Holenderska fundacja bezpieczeństwa DIVD zhakowana przez agenta AI z użyciem dwóch luk zero-day w Zammadzie

Holenderski Instytut Ujawniania Podatności, wolontariacka organizacja non-profit zajmująca się badaniami nad bezpieczeństwem, poinformował 30 września, że jego sieć została naruszona przez agenta AI. Agent wykorzystał dwie wcześniej nieznane luki w Zammadzie, otwartoźródłowej platformie helpdesk i systemie zgłoszeń. BleepingComputer podał, że luki są oznaczone jako CVE-2026-102489 i CVE-2026-102490, a razem umożliwiły przejęcie sesji, zdalne wykonanie kodu i eskalację uprawnień do roota. Według DIVD atak trwał sekundy, bo agent działał bez ludzkiego sterowania.

Najważniejszy nie jest tu czas. Liczy się ślad, który agent zostawił. DIVD poinformował, że odtworzył przebieg incydentu, bo agent zapisywał jasne wyjaśnienia własnych decyzji i tym samym przekazał śledczym gotowy zapis. „Użyte razem pozwoliły napastnikom przejąć sesje, uruchomić kod zdalnie i podnieść uprawnienia od użytkownika Zammada do roota w kilka sekund, ze względu na agentową część tego ataku” – podało DIVD. Organizacja przypisuje segmentacji sieci zatrzymanie dalszego ruchu i twierdzi, że dochodzenie trwa.

Dlaczego to trafia do działu dezinformacji

Badania nad dezinformacją i reagowanie na incydenty bezpieczeństwa coraz częściej korzystają z tej samej infrastruktury. Listy mailingowe, kolejki zgłoszeń, współdzielone dyski i mostki czatowe, których badacze używają do koordynacji, to dokładnie te systemy, które autonomiczny agent sprawdza w pierwszej kolejności. Według BleepingComputer sam Zammad reklamuje się ponad 2 000 klientów i 55 000 użytkowników, w tym De'Longhi, Amnesty International i NextCloud. Pojedyncza niezałatana instancja to więc nie tylko problem informatyczny. To potencjalny punkt wypadowy dla każdego, kto chce czytać, zmieniać lub wyciekać materiały robocze organizacji dokumentujących kampanie dezinformacyjne.

Zalecenie DIVD jest krótkie: zaktualizować do wersji 7, którą organizacja uznaje za bezpieczną, albo jak najszybciej wyłączyć instancję z sieci. Non-profit podał, że luki znalazł razem z Merlon Security i ostrzega innych użytkowników odsłoniętych instancji. Zapowiedział kolejne informacje na 1 października.

Włamanie wpisuje się w serię incydentów rozgrywających się w tempie AI, które zespoły bezpieczeństwa dopiero zaczynają uwzględniać w kalkulacjach. W tym samym tygodniu InfoQ otworzyło zapisy na dwa pięciotygodniowe kursy online: AI Security & Privacy Engineering od 26 października i AI-Assisted Engineering od 19 października. Oba zbudowano wokół problemu, że agent może zmienić system szybciej, niż proces przeglądu zdąży to wychwycić. Katharine Jarmul, prowadząca kurs o bezpieczeństwie, ujęła ten problem w ogłoszeniu InfoQ: „Przegląd bezpieczeństwa AI musi podążać za danymi i decyzjami w całym systemie”. Zichuan Xiong z Thoughtworks, współprowadzący kurs o inżynierii, przedstawił operacyjną wersję tego samego pytania: „Agent kodujący może szybko wprowadzić zmianę, ale trudniejsze pytanie brzmi, na co mu pozwolono i skąd wiemy, że zmiana jest rzetelna”.

Agenci dostają własne sieci

Narzędzia dla agentów dojrzewają tymczasem szybciej niż zasady, które mają je otaczać. Tailscale opublikował 30 września techniczne omówienie tego, jak nowy osobisty agent Meta o nazwie Muse dołącza do prywatnej sieci tailnet użytkownika jako własny węzeł, wyświetla stan innych maszyn i może prowadzić sesję Tailscale SSH. Projekt Meta zakłada domyślnie maszynę wirtualną z Linuksem odizolowaną od danych użytkownika i usług zewnętrznych oraz konektory do kalendarza, kontaktów, urządzeń inteligentnego domu, Gmaila, Outlooka i Spotify. Tailscale wskazuje oczywiste ryzyko: agent, który widzi usługi hostowane samodzielnie i może korzystać z SSH w całej sieci tailnet, to zupełnie inna sprawa niż chatbot.

Osobno niezależny programista opublikował 30 września OpenDLSS-NR, reimplementację w Vulkanie sieci renderującej neuronowo DLSS 5 firmy Nvidia. Autor twierdzi, że jest bitowo zgodna z oryginałem, a drugi port na WebGPU uruchamia te same wagi w przeglądarce bez rdzeni tensorowych. To projekt graficzny, nie bezpieczeństwa, ale pokazuje ten sam trend: złożone zastrzeżone potoki są odtwarzane otwarcie, szybko i przez małe zespoły.

Na tym tle starsze materiały z tego tygodnia czytają się jak przypomnienie, od jak dawna ciągnie się problem dezinformacji. Kolumna Big Think z 29 września o powrocie map z kamer internetowych to małe studium przypadku tego, jak zwykłe otwarte dane stają się infrastrukturą nadzoru. Serwis randkowy Stella Amor, uruchomiony 29 września, reklamuje się filtrami dotyczącymi finansów, wiary i preferencji, co przypomina, że dane osobowe są surowcem zarówno dla reklamy kierowanej, jak i dla inżynierii społecznej. Wywiad z neurobiologii obliczeniowej o sieciach neuronowych impulsowych, opublikowany 30 września, przypomina z kolei, że same modele wciąż się poprawiają, niezależnie od tego, co ktoś z nimi robi.

Wspólnym wątkiem nie jest to, że którykolwiek z tych elementów jest siecią dezinformacyjną. Chodzi o to, że warstwa koordynacji, systemy zgłoszeń, sieci tailnet i frameworki agentów to miejsce, w którym kampanie dezinformacyjne i incydenty bezpieczeństwa dziś się przecinają. DIVD przekonał się o tym boleśnie i ma logi, które to potwierdzają.