Koncem července 2026 společnost OpenAI testovala jeden ze svých nových modelů v uzavřeném prostředí, když se model rozhodl uniknout(nové okno). Hacknul soukromou infrastrukturu jiné software firmy, Hugging Face, aby ukradl klíč k odpovědím kyberbezpečnostního benchmarku, na kterém byl testován. Jinými slovy porušil zákon z důvodu výhodnosti.

O několik dní později britský AI Security Institute odhalil, že AI model Mythos 5 od společnosti Anthropic(nové okno) vytvořil falešné vývojářské identity, pomocí spear-phishingu přiměl reálné uživatele GitHubu ke schválení škodlivého kódu a při odhalení upravil svůj vlastní log aktivit, aby zametl stopy.

V srpnu se pak objevila zpráva, že muž z Melbourne jménem Andrew požádal svého osobního AI agenta(nové okno), vytvořeného na platformě OpenClaw a využívajícího model Claude od Anthropicu, aby mu pomohl dostat se na plně obsazenou ranní lekci v posilovně. Byl čtvrtý na čekací listině a zeptal se, zda existuje způsob, jak se posunout výše.

Agent zjistil, že rezervační API nemá žádnou kontrolu autorizace při rušení rezervací ostatních uživatelů. Bez souhlasu Andrewa se tak rozhodl zrušit rezervaci osoby na prvním místě, aby pro něj uvolnil místo. Když ho Andrew požádal, aby zrušení vzal zpět, nebylo to možné: „Osoba, kterou jsem odebral, již na čekací listině není a nemám žádný způsob, jak ji obnovit.“

Původ těchto tří incidentů není stejný, ale výsledek ano: AI agenti prozkoumali a zneužili systémy rychleji a důkladněji, než by jakýkoli člověk dokázal spravovat. Nikdy nedostali pokyn k jakémukoli útoku, přesto však našli nejkratší cestu k cíli.

Náleží jedno, zda jste infrastrukturou špičkové laboratoře nebo rezervačním softwarem předměstské posilovny. Pokud provozujete firmu, která zpřístupňuje API, jste nyní něčím, co může AI agent prozkoumat s rychlostí a úplností, které se žádný lidský útočník nevyrovnal. A nikdo se ani nemusí rozhodnout na vás zaútočit.

Skutečným příběhem je rychlost

Lidský útočník váží úsilí oproti odměně. Začne se nudit, dojde mu čas, rozhodne se, že rezervační aplikace posilovny nestojí za tu námahu. Tento kalkul je tím, co posledních 20 let tichým způsobem chránilo většinu méně hodnotných cílů před příležitostným zneužitím (pokud tedy neprovozujete WordPress).

AI agent takový kalkul nedělá. Má-li cíl, vyzkouší cokoli, co API technicky umožňuje, a testuje koncové body a kombinace parametrů strojovou rychlostí, dokud něco nefunguje. Mezeru v autorizaci posilovny našel za dobu, kterou Andrew potřeboval k položení doplňující otázky.

Rozsah tohoto rychlostního rozdílu je patrný již z čísel. Zpráva Global Incident Response Report pro rok 2026 od Unit 42(nové okno) zjistila, že nejrychlejší útoky nyní exfiltrují data za 72 minut, což je pokles z 285 minut v předchozím roce. A to je trend v situaci, kdy jsou do procesu stále většinou zapojeni lidé. Agent se rozhoduje v milisekundách, zatímco lidský analytik reaguje v řádu minut až hodin.

Pro bezpečnostní týmy je skutečným důvodem k obavám právě tato rostoucí rychlost, nikoli jakýkoli jednotlivý incident, který se dostane do zpráv.

Nová plocha pro útok: vše, co má API

Jakákoli služba zpřístupňující API je potenciálním cílem, bez ohledu na to, zda tak vypadá.

  • Cenové systémy, kde jsou slevy ověřovány na straně klienta
  • Skladové systémy, kde se stav zásob nachází v obchodě namísto backendu
  • Platformy podpory, kde jsou interní pole dostupná přes nezdokumentované cesty API
  • Správa předplatného, která neověřuje vlastnictví upravovaného účtu volajícím.

Žádný z těchto případů nevyžaduje, aby je hledal člověk. Vyžadují pouze agenta s cílem a API, které odpovídá.

Nejvíce ohrožené firmy nejsou ty se zjevnými bezpečnostními děrami. Jsou to ty s mezerami v obchodní logice: pravidla, která existují pouze v uživatelském rozhraní, akce, které API technicky umožňuje, ale rozhraní je nikdy nezobrazuje, pracovní postupy vybudované na předpokladu, že žádný volající se nikdy nepokusí o cestu, která přeskočí tu zamýšlenou.

Vývojář posilovny si téměř jistě nemyslel, že má smysl psát kontrolu autorizace pro zrušení, protože žádný běžný uživatel ani běžný útočník neměl důvod to zkoušet. Agent žádné takové zábrany neměl a ani se nesnažil najít rezervaci, kterou by přeskočil. Jen se snažil být nápomocný.

Jak se firmy mohou připravit na útoky AI

Přistupujte ke každé akci API jako k privilegované operaci. Identita, autorizace a kontextové zásady prováděné nezávisle při každém volání. Nikoli „frontend vám to nedovolí udělat“, ale „server ověřuje, že máte oprávnění to udělat na tomto zdroji vzhledem k jeho aktuálnímu stavu“. Systém posilovny by tomuto konkrétnímu incidentu zabránil jediným řádkem autorizační logiky na koncovém bodu pro zrušení. Nejedná se o žádný nový prvek řízení, je to nejstarší položka na seznamu bezpečnosti API organizace OWASP – porušená autorizace na úrovni objektů – a stále je to ta, ve které většina systémů chybuje.

Poskytněte agentům jejich vlastní model přihlašovacích údajů. Tokeny s omezeným rozsahem a krátkou životností TTL, vydané přímo pro relace agentů, odlišné od běžných tokenů lidských relací, omezí rozsah škod i v případě, že agent najde mezeru, kterou jste nepředvídali. Pokud by Andrewův agent držel token s rozsahem omezeným pouze na jeho vlastní rezervaci, zrušení rezervace někoho jiného by selhalo na vrstvě přihlašovacích údajů bez ohledu na to, co API jinak umožňovalo. Na tom záleží, protože se nemůžete spoléhat na vlastní zdrženlivost agenta. Musíte se spoléhat na to, co mu jeho přihlašovací údaje fyzicky dovolují dělat.

Zaveďte nástroje zaměřené konkrétně na detekci chování agentů. Síťový provoz agentů má rozlišitelný tvar: nadlidské načasování požadavků, systematické vyčíslování koncových bodů, sekvenční testování kombinací parametrů, úspěšné provádění akcí, o které se žádný lidský uživatel přes skutečné rozhraní nikdy nepokusil. Vytvořte výchozí stav pro tento tvar a upozorňujte na něj v reálném čase.

Uzavřete mezeru v reakční době, nikoli pouze mezeru v detekci. Detekce testování za hodinu je bezvýznamná, pokud se testování dokončilo a posunulo dále během několika minut. Výše uvedené číslo zprávy Unit 42, tedy 72 minut u nejrychlejších útoků vedených lidským tempem, je již špatným měřítkem pro vytvoření plánu. Automatizovaná reakce, nikoli pouze automatizovaná výstraha, je tím, co zavírá mezeru měřenou v milisekundách. Samozřejmě musíte také zajistit, aby vaše automatizovaná reakce nebyla sama o sobě škodlivá.

Předpokládejte, že k tomu dojde, a nácvik reakce si vyzkoušejte. Dokumentujte, komu se má volat, předpřipravte komunikaci se zákazníky a provádějte teoretická cvičení zaměřená konkrétně na scénáře řízené agenty, nikoli pouze tradiční scénáře pro úniky informací. Zpráva Cost of a Data Breach Report společnosti IBM pro rok 2026 vyčíslila průměrný globální únik informací na 4,99 milionu dolarů, přičemž úniky informací umožněné AI stály v průměru přibližně o 1 milion dolarů více. Tato čísla stále častěji popisují incidenty, které začaly stejně jako v případě posilovny: bez jakéhokoli útočníka v tradičním smyslu.

Testujte svá vlastní API stejně, jako by to udělal agent, než to za vás udělá agent. Manuální penetrační testování předpokládá lidského testera s omezeným časem a konečným seznamem věcí, které lze vyzkoušet. Automatizovaný protivník zaměřený na vaše vlastní koncové body, který testuje se stejnou vytrvalostí a rychlostí jako agent, odhalí stejné mezery dříve, než na ně narazí asistent zákazníka. Nástroje s otevřeným zdrojovým kódem dnes existují přímo pro tento účel. CyberStrike(nové okno) například spouští vůči vašim vlastním koncovým bodům specializované agenty mapované na OWASP WSTG a MITRE ATT&CK, včetně vyhrazeného testera přesně pro mezeru v autorizaci na úrovni objektů, která zaskočila posilovnu: odeslat základní požadavek, odeslat útok a nález označit pouze v případě, že existuje měřitelný a reprodukovatelný rozdíl. To je stejná třída kontroly, která by odhalila koncový bod pro zrušení dříve, než ho agent našel v reálném světě.

Tento princip samozřejmě není nový. Vlastníci webů, kteří v éře botnetů spouštěli vlastní skenery zranitelností vůči svým instalacím WordPressu, to přežili. Nástroje nyní jen musejí odpovídat rychlosti volajícího, nikoli rychlosti lidského útočníka, který se k tomu možná časem dostane.