Atlas od Wiz vede žebříček CyberGym ve výzkumu zranitelností

Thajské ministerstvo financí se stalo obětí špionážního útoku, ve kterém útočníci nasadili Hermes – autonomní open-source AI nástroj – v takzvaném YOLO módu, tedy bez jakýchkoli omezení a bezpečnostních pojistek. A právě to je podle mě ta zajímavá část celé zprávy. Nejde o žádnou sofistikovanou nulovou zranitelnost ani o nový model od velké laboratoře. Jde o to, že si někdo vzal veřejně dostupný agentní nástroj, vypnul mu brzdy a pustil ho na cíl. Bariéra vstupu do světa kybernetických útoků poháněných AI agenty se právě citelně snížila, a to je problém, který se netýká jen státních institucí.

Apropos bezpečnost dodavatelského řetězce – souvisí to s dalším tématem dneška, tedy s tím, jak AI agenti mění pravidla hry i v softwarovém vývoji. Když agent dokáže sám stahovat a instalovat balíčky, otevírá se prostor pro útoky přes zranitelné nebo přímo škodlivé závislosti, které by člověk možná odhalil, ale automatizovaný proces je proletí bez povšimnutí. Doporučení jsou docela přímočará – pevné verzování, firewally pro balíčky, princip nejnižších oprávnění – ale to hlavní je změna myšlení. Bezpečnostní praktiky navržené pro lidské vývojáře nestačí, když hlavním aktérem v řetězci je autonomní systém, který nikdy neváhá a nikdy se neptá.

Stejný vzorec vidím i mimo cybersecurity. AINGENS varuje, že agentní AI v life sciences nese rizika, která nejsou jen o špatných odpovědích – jde o to, že autonomní systém zasahující do regulovaných vědeckých procesů potřebuje ověřitelné důkazy, sledovatelnost a lidský dohled, jinak se chyba neprojeví jako otravná halucinace, ale jako reálné riziko pro pacienty nebo klinická data. A přesně tahle otázka – kolik autonomie je bezpečné agentovi dát – se teď řeší napříč odvětvími zároveň. HubSpot proto spouští Agent Hub a Agent Builder, aby firmy vůbec zvládly spravovat rostoucí zoo agentů ve svém CRM. Microsoft Japan představil Copilot Cowork a Scout, přičemž energetická firma INPEX si od nasazení slibuje úspory přes dvě miliardy jenů ročně. A Meta, která do AI nalila přes sto miliard dolarů, propojuje svého asistenta přímo s e-maily a kalendáři zaměstnanců.

Všechny tyhle příběhy mají společného jmenovatele – firmy i útočníci řeší úplně stejnou otázku, jen z opačných stran. Jak moc autonomie agentovi dát, aby byl užitečný, ale zároveň ho ještě šlo kontrolovat? Zajímavé je, že odpověď zatím nabízí spíš bezpečnostní komunita než dodavatelé produktivních nástrojů – třeba Wiz se svým agentem Atlas, který každý nález o zranitelnosti ověřuje funkčním exploitem, tedy důkazem, ne jen tvrzením. Možná je právě tohle model, který by si měli vzít k srdci všichni, kdo agenty nasazují do firemního provozu: nevěřit tomu, co agent řekne, ale tomu, co dokáže reálně předvést.