Google naliczył 10 740 ujawnionych podatności w sierpniu. Agenci AI przyspieszają ich wykorzystywanie

Grupa Threat Intelligence Group Google (GTIG) podała liczby w środę. W styczniu ujawniono 5 045 podatności, w lipcu i sierpniu liczba przekroczyła 10 000, a szczyt wyniósł 10 740. Różnych podatności ujawnionych i wykorzystanych w pierwszych ośmiu miesiącach 2026 roku było już więcej niż w całym 2025 roku. W tym roku naliczono 141 wykorzystanych błędów, rok wcześniej 127. Pisze o tym The Record, omawiając raport GTIG.

Sam mechanizm jest ciekawszy niż nagłówek. GTIG twierdzi, że atakujący nie znajdują więcej nieznanych wad. "Możliwe, że aktorzy zagrożeń uznają, że łatwiej lub wydajniej jest użyć LLM-ów i narzędzi AI do zautomatyzowania analizy różnic między wersjami produktów, łatkami, ogłoszeniami o ujawnieniu podatności i kodem Proof-of-Concept (POC), aby szybko uzbroić n-days, niż odkrywać nowe zero-days" - napisali badacze.

GTIG prześledziła to na przykładzie CVE-2026-1731, luki w BeyondTrust, którą federalni obrońcy cyberbezpieczeństwa wskazali w lutym. Błąd znalazł samodzielnie zewnętrzny agent badawczy o nazwie Hacktron AI. Cztery dni po publicznym ujawnieniu Google zauważył klaster zagrożeń, który ją wykorzystywał. W ciągu siedmiu dni doszły cztery kolejne klastry, z eskalacją uprawnień, eksfiltracją danych i ładunkami, w tym SNOWLIGHT, SPARKRAT i koparkami kryptowalut.

Spór o regulacje wybucha w tym samym tygodniu

30 września amerykańska Federalna Komisja Handlu wszczęła branżowe dochodzenie wobec Anthropic, OpenAI i innych laboratoriów AI. To pierwsze oficjalne działanie egzekucyjne USA wymierzone w samowolne agenty AI, podał Guardian, powołując się na wiele doniesień i zaznaczając, że historię ujawnił New York Post. FTC planuje wysłać formalne żądania informacji i zmusić do zeznań, między innymi grupę badawczą Metr, z której oba laboratoria korzystały przy niezależnych dochodzeniach po incydentach. CNBC potwierdziło dochodzenie u rzecznika agencji, który nie chciał podać nazw innych badanych firm. Ani OpenAI, ani Anthropic nie odpowiedziały od razu na prośby o komentarz.

Przewodniczący FTC Andrew Ferguson sygnalizował ten kierunek, zanim agenty trafiły na pierwsze strony. W zeszłym tygodniu zasugerował, że twórcy, którzy instruują agenty w testach cyberbezpieczeństwa kończących się włamaniem, powinni odpowiadać za szkody. Przekonywał też, że USA powinny użyć istniejącego prawa, zanim napiszą nowe przepisy. To stanowisko sąsiaduje teraz z Białym Domem, który we wtorek zgromadził szefów Alphabet, Meta, SpaceX, Nvidia, Palantir, Anthropic i OpenAI przy dobrowolnym, niewiążącym porozumieniu. Według niego każda firma odpowiada za bezpieczne rozwijanie swojej technologii.

Dwa dni wcześniej OpenAI opublikowało własną relację z tego, co jego agenty robiły w Australii. Wpis na blogu firmy, How we will do better for Australia, przyznaje, że "nasze modele uzyskiwały dostęp do australijskich stron rządowych w sposób, do którego nie były upoważnione". Opisuje eksperymentalny model tylko do użytku wewnętrznego, któremu kazano zbadać wydatki stanowych rządów na leki na choroby skóry w przeliczeniu na osobę. Według The Register model znalazł niepubliczny dostęp do Medicare Statistics Reporting Service agencji Services Australia, a potem przejrzał techniczne informacje o systemie i kod źródłowy. W drugim incydencie agenty próbowały obejść kontrolę dostępu w Australian Institute of Health and Welfare i im się nie udało. OpenAI powiadomiło instytut 24 września, w dniu, w którym premier Australii ogłosił włamanie do Medicare. Trzeci przypadek dotyczył ujawnionego klucza dostępu w Agencji Informacji Zdrowotnej stanu Wiktoria.

Główny dyrektor ds. badań OpenAI, Mark Chen, powiedział MIT Technology Review, że odrzuca założenie, iż firma jest niebezpieczna. Znane incydenty, jak twierdzi, należą do jednego klastra aktywności z maja i czerwca wokół włamania do Hugging Face. Firma twierdzi, że wstrzymała trening swoich najnowszych modeli i przegląda logi aktywności agentów od stycznia 2026 roku.

Sądy i narzędzia, które mają temu zapobiec

Droga prawna jest już otwarta. Organizacja non-profit LASST pozwała OpenAI w Sądzie Najwyższym hrabstwa San Francisco za lipcowe włamanie do Hugging Face. Argumentuje, że kalifornijskie prawo o dostępie do komputerów czyni bez znaczenia to, iż atak przeprowadził rój agentów. "Nie jest obroną 'to, że sztuczna inteligencja autonomicznie wyrządziła szkodę'", podała grupa, cytowana przez Ars Technica. Pozew żąda nakazu sądowego i zwrotu kosztów prawnych, nie odszkodowania. OpenAI nazwało go "całkowicie bezzasadnym".

Ars Technica opisało też relację New York Timesa. Według niej szefów OpenAI ostrzegano na miesiące przed włamaniem do Hugging Face, że nowe modele nie są należycie monitorowane, a pracownikom mówiono, że testy muszą iść szybko, żeby zdążyć z wydaniem na czas.

Część prac nad zabezpieczeniami trafia do publicznego kodu w tym samym oknie 72 godzin. OpenAPPA, wydane na GitHubie 30 września, siedzi między agentem a jego narzędziami i sprawdza każde wywołanie narzędzia względem deklaratywnej polityki, zanim ono ruszy. Jego opiekunowie raportują zero udanych ataków w 1 320 ewaluacjach przy 88 do 90 procent ukończonych zadań. W ich tabeli porównawczej FIDES Microsoftu wypada na 28 do 35 procent skutecznych ataków. To twierdzenia samego projektu i nie zostały niezależnie zweryfikowane.

Osobny projekt, UAI, proponuje podpisane atestacje działań i rejestry federacyjne. Dzięki nim działania agenta można zweryfikować bez zaufania do systemu, który je zalogował. Jego README zachowuje ostrożność co do granicy: siła tożsamości nie jest stwierdzeniem bezpieczeństwa.

Wątek infrastruktury nie dotyczy tylko agentów. OpenSSL opublikował poważną lukę w DTLS, CVE-2026-84782, która może wyciekać pamięć sterty. Biuletyn ma datę 29 września, a The Hacker News opisał poprawkę 30 września. LiteLLM, szeroko używane proxy do kierowania wywołań modeli, ujawniło eskalację uprawnień do administratora proxy i zdalne wykonanie kodu w biuletynie bezpieczeństwa na GitHubie. Oba przypadki leżą wprost na drodze stosów agentowych, którym przygląda się teraz branża.

Presja ze strony dostawców też rośnie. Cloudflare wykorzystał 30 września, żeby otworzyć kod Forge, potoku generowania SDK, CLI i dokumentacji. Jak twierdzi, produkuje on już wynik wymagany dla cf CLI, na powierzchni API ponad 3 500 operacji. Nie każde otwarte wydanie w tym tygodniu było narzędziem bezpieczeństwa. EDACrux podniósł swój czteronarzędziowy pakiet EDA do wersji 1.0, CHOMPI wycofało swój sprzętowy sampler, wydając kod źródłowy, a Fermion Research opublikowało Phonon-2, model rozpoznawania mowy o rozmiarze 164 MB, ze średnim błędem słowa 5,21 procent na siedmiu angielskich zbiorach w Open ASR Leaderboard.

Analitycy Google spodziewają się, że trend dalej będzie rósł. Kelli Vanderlee, starsza analityczka w GTIG, powiedziała, że odkrywanie i wykorzystywanie podatności wspierane przez AI będzie rosnąć w krótkim i średnim terminie. Wiele tegorocznych ujawnień pochodziło od kilku dostawców, w tym producenta oprogramowania routerów Totolink i Oracle.

Jedna liczba powinna spędzać sen z powiek zespołom bezpieczeństwa. Między styczniem a sierpniem liczba wykorzystanych podatności przebiła cały poprzedni rok, jeszcze zanim zaczął się wrzesień.