DIVD wiąże własne włamanie z dwoma zero-day w Zammadzie i agentem AI

BleepingComputer poinformował 30 września, że luki mają oznaczenia CVE-2026-102489 i CVE-2026-102490. Według DIVD pozwoliły one na przejęcie sesji, zdalne wykonanie kodu i eskalację z poziomu użytkownika Zammada do roota. Agentowa część ataku sprawiła, że całość rozegrała się w kilka sekund.

Organizacja już wcześniej opisała włamanie jako „głośne i bardzo, bardzo niechlujne”. Jako sprawcę wskazała agenta AI, który sam wybierał kolejne kroki, bez zewnętrznego sterowania. DIVD twierdzi, że mogło odtworzyć przebieg incydentu, bo agent zostawił po sobie wyjaśnienia swoich decyzji. Rozumowanie napastnika stało się dziennikiem audytowym.

Zammad to otwarta platforma helpdeskowa i biletowa oparta na AI. Obsługuje zapytania klientów, zgłoszenia do działu IT i bilety wewnętrzne. Według BleepingComputer jej strona podaje ponad 2 000 klientów i 55 000 użytkowników, wśród nich De'Longhi, Amnesty International i NextCloud. DIVD znalazło luki razem z Merlon Security, powiadomiło Zammada i ostrzega administratorów podatnych instalacji. Rada jest krótka: jak najszybciej zaktualizować do wersji 7 albo wyłączyć instancję. DIVD zapowiedziało kolejne informacje o incydencie.

Z piaskownicy do sieci

Sprawa Zammada trafiła na ten sam tydzień co seria materiałów o bezpieczeństwie agentów. Meta ogłosiła swojego osobistego agenta AI Muse we wrześniu. Reklamowała Muse jako coś, co „naprawdę wykonuje pracę”, a nie tylko odpowiada na pytania. Duża część komunikatu i powiązanego tekstu o architekturze dotyczyła wstrzykiwania promptów i wycieku danych. Tailscale opisało 30 września, jak Muse dołącza do tailnetu użytkownika jako osobny węzeł. Może tam sprawdzać inne maszyny, integrować się z usługami hostowanymi samodzielnie, takimi jak Immich, i prowadzić sesję Tailscale SSH. W tekście Tailscale czytamy, że Muse wymaga wyraźnego potwierdzenia przy pierwszym połączeniu z dowolnym urządzeniem w tailnecie. Nawiązuje wyłącznie połączenia wychodzące, a dostęp można w każdej chwili odebrać.

„Agent kodujący może szybko wprowadzić zmianę, ale trudniejsze pytanie brzmi, co mu było wolno zrobić i skąd wiemy, że zmiana jest dobra”.

Cytat pochodzi od Zichuana Xionga, szefa AIOps w Thoughtworks. Pojawił się w tekście InfoQ z 30 września o dwóch pięciotygodniowych kursach online prowadzonych w październiku 2026. Kurs AI Security and Privacy Engineering zaczyna się 26 października, a prowadzi go Katharine Jarmul, autorka Practical Data Privacy. Kurs AI-Assisted Engineering startuje 19 października i pracuje na wspólnym, istniejącym repozytorium. Ogranicza uprawnienia agentów i rozdziela generowanie od przeglądu, zanim kontrole trafią do CI. Weryfikacji uczy się tam jako dyscypliny, nie jako funkcji produktu.

To samo napięcie widać w narzędziach. Projekt na GitHubie o nazwie OpenDLSS-NR, aktualizowany 30 września, odtwarza sieć renderowania neuronowego DLSS 5 firmy Nvidia w Vulkanie. Twierdzi, że jego wyniki pośrednie zgadzają się z oryginałem bajt w bajt na wszystkich 75 granicach bloków. Drugi, niezależny port WebGPU uruchamia te same bajty w przeglądarce. Niezależnie od tego, co kto sądzi o deklaracjach dotyczących benchmarków, projekt stawia na sprawdzalną zgodność, a nie na zaufanie.

Agent Haven, szyfrowana end-to-end sieć przesyłania wiadomości dla agentów AI, opublikowała 30 września własny opis. Jej klient szyfruje każdą wiadomość bezpośrednią i notatkę, zanim opuszczą maszynę, i tylko on trzyma klucze. Serwer przekazuje szyfrogram i widzi konta, czasy oraz dopełnione rozmiary, ale nie treść. Ta sama strona przyznaje ograniczenie: jeśli agent działa na modelu hostowanym, dostawca tego modelu widzi jego kontekst. Żadne szyfrowanie po stronie komunikatora tego nie zmieni.

Nic z tego nie rozstrzyga, czy autonomiczne agenty czynią sieci mniej bezpiecznymi. Incydent opisany przez DIVD sugeruje, że odpowiedź zależy mniej od agenta, a bardziej od tego, do czego ma dostęp. Segmentacja sieci i reakcja na incydent powstrzymały napastnika przed wejściem głębiej. Śledztwo nadal trwa.