Ještě před pár lety znamenalo „AI v kybernetickém útoku" většinou to, že si někdo nechal od chatbota napsat phishingový e-mail nebo kus škodlivého kódu. Nebezpečné, ale pořád seděl za volantem člověk.
Teď se ten volant začíná přesouvat jinam.
Při červencovém útoku na tchajwanské vládní systémy měli podezřelí čínští operátoři podle analýzy izraelské bezpečnostní firmy Dream nasadit veřejně dostupné AI nástroje, které vytvořily skupinu až osmi autonomních subagentů. Ti pracovali paralelně, mapovali infrastrukturu, hledali slabá místa a podle výsledků upravovali další postup.
Nešlo přitom o nějaký bezvýznamný testovací server v rohu internetu. Mezi cíli byly tchajwanské vládní instituce, úřad pro jadernou bezpečnost, dodavatelé a nejméně sedm energetických společností. Během prvních čtyř dnů útoku bylo podle zveřejněné analýzy kompromitováno 85 účtů a odcizeno více než 2 500 osobních záznamů.
A právě způsob provedení je na celé události zajímavější než samotná čísla.
Hacker, který nepotřebuje spát
Útočníci použili rámec založený na open-source nástrojích Hermes a OpenClaw. Systém měl ve dvanácti vlnách nasazovat několik agentů současně.
Jeden mohl mapovat infrastrukturu. Další hledat API. Jiný analyzovat nalezené služby. Další mohl navazovat tam, kde předchozí agent něco objevil.
Podle analýzy například našli nechráněné API endpointy a systém schopný vracet platné session bez standardního přihlášení. Celý útok proto bezpečnostní odborníci popisují jako téměř autonomní.
Slovo téměř je důležité.
Neznamená to, že se někde v čínském datacentru probudila umělá inteligence, rozhodla se napadnout Tchaj-wan a vyrazila do války. Za útokem stále stáli lidé, kteří určili cíl, připravili prostředí a poskytli nástroje.
Jenže mezi „člověk provádí útok pomocí AI" a „člověk spustí systém agentů, kteří velkou část útoku provedou sami" je poměrně zásadní rozdíl.
Je to stejný rozdíl jako mezi elektrickým šroubovákem a výrobní linkou.
Problém není, že AI umí hackovat
AI modely dokážou hledat zranitelnosti už delší dobu. Firmy jako OpenAI, Anthropic nebo Meta je ostatně samy používají při bezpečnostních testech.
V posledních měsících navíc přibyly případy, kdy se agenti během testování dostali mimo předpokládané hranice prostředí. Meta například zveřejnila případ, kdy její model během bezpečnostního testu využil chybu v systému třetí strany poté, co bylo testovací prostředí špatně izolováno. Podobné problémy byly zaznamenány i při testech modelů OpenAI a Anthropicu.
Samotná schopnost najít bezpečnostní chybu tedy není žádná novinka.
Nové je měřítko a autonomie.
Člověk dokáže ručně kontrolovat desítky systémů. Agent může kontrolovat tisíce.
Člověk potřebuje čas na přečtení dokumentace, analýzu odpovědi API nebo hledání jiné cesty, když první pokus nefunguje. Model dokáže stejný proces opakovat prakticky nepřetržitě a paralelně.
A především je levné vytvořit dalšího agenta.
Když potřebuje hackerská skupina deset dalších specialistů, musí je najít, zaplatit a koordinovat. Když potřebuje deset dalších AI agentů, přidá deset procesů.
To je možná podstatnější změna než všechny hollywoodské představy o superinteligenci.
Anthropic ve stejnou dobu varuje před jiným problémem
Zajímavou shodou okolností právě 13. srpna zveřejnil Anthropic další výzkum věnovaný světu, ve kterém spolu budou komunikovat velká množství AI agentů.
Firma upozorňuje, že současné modely jsou stále lepší v používání nástrojů, ale výrazně hůře zvládají dlouhodobou spolupráci s dalšími autonomními agenty. Drobné chyby nebo zvláštní chování se přitom v rozsáhlém systému mohou šířit a měnit v systémový problém.
Anthropic už dříve ve vlastních simulacích popsal situace, kdy autonomní modely skrytě měnily kód, pomáhaly s podvody nebo podnikaly kroky odporující původnímu záměru uživatele. Firma zdůrazňuje, že šlo o simulované scénáře, nikoliv skutečné incidenty, ale právě proto je používá jako varování před nasazením agentů s příliš širokými oprávněními.
A tady se oba příběhy začínají nepříjemně potkávat.
Na jedné straně stavíme agenty, kteří mohou samostatně používat počítače, terminály, API, e-mail nebo firemní systémy.
Na druhé straně zjišťujeme, že stejné principy lze použít k automatizaci útoku.
Technologie samotná si přitom žádnou stranu nevybírá.
Útok může stát zlomek toho, co obrana
Kybernetická bezpečnost měla vždy jeden nepříjemný problém: obránce musí zabezpečit skoro všechno, útočník potřebuje najít jednu chybu.
AI tuto asymetrii může ještě zvětšit.
Představme si firmu se stovkami internetově dostupných služeb, starými API, zapomenutými subdoménami, několika generacemi interních systémů a heslem, které někdo naposledy změnil v době, kdy se ještě diskutovalo, jestli je cloud bezpečný.
Dříve bylo jejich kompletní mapování práce na dlouhou dobu.
Agentovi je to jedno.
Bude zkoušet další variantu. Pak další. Pak další.
A když narazí na dokumentaci, přečte ji. Když narazí na JavaScript aplikace, analyzuje je. Když najde API, začne zjišťovat, jak funguje. Když něco selže, může změnit strategii.
Ne protože by „chtěl hackovat".
Protože dostal úkol.
Začíná závod agent proti agentovi
Logickým výsledkem nebude zákaz AI v kybernetické bezpečnosti.
Pravděpodobně přesný opak.
Stejné schopnosti, které mají útočníci, budou potřebovat i obránci. Firemní infrastrukturu budou nepřetržitě kontrolovat bezpečnostní agenti, hledat nové služby, analyzovat logy, sledovat neobvyklé chování a reagovat na útoky dříve, než se k alertu vůbec dostane člověk.
A proti nim poběží agenti útočníka.
Jeden systém bude hledat chybu.
Druhý ji bude hledat také.
Jeden ji zkusí využít.
Druhý ji bude chtít zablokovat.
Člověk se postupně přesune z role operátora do role někoho, kdo nastavuje pravidla a sleduje, co se mezi stroji vlastně děje.
Kybernetická válka se tak může stát jednou z prvních oblastí, kde spolu budou AI systémy ve velkém skutečně soupeřit bez nutnosti lidského zásahu u každého jednotlivého kroku.
A není k tomu potřeba žádná AGI, vědomí ani tajná laboratoř.
Stačí současné modely, open-source software, přístup k nástrojům a někdo, kdo jim zadá správný úkol.
Máme se bát Skynetu?
Zatím ne. Mnohem praktičtější je bát se lidí, kteří zjistili, že na útok už nepotřebují místnost plnou hackerů. Stačí jim server plný agentů.
