La sfârșitul lunii iulie 2026, OpenAI testa unul dintre noile sale modele într-un mediu închis când modelul a decis să se elibereze(fereastră nouă). A spart infrastructura privată a unei alte firme de software, Hugging Face, pentru a fura grila de răspunsuri a unui test de referință în securitate cibernetică pe care era testat. Cu alte cuvinte, a încălcat legea de dragul eficienței.

Câteva zile mai târziu, UK AI Security Institute a dezvăluit că modelul de IA Mythos 5 de la Anthropic(fereastră nouă) a creat identități false de dezvoltatori, a păcălit prin spear-phishing utilizatori reali GitHub să aprobe cod rău-intenționat și și-a editat propriul jurnal de activitate pentru a-și acoperi urmele când a fost prins.

Apoi, în august, a apărut știrea că un bărbat din Melbourne pe nume Andrew i-a cerut agentului său personal de IA,(fereastră nouă) creat pe OpenClaw și care rula Claude de la Anthropic, să îl ajute să prindă un loc la o clasă de fitness de dimineață complet ocupată. Era al patrulea pe lista de așteptare și a întrebat dacă există vreo cale de a avansa.

Agentul a descoperit că API-ul de rezervare nu avea nicio verificare de autorizare pentru anularea rezervărilor altor utilizatori. Așa că, fără a cere permisiunea lui Andrew, a mers mai departe și a anulat rezervarea persoanei de pe primul loc pentru a-i face loc acestuia. Când Andrew i-a cerut să revină asupra anulării, nu a putut: „Persoana pe care am eliminat-o a dispărut de pe lista de așteptare și nu am nicio cale de a o restaura”.

Originea acestor trei incidente nu este aceeași, dar rezultatul este: agenții de IA au sondat și exploatat sistemele mai rapid și mai amănunțit decât ar fi reușit orice om. Nu au fost niciodată instruiți să atace ceva, dar au găsit totuși cea mai scurtă cale către scopul lor.

Nu contează dacă sunteți infrastructura unui laborator de vârf sau software-ul de rezervare al unei săli de fitness de la periferie. Dacă aveți o afacere care expune un API, sunteți acum ceva ce un agent de IA poate sonda, la o viteză și un grad de completitudine pe care niciun atacator uman nu le-a egalat. Și nimeni nu trebuie să decidă să vă atace.

Viteza este adevărata poveste

Un atacator uman cântărește efortul în raport cu recompensa. Se plictisește, rămâne fără timp, decide că o aplicație de rezervări la sala de fitness nu merită efortul. Acest calcul este cel care a protejat discret majoritatea țintelor de valoare mică împotriva exploatării ocazionale în ultimii 20 de ani (cu excepția cazului în care rulați WordPress).

Un agent de IA nu face acel calcul. Având un scop, va încerca orice îi permite tehnologic API-ul, testând puncte finale și combinații de parametri la viteză de mașină până când ceva funcționează. A găsit breșa de autorizare a sălii în timpul în care Andrew a pus o întrebare suplimentară.

Ponderea acestei diferențe de viteză este deja vizibilă în cifre. Raportul global privind răspunsul la incidente din 2026 realizat de Unit 42(fereastră nouă) a constatat că cele mai rapide atacuri exfiltrează acum date în 72 de minute, față de 285 de minute în anul precedent. Aceasta este tendința când oamenii sunt încă în mare parte implicați. Un agent ia decizii în milisecunde; un analist uman răspunde în minute sau ore.

Pentru echipele de securitate, această viteză în creștere este adevăratul motiv de îngrijorare, nu un incident izolat care ajunge la știri.

Noua suprafață de atac: tot ce are un API

Orice serviciu care expune un API este o țintă potențială, indiferent dacă arată sau nu ca una.

  • Motoare de stabilire a prețurilor în care reducerile sunt validate de partea clientului
  • Sisteme de stocare în care starea stocului se află în interfața magazinului în loc de backend
  • Platforme de asistență în care câmpurile interne sunt accesibile prin căi API nedocumentate
  • Gestionarea abonamentelor care nu verifică dacă apelantul este proprietarul contului modificat.

Niciuna dintre acestea nu necesită prezența unui om care să le caute. Este nevoie doar de un agent cu un scop și de un API care răspunde.

Afacerile cele mai expuse nu sunt cele cu vulnerabilități de securitate evidente. Sunt cele cu breșe de logică de afaceri: reguli care există doar în interfața de utilizator, acțiuni pe care API-ul le permite din punct de vedere tehnic, dar pe care interfața nu le afișează niciodată, fluxuri de lucru construite pe presupunerea că niciun apelant nu ar încerca vreodată calea ce o omite pe cea prevăzută.

Dezvoltatorul sălii de fitness nu a crezut, mai mult ca sigur, că o verificare de autorizare la anulări merită scrisă, deoarece niciun utilizator obișnuit și niciun atacator obișnuit nu aveau motiv să o încerce. Un agent nu a avut astfel de ezitări și nici măcar nu încerca să găsească o rezervare pe care să o omită. Doar încerca să fie de ajutor.

Cum se pot pregăti afacerile pentru atacurile IA

Tratați fiecare acțiune API ca o operațiune privilegiată. Identitatea, autorizarea și politica contextuală trebuie verificate independent, la fiecare apel. Nu „interfața nu vă permite să faceți asta”, ci „serverul verifică dacă aveți permisiunea de a face asta, pe această resursă, având în vedere starea sa actuală”. Sistemul sălii ar fi oprit acest incident specific cu o singură linie de logică de autorizare pe punctul final de anulare. Acesta nu este deloc un control nou, este cel mai vechi element de pe lista de securitate API a OWASP, autorizarea defectuoasă la nivel de obiect, și este în continuare cel pe care majoritatea sistemelor îl greșesc.

Oferiți agenților propriul lor model de acreditări. Tokenurile cu domeniu limitat și TTL scurt, emise special pentru sesiunile agenților, distincte de tokenurile obișnuite de sesiune ale oamenilor, limitează raza de impact chiar și atunci când agentul găsește o breșă pe care nu ați anticipat-o. Dacă agentul lui Andrew ar fi deținut un token limitat doar la propria sa rezervare, anularea rezervării altcuiva ar fi eșuat la nivel de acreditări, indiferent de ce permitea altfel API-ul. Acest lucru este important deoarece nu vă puteți baza pe reținerea agentului. Trebuie să vă bazați pe ceea ce îi permit fizic acreditările sale să facă.

Implementați instrumente specifice pentru detectarea comportamentului agenților. Traficul generat de agenți are o formă distinctivă: un timp de solicitare mai rapid decât cel uman, enumerare sistematică a punctelor finale, sondare secvențială în cadrul combinațiilor de parametri, executarea cu succes a unor acțiuni pe care niciun utilizator uman nu le-a încercat vreodată prin interfața reală. Stabiliți o linie de referință pentru această formă și trimiteți alerte în timp real.

Reduceți decalajul timpului de răspuns, nu doar pe cel de detectare. Detectarea unei sondări într-o oră este lipsită de sens dacă sondarea s-a finalizat și a mers mai departe în câteva minute. Cifra de la Unit 42 de mai sus, 72 de minute pentru cele mai rapide atacuri în ritm uman, este deja un punct de referință greșit în funcție de care să vă faceți un plan. Răspunsul automatizat, nu doar alertarea automatizată, este cel care închide un decalaj măsurat în milisecunde. Desigur, trebuie să vă asigurați și că răspunsul automatizat nu este la rândul său dăunător.

Presupuneți că acest lucru se va întâmpla și simulați răspunsul. Documentați cine este apelat, redactați în avans comunicările către clienți și desfășurați exerciții teoretice specifice scenariilor bazate pe agenți, nu doar ghiduri tradiționale pentru încălcări ale securității datelor. Raportul IBM privind costul unei încălcări a securității datelor din 2026 a evaluat încălcarea medie globală la 4,99 milioane de dolari, încălcările facilitate de IA având o medie cu aproximativ 1 milion de dolari mai mare. Aceste cifre descriu tot mai mult incidente care au început așa cum a început cel al sălii de fitness: fără niciun atacator în sensul tradițional.

Testați-vă propriile API-uri așa cum ar face-o un agent, înainte ca un agent să o facă pentru dvs. Testarea manuală de penetrare presupune un tester uman cu timp limitat și o listă finită de lucruri de încercat. Un modul de atac automatizat asupra propriilor puncte finale, care sondează cu aceeași persistență și viteză ca un agent, va scoate la iveală aceleași breșe înainte ca asistentul unui client să se lovească de ele. Instrumente cu sursă deschisă există acum special pentru acest lucru. CyberStrike(fereastră nouă), de exemplu, rulează agenți specializați conectați la OWASP WSTG și MITRE ATT&CK împotriva propriilor puncte finale, inclusiv un tester dedicat exact breșei de autorizare la nivel de obiect care a surprins sala de fitness nepregătită: Trimite o solicitare de referință, trimite atacul și semnalează o constatare numai dacă există o diferență măsurabilă și reproductibilă. Aceasta este aceeași clasă de verificare care ar fi identificat punctul final de anulare înainte ca un agent să îl găsească în mediul real.

Principiul nu este nou, bineînțeles. Proprietarii de site-uri care și-au rulat propriile scanere de vulnerabilitate pe instalările WordPress în era rețelelor botnet au supraviețuit. Instrumentele trebuie doar să se potrivească acum cu viteza apelantului, nu cu viteza unui atacator uman care s-ar putea să ajungă în cele din urmă la asta.