.
VAPOR PANDA není totéž co Storm-0940
Do stejné debaty se snadno zamíchá starší případ Storm-0940. Microsoft už dříve popsal jinou aktivitu využívající ARTEX, včetně útoků na cloudové prostředí a zneužití důvěry udělené připojeným aplikacím. CrowdStrike ale ve své nové analýze výslovně upozorňuje, že kampaň VAPOR PANDA je od aktivity spojované se Storm-0940 oddělená.
To rozlišení není akademická poznámka pod čarou. Ukazuje, že ARTEX není jméno jediné kampaně, ale nástrojová vrstva, kterou mohou použít různí aktéři. Stejný framework tak může být součástí odlišných operací s jinými cíli, infrastrukturou i mírou lidského řízení.
Pro obranu z toho plyne nepříjemný závěr: nestačí hledat jeden známý model nebo jeden konkrétní název skupiny. Pokud se agentní workflow rozšíří, bude nutné sledovat také způsob, jakým se úkoly dělí, jak se mění oprávnění, odkud přicházejí instrukce a zda systém po chybě opakuje další kroky sám.
Útočník nekupuje jen rychlost. Kupuje kapacitu
Představme si bezpečnostní tým, který by chtěl ručně prověřit stovky organizací, u každé udržovat vlastní kontext, vracet se k neúspěšným cestám a současně připravovat podklady pro další postup. Taková práce je drahá, pomalá a organizačně náročná. Agentní systém ji nezmění na bezpracnou černou magii, ale může z ní udělat proces, který jeden operátor řídí ve výrazně větším měřítku.
Právě proto je nebezpečné mluvit o AI útocích jen jako o „automatizaci“. Automatizace jednoho opakujícího se kroku je běžný bezpečnostní problém. Tady se automatizuje část celého pracovního postupu: hledání cíle, udržování kontextu, rozdělení práce, reakce na neúspěch i příprava dalšího rozhodnutí.
CrowdStrike navíc popisuje, že VAPOR PANDA do agentního workflow zapojila i hledání zařízení bez konkrétního bezpečnostního senzoru. To ukazuje, že agenti nemusí pouze vykonávat příkazy. Mohou dostat i provozní pravidla, podle kterých si vybírají, kam se zaměřit a čemu se vyhnout. Rozhodování zůstává lidské, ale jeho provedení se rozlévá do mnoha paralelních větví.
Obrana musí přestat chránit jen jednotlivý nástroj
Nejjednodušší reakcí by bylo přidat další detektor známých modelů, zakázat jeden název frameworku a prohlásit problém za vyřešený. To by byla pohodlná iluze. Útočná hodnota nevzniká z názvu ARTEX ani z toho, zda je uvnitř DeepSeek. Vzniká ze spojení modelu, nástrojů, dat, oprávnění a možnosti jednat opakovaně.
Praktická obrana proto musí sledovat hranice mezi kroky. Který agent smí pouze číst? Který může připravit návrh, ale nesmí ho potvrdit? Které oprávnění platí jen pro jeden úkol a jak rychle ho lze odvolat? A existuje po incidentu auditní stopa, která ukáže nejen poslední akci, ale celý řetězec delegování?
Podobným směrem míří i sandboxový přístup projektu nono: agent nemá dostat plný přístup k počítači, ale jen konkrétní soubory, síťové cesty a schopnosti potřebné pro daný úkol. Izolace sama o sobě nevyřeší smysl rozhodnutí, ale zmenšuje prostor, ve kterém se může chyba nebo zneužití rozrůst.
Ještě důležitější je lidské schválení na správném místě. Nestačí člověka přidat někam na konec procesu jako osobu, která zpětně odklikne hotový výsledek. Pokud agentní řetězec může mezitím měnit kontext, rozšiřovat průzkum nebo připravovat citlivé operace, musí člověk vidět rozhodovací bod dřív, než se z návrhu stane skutečná změna.
Největší změna nebude v modelu, ale v organizaci
Kyberbezpečnost si dlouho zvykla na představu, že útočník má omezenou kapacitu. Musí vybrat cíl, napsat nástroj, udržovat infrastrukturu a ručně vyhodnocovat výsledek. Agentní systémy tuto kapacitu nemažou, ale mohou ji násobit. Najednou není nejvzácnější komoditou schopnost najít jednu cestu dovnitř, nýbrž schopnost udržet přehled nad desítkami rozpracovaných cest.
To je také důvod, proč podobné případy mění význam slova „autonomie“. VAPOR PANDA podle dostupných podkladů nebyla skupina, která předala celý útok stroji a zmizela. Lidé stále určovali směr. Jen už nemuseli osobně obsluhovat každý krok, každé hledání a každé opakování. Autonomie se tak může projevit méně jako samostatné rozhodnutí a více jako schopnost pokračovat v práci bez další lidské pozornosti.
Tahle hranice je pro obránce důležitější než marketingové tvrzení o agentovi, který „umí všechno“. Stačí, když umí dost na to, aby udržel rozpracovaný úkol, přeposlal ho dalšímu procesu a využil nástroje, ke kterým má přístup. V takovém systému může být i průměrný model nebezpečný, pokud dostane dobré napojení na prostředí a příliš široký mandát.
AI útoky nebudou děsivé proto, že jsou chytré
Nejstřízlivější čtení případu VAPOR PANDA je zároveň nejméně uklidňující. CrowdStrike nepopisuje zázračnou novou inteligenci, která by sama vymyslela neznámou formu války. Popisuje známé útočné postupy zasazené do systému, který je dokáže rozdělit mezi agenty, opakovat a provozovat proti více cílům najednou.
To je dostatečný důvod změnit bezpečnostní priority. Nestačí chránit přihlašovací údaje, síťové rozhraní a jednotlivé nástroje odděleně. Organizace musí vědět, jakou práci může agent skutečně vykonat, jaké další procesy může přizvat, co po sobě zanechá a kdo jeho rozhodnutí odpovídá.
ARTEX proto není důležitý jako exotický název z jedné analýzy. Důležitý je jako ukázka směru, kterým se bude ubírat další fáze kybernetických útoků: méně ručního klikání, více orchestrace a větší tlak na to, aby obrana kontrolovala celý pracovní postup. Kdo bude dál měřit jen jednotlivé příkazy, může přehlédnout, že útok už mezitím řídí celou operaci.
