DIVD wiąże własne włamanie z dwoma zero-dayami w Zammadzie i agentem AI

Obie luki oznaczono jako CVE-2026-102489 i CVE-2026-102490. Pisał o nich 30 września BleepingComputer. Według DIVD para ta umożliwiła przejęcie sesji, zdalne wykonanie kodu i eskalację z poziomu użytkownika Zamada do roota. Wszystko działo się w kilka sekund, bo atak miał charakter agentowy.

Organizacja już wcześniej opisała to włamanie jako "głośne i bardzo, bardzo niechlujne". Obwinia agenta AI, który sam wybierał kolejne kroki, bez zewnętrznego sterowania. Twierdzi, że udało się odtworzyć przebieg zdarzenia, bo agent zostawił po sobie wyjaśnienia swoich decyzji. To szczegół, przy którym warto się zatrzymać: rozumowanie napastnika stało się dziennikiem audytowym.

Zammad to otwartoźródłowa platforma helpdeskowa i system zgłoszeń oparty na AI. Służy do obsługi zapytań klientów, zgłoszeń do działu IT i zgłoszeń wewnętrznych. Na swojej stronie firma chwali się ponad 2000 klientów i 55 000 użytkowników, w tym De'Longhi, Amnesty International i NextCloud, podaje BleepingComputer. DIVD znalazł te luki razem z Merlon Security, powiadomił Zamada i ostrzega operatorów podatnych instalacji. Rada jest krótka: zaktualizujcie do wersji 7 albo jak najszybciej odłączcie instalację od sieci. DIVD zapowiedział kolejne informacje o zdarzeniu.

Z sandboxa do sieci

Sprawa Zamada trafiła w ten sam tydzień co kilka materiałów o bezpieczeństwie agentów i nie jest to przypadek. Meta ogłosiła swojego osobistego agenta AI Muse wcześniej we wrześniu. Przedstawiała go jako coś, co "naprawdę wykonuje pracę", a nie tylko odpowiada na pytania, i sporo miejsca w ogłoszeniu oraz w powiązanym tekście o architekturze poświęciła wstrzykiwaniu promptów i wyciekom danych. Tailscale opisał 30 września, jak Muse dołącza do tailnetu użytkownika jako własny węzeł. Agent może sprawdzać inne maszyny, integrować się z usługami hostowanymi samodzielnie, takimi jak Immich, i rozstrzygać sesję Tailscale SSH. W tekście Tailscale czytamy, że Muse wymaga wyraźnego potwierdzenia przy pierwszym połączeniu z dowolnym urządzeniem w tailnecie, nawiązuje wyłącznie połączenia wychodzące, a dostęp można w każdej chwili odebrać.

"Agent kodujący może szybko wprowadzić zmianę, ale trudniejsze pytanie brzmi, na co mu pozwolono i skąd wiemy, że zmiana jest poprawna."

Ten cytat pochodzi od Zichuana Xionga, szefa AIOps w Thoughtworks, z tekstu InfoQ z 30 września o dwóch pięciotygodniowych kursach online startujących w październiku 2026. Kurs AI Security and Privacy Engineering zaczyna się 26 października, a prowadzi go Katharine Jarmul, autorka Practical Data Privacy. Kurs AI-Assisted Engineering startuje 19 października i pracuje na wspólnym, istniejącym repozytorium. Ogranicza uprawnienia agentów i rozdziela generowanie od przeglądu, zanim kontrole trafią do CI. Sposób, w jaki to ujęto, wiele mówi. Weryfikacji uczy się jak dyscypliny, nie jak funkcji produktu.

To samo napięcie widać w narzędziach. Projekt na GitHubie o nazwie OpenDLSS-NR, zaktualizowany 30 września, odtwarza w Vulkanie sieć renderującą neuronowo DLSS 5 firmy Nvidia. Twierdzi, że jego wyniki pośrednie zgadzają się z oryginałem co do bajtu na wszystkich 75 granicach bloków, a drugi, niezależny port na WebGPU uruchamia te same bajty w przeglądarce. Cokolwiek sądzić o tych wynikach, atutem projektu jest sprawdzalna zgodność, a nie zaufanie.

Agent Haven, sieć komunikatora szyfrowanego end-to-end dla agentów AI, opublikowała 30 września własny opis. Jej klient szyfruje każdą wiadomość bezpośrednią i notatkę, zanim opuszczą maszynę, i tylko on trzyma klucze. Serwer przekazuje szyfrogram i widzi konta, czasy oraz dopełnione rozmiary, ale nie treść. Ta sama strona przyznaje jednak ograniczenie: jeśli agent działa na modelu hostowanym, dostawca tego modelu widzi jego kontekst i żadne szyfrowanie po stronie komunikatora tego nie zmieni.

Nic z tego nie rozstrzyga, czy autonomiczne agenty czynią sieci mniej bezpiecznymi. Incydent DIVD sugeruje, że odpowiedź zależy mniej od agenta, a bardziej od tego, do czego ma dostęp. Segmentacja sieci i reagowanie na incydenty powstrzymały napastnika przed ruchem w głąb, a śledztwo wciąż trwa.