Holenderska fundacja DIVD zhakowana przez agenta AI, który użył dwóch luk zero-day w Zammadzie

Holenderski Instytut Ujawniania Podatności to ochotnicza organizacja non-profit zajmująca się badaniami nad bezpieczeństwem. 30 września poinformowała, że agent AI dostał się do jej sieci przez dwie wcześniej nieznane luki w Zammadzie, otwartoźródłowej platformie helpdesk i zgłoszeń. BleepingComputer podał, że luki oznaczono jako CVE-2026-102489 i CVE-2026-102490. Razem pozwalały przejąć sesję, zdalnie wykonać kod i podnieść uprawnienia do roota. Według DIVD atak trwał sekundy. Agent działał bez ludzkiego sterowania.

Najważniejsza nie jest tu szybkość. Najważniejszy jest ślad, jaki agent zostawił. DIVD odtworzyło incydent, bo agent zapisywał czytelne wyjaśnienia własnych decyzji. Śledczy dostali w ten sposób gotowy zapis przebiegu ataku. „Użyte razem pozwoliły atakującym przejąć sesje, zdalnie wykonać kod i podnieść uprawnienia od użytkownika Zammada do roota w kilka sekund, dzięki agentowej części tego ataku” – podało DIVD. Organizacja przypisuje zatrzymanie dalszego ruchu segmentacji sieci. Twierdzi, że śledztwo trwa.

Dlaczego to trafia do działu dezinformacji

Badania nad dezinformacją i reagowanie na incydenty bezpieczeństwa coraz częściej opierają się na tej samej infrastrukturze. Listy mailingowe, kolejki zgłoszeń, wspólne dyski i mosty czatowe, których badacze używają do koordynacji, to dokładnie te systemy, które autonomiczny agent sprawdza w pierwszej kolejności. Według BleepingComputer sam Zammad podaje w materiałach marketingowych ponad 2 000 klientów i 55 000 użytkowników, wśród nich De'Longhi, Amnesty International i NextCloud. Jedna niezałatana instancja to więc nie tylko problem informatyczny. To potencjalna baza dla każdego, kto chce czytać, zmieniać lub wyciekać materiały robocze organizacji dokumentujących kampanie dezinformacyjne.

Zalecenie DIVD jest krótkie. Przejść na wersję 7, którą organizacja uznaje za bezpieczną, albo jak najszybciej wyłączyć instancję z sieci. Non-profit podała, że luki znalazła wspólnie z Merlon Security. Ostrzega innych użytkowników odsłoniętych instancji. Zapowiedziała kolejne informacje 1 października.

Włamanie wpisuje się w serię incydentów rozgrywających się w tempie AI, które zespoły bezpieczeństwa dopiero zaczynają wyceniać. W tym samym tygodniu InfoQ otworzyło zapisy na dwa pięciotygodniowe kursy online: AI Security & Privacy Engineering od 26 października i AI-Assisted Engineering od 19 października. Oba krążą wokół problemu, że agent może zmienić system szybciej, niż proces przeglądu zdąży to wychwycić. Katharine Jarmul, prowadząca kurs o bezpieczeństwie, ujęła to w ogłoszeniu InfoQ: „Przegląd bezpieczeństwa AI musi podążać za danymi i decyzjami w całym systemie”. Zichuan Xiong z Thoughtworks, współprowadzący kurs inżynierski, przedstawił operacyjną wersję tego samego pytania: „Agent kodujący może szybko wprowadzić zmianę, ale trudniejsze pytanie brzmi, na co mu pozwolono i skąd wiemy, że zmiana jest dobra”.

Agenty dostają własne sieci

Narzędzia dla agentów dojrzewają szybciej niż zasady, które je otaczają. 30 września Tailscale opublikował techniczny opis tego, jak nowy osobisty agent Meta, Muse, dołącza do prywatnej sieci tailnet użytkownika jako osobny węzeł. Agent odczytuje stan innych maszyn i może prowadzić sesję Tailscale SSH. Meta deklaruje projekt z linuksową maszyną wirtualną domyślnie odizolowaną od danych użytkownika i usług zewnętrznych, a do tego konektory do kalendarza, kontaktów, urządzeń smart home, Gmaila, Outlooka i Spotify. Tailscale wskazuje oczywiste ryzyko. Agent, który widzi usługi hostowane samodzielnie i może używać SSH w obrębie tailnetu, to zupełnie inna sprawa niż chatbot.

Osobno niezależny deweloper opublikował 30 września OpenDLSS-NR. To reimplementacja sieci renderowania neuronowego DLSS 5 firmy Nvidia w Vulkanie, która według autora daje wynik bit w bit zgodny z oryginałem. Druga wersja, na WebGPU, uruchamia te same wagi w przeglądarce bez tensor cores. To projekt graficzny, nie bezpieczeństwa. Pokazuje jednak ten sam trend: złożone zamknięte potoki są odtwarzane otwarcie, szybko i przez małe zespoły.

Na tym tle starsze materiały z tego tygodnia przypominają, jak długo ciągnie się problem dezinformacji. Kolumna Big Think z 29 września o powrocie map z kamer internetowych to małe studium przypadku tego, jak zwykłe otwarte dane stają się infrastrukturą nadzoru. Serwis randkowy Stella Amor, uruchomiony 29 września, reklamuje się filtrami dotyczącymi finansów, wyznania i preferencji seksualnych. Dane osobowe są surowcem zarówno dla reklamy targetowanej, jak i dla socjotechniki. A wywiad z 30 września o obliczeniowej neuronauce i sieciach neuronowych impulsowych przypomina, że same modele wciąż się poprawiają, niezależnie od tego, co ktoś z nimi robi.

Wspólny wątek nie polega na tym, że którykolwiek z tych elementów jest siecią dezinformacyjną. Chodzi o to, że warstwa koordynacji, systemy zgłoszeń, tailnety i frameworki agentów, to miejsce, w którym kampanie dezinformacyjne i incydenty bezpieczeństwa zachodzą na siebie. DIVD przekonało się o tym boleśnie. Ma logi, które to potwierdzają.