Agent AI zmienia zasady ataków sieciowych, a obrońcy o tym wiedzą

BleepingComputer poinformował 30 września, że holenderski Instytut Ujawniania Podatności (DIVD) prześledził własne naruszenie do CVE-2026-102489 i CVE-2026-102490, dwóch luk zero-day w Zammadzie, open-source'owej platformie zgłoszeń. Użyte razem pozwoliły na przejęcie sesji, zdalne wykonanie kodu i eskalację uprawnień z poziomu użytkownika Zammada do roota. Agent działał w kilka sekund i zostawił po sobie dość logów decyzyjnych, żeby DIVD mógł odtworzyć przebieg zdarzenia.

Organizacja już wcześniej nazwała atak „głośnym i bardzo, bardzo bałaganiarskim”. Liczy się tu jednak nie bałagan, a szybkość. Ludzki napastnik pracujący na tych samych dwóch lukach potrzebowałby rozpoznania, operowania poświadczeniami i ruchu bocznego. Agent zrobił to wszystko bez zewnętrznego sterowania.

Tempo AI kontra stary problem z opóźnionym łataniem

Zammad to nie niszowy produkt. Jego własna strona podaje ponad 2 000 klientów i 55 000 użytkowników, w tym De'Longhi, Amnesty International i NextCloud, jak podaje BleepingComputer. DIVD znalazł podatności razem z Merlon Security, powiadomił producenta i teraz wzywa użytkowników, żeby natychmiast przeszli na wersję 7 albo wyłączyli instancje z sieci. Organizacja non-profit zapowiedziała publikację kolejnych informacji o incydencie następnego dnia. Śledztwo wciąż trwa, a dossier nie mówi, ile instancji było wystawionych ani czy dane udało się odzyskać.

Segmentacja sieci ograniczyła szkody. DIVD twierdzi, że napastnik nie ruszył głębiej w ich systemy po początkowym naruszeniu. To niewielkie pocieszenie. Wniosek dla organizacji jest większy: agent AI, który potrafi przeczytać kolejkę zgłoszeń, połączyć dwa błędy i w kilka sekund podnieść uprawnienia, skraca okno reakcji, o którym większość zespołów bezpieczeństwa wciąż myśli, że je ma. Kto kontroluje cykl łatanie, ten kontroluje zegar.

Ten sposób myślenia widać też w szkoleniach. InfoQ ogłosiło dwa pięciotygodniowe zdalne kursy certyfikacyjne na październik 2026: jeden o inżynierii bezpieczeństwa i prywatności AI, startujący 26 października, drugi o inżynierii wspomaganej przez AI, startujący 19 października, skupiony na agentach kodujących pracujących w istniejącej bazie kodu. Katharine Jarmul, która prowadzi kurs bezpieczeństwa, powiedziała, że przegląd bezpieczeństwa AI musi podążać za danymi i decyzjami przez cały system, zmapować, gdzie trafiają dane wrażliwe, przetestować wybrane zabezpieczenia i jasno wskazać, kto odpowiada za pozostałe ryzyko. Zichuan Xiong z Thoughtworks, współprowadzący kurs inżynieryjny, ujął pytanie operacyjne wprost: agent kodujący potrafi szybko wprowadzić zmianę, ale trudniejsze pytanie brzmi, na co mu pozwolono i skąd wiemy, że zmiana jest poprawna.

Agenci rozprzestrzeniają się szybciej niż zabezpieczenia wokół nich

Powierzchnia ataku rośnie w tym samym czasie. Meta ogłosiła swojego osobistego agenta AI Muse jeszcze we wrześniu, a Tailscale opublikował 30 września techniczne wyjaśnienie opisujące, jak Muse dołącza do tailnetu użytkownika jako własny węzeł, może sprawdzać inne maszyny, integrować się z samodzielnie hostowanymi usługami i rozstrzygać sesje Tailscale SSH. Tailscale zaznacza, że implementacja Muse nawiązuje wyłącznie połączenia wychodzące i wymaga wyraźnego potwierdzenia przy pierwszym połączeniu z urządzeniem w tailnecie, a dostęp można odebrać. Wskazuje też oczywiste ryzyko: agent, który widzi samodzielnie hostowane usługi i potrafi korzystać z SSH, to dokładnie ta kombinacja, której obawiają się zespoły bezpieczeństwa.

To samo napięcie widać w niezależnych projektach. Agent Haven, usługa komunikacji szyfrowanej end-to-end dla agentów AI, podaje na swojej stronie, że klient trzyma jedyne klucze, a serwer przekazuje tylko szyfrogram i nie ma po swojej stronie klucza głównego. Przyznaje jednak, że jeśli agent działa na hostowanym modelu, dostawca modelu widzi jego kontekst niezależnie od szyfrowania. Szyfrowanie chroni kanał, nie model.

Jest też prąd odwrotny, który warto odnotować. OpenDLSS-NR, reimplementacja sieci neuronowego renderowania DLSS 5 Nvidii w Vulkanie, opublikowana na GitHubie 30 września, przypomina, że te same techniki agentowe stosuje się do grafiki i renderowania, nie tylko do włamań i obrony. Narzędzia są uniwersalne. Ryzyka też.

Sprawa DIVD to najwyraźniejszy jak dotąd sygnał, że scenariusz z ery dezinformacji, w którym sieć to zbiór kont i stron, ustępuje czemuś szybszemu i trudniejszemu do przypisania. Organizacja obiecała więcej szczegółów. Do tego czasu praktyczny wniosek dla każdego, kto prowadzi Zammada, jest ten, który DIVD już podał: przejść na wersję 7 albo zejść z sieci.