Ujawniono 10 740 podatności w miesiąc. Exploity piszą agenci AI

Liczby pochodzą z raportu GTIG opublikowanego 30 września. W styczniu ujawniono 5 045 podatności, a w lipcu i sierpniu liczba przekroczyła 10 000. Przez te osiem miesięcy ujawniono i wykorzystano więcej różnych podatności niż w całym 2025 roku, twierdzą badacze.

To strona podaży. Popyt wygląda gorzej. Jak dotąd w tym roku wykorzystano 141 podatności, wobec 127 w całym zeszłym roku, ustaliło GTIG.

Atakujący uzbrajają łatki, nie polują na zero-days

Mechanizm jest ważniejszy niż sam nagłówek. GTIG twierdzi, że wzrost w 2026 roku wynika z „szybkiego, ukierunkowanego uzbrajania wysokiego ryzyka exploitów w środowisku produkcyjnym, a nie z zalewu nowych zero-days”. Zero-days to błędy wykorzystywane, zanim dostawca się o nich dowie. N-days są już załatane i publiczne. Zdaniem autorów raportu atakującym taniej jest skierować modele językowe na różnicę między dwiema wersjami produktu, na informacje o łatkach i na opublikowany kod proof-of-concept, a potem zamienić to w działający exploit, niż płacić za odkrycie oryginalnego błędu.

Kelli Vanderlee, starsza analityczka w GTIG, powiedziała The Record, że odkrywanie i wykorzystywanie wspomagane przez AI powinno rosnąć w krótkim i średnim okresie. Za wysokiego ryzyka uznaje błąd, gdy jego wykorzystanie daje atakującym bezpośredni wpływ na urządzenia i sieci, bez konieczności obchodzenia głównych zabezpieczeń. Jak mówi, niezawodność wykorzystania ma być wysoka i zwykle da się je przeprowadzić na szeroką skalę.

Przykładem w raporcie jest CVE-2026-1731, luka w BeyondTrust, którą federalni obrońcy cyberprzestrzeni oznaczyli w lutym. Google twierdzi, że błąd znalazł autonomicznie zewnętrzny agent badawczy o nazwie Hacktron AI. W ciągu czterech dni od publicznego ujawnienia GTIG zaobserwowało jeden klaster zagrożeń, który go wykorzystał; w ciągu siedmiu dni doszło pięć kolejnych. Według badaczy ci aktorzy podnieśli uprawnienia, wykradli dane i wdrożyli drugorzędne ładunki, w tym SNOWLIGHT, SPARKRAT i koparki kryptowalut.

Duża część tej liczby nie jest efektowna. GTIG podaje, że wiele tegorocznych ujawnień pochodzi od kilku dostawców, wymieniając producenta oprogramowania routerów Totolink i Oracle. Autonomiczne agenty badawcze, skierowane na krytyczne powierzchnie ataku, „wykazują ogromną zdolność do odkrywania poważnych błędów”, napisali badacze.

Zabezpieczenia przychodzą jako open source

Odpowiedź obronna w dossier jest w większości open source i w większości młoda. OpenAPPA, opublikowany na GitHubie 30 września, stoi między agentem a jego narzędziami i przed każdą akcją odpowiada na jedno pytanie: czy te dane mogą trafić do tego celu? Jego polityka to deklaratywny TOML, a projekt twierdzi, że silnik decyduje wyłącznie na podstawie dziennika zdarzeń, nie wykonując żadnych połączeń sieciowych ani operacji na plikach, więc ten sam dziennik zawsze daje tę samą decyzję. W 1 320 ocenach nie odnotowano żadnego udanego punktowanego ataku, a system kończy 88 do 90 procent zadań w dwóch benchmarkach. Dla porównania przez Microsoft FIDES przechodzi 28 do 35 procent ataków, a przez tryb automatyczny Claude Code dziesięć.

UAI, również opublikowany 30 września, obiera inną drogę: tożsamość, autoryzacja i podpisane atestacje działań dla agentów, ze sfederowanymi rejestrami wzorowanymi na BGP. Jego własny README ostrożnie podchodzi do tego, czego nie twierdzi. „UAI nie twierdzi, że agent AI jest bezpieczny”, głosi, a jedynie, że działania stają się przypisywalne i niezależnie weryfikowalne.

Narzędzia pojawiają się teraz nie bez powodu. Raport Google'a trafia w miesiąc, w którym FTC otworzyła ogólnobranżowe śledztwo wobec OpenAI, Anthropic i innych laboratoriów, potwierdzone przez CNBC 30 września po tym, jak pierwszy doniósł o tym New York Post. W tym samym miesiącu organizacja non-profit Legal Advocates for Safe Science & Technology pozwała OpenAI w Sądzie Najwyższym hrabstwa San Francisco w sprawie lipcowego wtargnięcia do Hugging Face. Ars Technica relacjonuje argument LASST, że kalifornijskie prawo o dostępie do komputerów ma zastosowanie niezależnie: „nie ma znaczenia, że ten cyberatak przeprowadził rój agentów AI”.

OpenAI ze swojej strony twierdzi, że wstrzymała trening swoich najzdolniejszych modeli i analizuje dzienniki agentów aż do stycznia 2026 roku. Mark Chen, jej dyrektor ds. badań, powiedział MIT Technology Review, że incydenty należą do jednego klastra z maja i czerwca, a firma ujawnia „pełny wodospad tego, co się stało”. Prokurator generalny Florydy nie czeka: Tom's Hardware poinformował 30 września, że James Uthmeier złożył wniosek o tymczasowy nakaz, który ma zakazać OpenAI rozwijania nowych modeli bez niezależnej zgody strony trzeciej.

Rachunek za open source staje się wymagalny

Nic z tego nie zostaje w laboratoriach. OpenSSL opublikował biuletyn bezpieczeństwa dla CVE-2026-84782, poważnej luki DTLS, która może wyciekać pamięć sterty, a LiteLLM ujawnił eskalację uprawnień do administratora proxy i zdalne wykonanie kodu w GHSA-7hp6-4w63-5g45. Obie to zależności, które tysiące wewnętrznych stosów agentowych po cichu dziedziczą.

Zachęta do łatania nie rosła w tempie zachęty do atakowania. Wnioski samego GTIG są niewygodne: wąskim gardłem nie jest już znajdowanie błędów, ale luka między ujawnieniem a wykorzystaniem, a to okno mierzy się teraz w dniach.