Agenty AI przepisują zasady ataków sieciowych, a obrońcy o tym wiedzą

BleepingComputer poinformował 30 września, że holenderski Instytut Ujawniania Podatności (DIVD) powiązał własne naruszenie z CVE-2026-102489 i CVE-2026-102490, dwiema lukami zero-day w Zammadzie, open-source'owej platformie do zgłoszeń. Użyte razem pozwoliły przejąć sesję, zdalnie wykonać kod i podnieść uprawnienia od zwykłego użytkownika Zammada do roota. Agent działał w kilka sekund. Zostawił po sobie dość logów decyzyjnych, żeby DIVD odtworzyło przebieg incydentu.

Organizacja nazwała wcześniej atak "głośnym i bardzo, bardzo niechlujnym". Niechlujność nie jest tu istotna. Istotna jest szybkość. Człowiek atakujący te same dwie luki potrzebowałby rozpoznania, obchodzenia się z poświadczeniami i ruchu bocznego. Agent zrobił to wszystko bez zewnętrznego sterowania.

Szybkość AI zderza się ze starym opóźnieniem we wdrażaniu poprawek

Zammad nie jest produktem niszowym. Jego strona podaje ponad 2 000 klientów i 55 000 użytkowników, w tym De'Longhi, Amnesty International i NextCloud, podał BleepingComputer. DIVD znalazło luki razem z Merlon Security i powiadomiło dostawcę. Teraz każe użytkownikom przejść na wersję 7 albo natychmiast wyłączyć instancje. Organizacja non-profit zapowiedziała kolejne aktualizacje o incydencie następnego dnia. Śledztwo wciąż trwa. Żaden z raportów nie mówi, ile instancji było wystawionych ani czy dane udało się odzyskać.

Segmentacja sieci ograniczyła szkody. DIVD twierdzi, że po początkowym naruszeniu atakujący nie ruszył głębiej w jego systemy. To niewielka pociecha. Wniosek dla organizacji jest większy. Agent AI potrafi przeczytać kolejkę zgłoszeń, połączyć dwa błędy i podnieść uprawnienia w kilka sekund. To zwija okno reakcji, które większość zespołów bezpieczeństwa wciąż zakłada. Kto kontroluje cykl poprawek, ten kontroluje zegar.

Ten sposób myślenia widać też w szkoleniach. InfoQ ogłosił dwie pięciotygodniowe internetowe grupy certyfikacyjne na październik 2026. Pierwsza obejmuje inżynierię bezpieczeństwa i prywatności AI i zaczyna się 26 października. Druga dotyczy inżynierii wspomaganej przez AI i startuje 19 października, skupiona na agentach kodujących pracujących w istniejącej bazie kodu. Katharine Jarmul, która prowadzi grupę bezpieczeństwa, powiedziała, że przegląd bezpieczeństwa AI musi podążać za danymi i decyzjami w całym systemie. Musi zmapować, gdzie trafiają informacje wrażliwe, przetestować wybrane zabezpieczenia i jasno wskazać, kto odpowiada za pozostałe ryzyko. Zichuan Xiong z Thoughtworks, współprowadzący grupę inżynierską, postawił sprawę operacyjnie. Agent kodujący może szybko wprowadzić zmianę, ale trudniejsze pytanie brzmi, na co mu pozwolono i skąd wiemy, że zmiana jest dobra.

Agenty rozprzestrzeniają się szybciej niż zabezpieczenia wokół nich

Powierzchnia ataku rośnie w tym samym czasie. Meta ogłosiła swojego osobistego agenta AI Muse we wrześniu. Tailscale opublikował 30 września wyjaśnienie techniczne, jak Muse dołącza do tailnetu użytkownika jako własny węzeł. Tam może sprawdzać inne maszyny, integrować się z usługami hostowanymi samodzielnie i rozstrzygać sesje Tailscale SSH. Tailscale zaznacza, że implementacja Muse nawiązuje wyłącznie połączenia wychodzące. Wymaga też wyraźnego potwierdzenia przy pierwszym połączeniu z urządzeniem w tailnecie, a dostęp można cofnąć. Firma wskazuje też oczywiste ryzyko: agent, który widzi samodzielnie hostowane usługi i umie używać SSH, to dokładnie ta kombinacja, której obawiają się zespoły bezpieczeństwa.

To samo napięcie widać w niezależnych projektach. Agent Haven, usługa szyfrowanej end-to-end komunikacji dla agentów AI, podaje na swojej stronie, że klient trzyma jedyne klucze. Serwer przekazuje szyfrogram i nie ma po swojej stronie klucza głównego. Przyznaje też, że jeśli agent działa na modelu hostowanym, dostawca modelu widzi jego kontekst niezależnie od szyfrowania. Szyfrowanie chroni rurę, nie model.

Jeden prąd przeciwny jest tego przypomnieniem. OpenDLSS-NR, reimplementacja w Vulkanie sieci neuronowego renderowania DLSS 5 Nvidii opublikowana na GitHubie 30 września, pokazuje, że te same techniki agentowe stosuje się do grafiki i renderowania, nie tylko do włamań i obrony. Narzędzia są ogólnego przeznaczenia. Ryzyka też.

Sprawa DIVD to najwyraźniejszy jak dotąd sygnał. Playbook z ery dezinformacji traktuje sieć jako zbiór kont i stron. Coś szybszego i trudniejszego do przypisania go wyprzedza. Organizacja obiecała więcej szczegółów. Do tego czasu praktyczny wniosek dla każdego, kto prowadzi Zammada, jest ten, który DIVD już podało: przejdź na wersję 7 albo zejdź do offline.