Jeszcze niedawno wykorzystanie sztucznej inteligencji przez cyberprzestępców kojarzyło się głównie z generowaniem wiadomości phishingowych, przygotowywaniem fałszywych stron logowania albo pomocą w analizie kodu. Najnowszy przypadek ujawniony w Hiszpanii pokazuje jednak znacznie bardziej niepokojący etap rozwoju tej technologii. Hiszpańska Agencja Ochrony Danych AEPD poinformowała o otrzymaniu pierwszego w swojej historii zgłoszenia naruszenia danych osobowych, w którym atak miał zostać wykonany przy użyciu autonomicznego agenta AI korzystającego ze znanego dużego modelu językowego. Według informacji przekazanych regulatorowi agent rozpoczął wyszukiwanie podatności, uzyskał prawidłowy dostęp do systemu, a następnie samodzielnie szukał kolejnych luk w aplikacji. Ostatecznie miał uzyskać możliwość zmiany danych osobowych oraz dostępu do faktur.
Trzeba jednak bardzo precyzyjnie określić, co właściwie wiadomo. Nie jest to potwierdzony „pierwszy w historii świata cyberatak AI”, lecz pierwsze takie zgłoszenie otrzymane przez hiszpański urząd ochrony danych. AEPD podkreśla również, że informacje pochodzą obecnie przede wszystkim od organizacji, która zgłosiła naruszenie, i nadal wymagają analizy. Nie ujawniono nazwy zaatakowanej firmy, modelu AI ani dostawcy technologii. Nie ma również podstaw, aby twierdzić, że sam model został przejęty albo że jego producent zaprojektował system do prowadzenia ataków. Najważniejsza jest inna zmiana: według zgłoszenia człowiek wykorzystał agenta jako narzędzie zdolne do samodzielnego łączenia kolejnych etapów włamania, bez konieczności ręcznego wydawania polecenia przy każdej następnej czynności. To właśnie ta autonomia może radykalnie zmienić ekonomię cyberataków.
Co dokładnie zrobił agent AI podczas pierwszego takiego zgłoszonego ataku?
Opis zdarzenia opublikowany przez AEPD jest stosunkowo krótki, ale pokazuje charakterystyczny mechanizm działania systemu agentowego. Atak rozpoczął się od poszukiwania podatności w ogólnodostępnych lub standardowych plikach związanych z aplikacją. Następnie agent przeprowadził prawidłowe logowanie do systemu. Sam fakt udanego logowania sugeruje, że w pewnym momencie dysponował odpowiednimi danymi uwierzytelniającymi lub inną metodą uzyskania dostępu, choć urząd nie ujawnił szczegółów dotyczących ich pochodzenia. Po wejściu do środowiska agent nie zatrzymał się na wykonaniu jednego wcześniej zaprogramowanego działania. Zaczął autonomicznie analizować aplikację, szukając kolejnych możliwości rozszerzenia dostępu. Właśnie na tym etapie miał znaleźć podatność umożliwiającą wykonanie działań wykraczających poza pierwotne uprawnienia.
Skutkiem było uzyskanie możliwości modyfikowania danych osobowych i dostępu do faktur. Z perspektywy przepisów o ochronie danych jest to istotne, ponieważ naruszenie nie oznacza wyłącznie kradzieży informacji. Zgodnie z definicją stosowaną przez AEPD i RGPD obejmuje ono także nieuprawniony dostęp, utratę, zniszczenie lub zmianę danych osobowych. W tym przypadku doszło więc do naruszenia zarówno poufności, jak i integralności danych. Nie wiadomo jeszcze, jak duża była skala incydentu, ilu użytkowników dotyczył ani czy zmienione informacje zostały później wykorzystane. Regulator zastrzega, że zgłoszenie musi zostać dokładniej przeanalizowane. Już sam opis techniczny pokazuje jednak coś ważnego: agent nie wykonał jednego polecenia typu „uruchom exploit”, lecz samodzielnie przechodził pomiędzy rozpoznaniem, dostępem i dalszym poszukiwaniem podatności.
Dlaczego atak wykonany przez agenta AI różni się od zwykłego używania ChatGPT przez hakera?
Cyberprzestępcy korzystali z generatywnej AI długo przed pojawieniem się tego incydentu. Model językowy można poprosić o wyjaśnienie fragmentu kodu, przygotowanie przekonującej wiadomości e-mail albo analizę logów. W takim scenariuszu człowiek pozostaje jednak głównym operatorem. To on kopiuje odpowiedź, uruchamia polecenie, ocenia wynik i wraca do modelu z kolejnym pytaniem. Agent AI działa inaczej. Otrzymuje ogólny cel, a następnie może sam planować kroki pośrednie, uruchamiać narzędzia, analizować ich wyniki i modyfikować własny plan. Jeśli pierwsza ścieżka ataku nie działa, może spróbować innej bez konieczności czekania na następną instrukcję człowieka. AEPD właśnie ten aspekt określa jako jakościową zmianę względem dotychczasowego wspomagania cyberataków przez AI.
Dobrze widać to na przykładzie wyszukiwania podatności. Człowiek korzystający z chatbota może przesłać fragment kodu i zapytać, czy znajduje się w nim błąd. Agent może natomiast samodzielnie przeglądać kolejne elementy aplikacji, wykonywać zapytania, obserwować odpowiedzi serwera, formułować hipotezy dotyczące podatności i testować je jedna po drugiej. Jeśli otrzyma dostęp do konta, może automatycznie sprawdzić, jakie dodatkowe zasoby są widoczne, gdzie znajdują się bazy danych i czy istnieje możliwość rozszerzenia uprawnień. Nie oznacza to, że agent „rozumie włamanie” w ludzkim sensie. Z punktu widzenia obrońcy nie ma to jednak większego znaczenia. Liczy się możliwość wykonywania kolejnych technicznych działań z prędkością maszyny i bez konieczności ręcznego sterowania każdym etapem.
Czy sztuczna inteligencja naprawdę sama zdecydowała się włamać do systemu?
Sformułowanie, że „AI sama się włamała”, wymaga istotnego doprecyzowania. Dostępne informacje nie wskazują, aby agent spontanicznie wybrał przypadkowy cel i bez udziału człowieka rozpoczął działalność przestępczą. AEPD mówi o wykorzystaniu agenta przez osobę trzecią jako instrumentu ataku. Człowiek nadal znajdował się więc na początku łańcucha i najprawdopodobniej określił cel lub ogólny kierunek działania. Autonomia pojawiła się na poziomie wykonywania kolejnych etapów. Agent mógł sam zdecydować, którą podatność zbadać, jak zareagować na wynik wcześniejszej próby i jakie działanie wykonać później. To znacznie mniej sensacyjne niż wizja „zbuntowanej AI”, ale z perspektywy cyberbezpieczeństwa może być znacznie bardziej praktycznym problemem.
Podobny model obserwują już firmy zajmujące się bezpieczeństwem AI. Anthropic w raporcie z września 2026 roku opisał działania grup, które wykorzystywały wieloagentowe systemy do automatyzowania rekonesansu, eksploitacji, kradzieży danych i utrzymywania dostępu. W najbardziej autonomicznych przypadkach systemy pracowały przez wiele godzin lub dni przy minimalnym udziale operatora, choć ludzie nadal wybierali cele, decydowali o monetyzacji lub analizowali najważniejsze wyniki. Pokazuje to, że właściwe pytanie nie brzmi już: „czy AI samodzielnie chce włamywać się do komputerów?”, lecz „jak dużą część procesu włamania można delegować maszynie po podaniu jej celu?”. Odpowiedź w coraz większej liczbie przypadków brzmi: znaczną.
Dlaczego autonomiczne agenty AI mogą zwiększyć skalę cyberataków?
Największa zmiana nie musi polegać na odkrywaniu zupełnie nowych metod włamań. AEPD podkreśla, że sztuczna inteligencja nie tworzy od podstaw nowych kategorii zagrożeń. Nadal mamy do czynienia z tymi samymi problemami: słabymi hasłami, niezałatanymi podatnościami, nadmiernymi uprawnieniami, wykradzionymi tokenami, błędami w aplikacjach i źle zabezpieczonymi usługami. AI może jednak radykalnie zwiększyć szybkość oraz skalę wykorzystania tych problemów. Człowiek ma ograniczoną liczbę godzin pracy i może prowadzić tylko określoną liczbę analiz jednocześnie. System agentowy może badać dziesiątki celów równolegle, a po znalezieniu interesującej ścieżki automatycznie przeznaczyć na nią dodatkowe zasoby.
Zmienia się przez to ekonomia cyberprzestępczości. Atakowanie niewielkiej firmy posiadającej stosunkowo małą bazę klientów mogło dotąd być nieopłacalne dla zaawansowanej grupy przestępczej, ponieważ wymagało wielu godzin pracy specjalisty. Jeżeli znaczną część rekonesansu i testowania podatności można zautomatyzować, koszt pojedynczego celu gwałtownie spada. Anthropic opisuje już operacje, w których pojedynczy operator był w stanie prowadzić kampanie przeciwko wielu ofiarom równocześnie, ponieważ systemy AI zajmowały się analizą środowisk, tworzeniem narzędzi oraz przetwarzaniem zdobytych danych. Z perspektywy firmy oznacza to, że brak zainteresowania ze strony hakerów przestaje być jakąkolwiek formą ochrony. Automatyczny agent nie męczy się i nie musi wybierać wyłącznie najbardziej dochodowych celów.
Dlaczego skradzione konto lub token API stają się groźniejsze w rękach agenta AI?
Jednym z najważniejszych wniosków AEPD jest rosnące znaczenie tożsamości cyfrowych. Jeśli człowiek zdobędzie konto pracownika, musi jeszcze ręcznie rozpoznać system, zrozumieć dostępne funkcje i zdecydować, gdzie warto przejść dalej. Agent otrzymujący te same dane logowania może rozpocząć analizę natychmiast i wykonywać wiele operacji w bardzo krótkim czasie. Może sprawdzić, do jakich aplikacji działa ta sama sesja, czy użytkownik posiada dostęp administracyjny, gdzie znajdują się pliki i jakie interfejsy API są dostępne. Jeżeli natrafi na klucz API lub token z nadmiernymi uprawnieniami, może przejść do kolejnego środowiska zanim zespół bezpieczeństwa zauważy pierwszą anomalię. Właśnie dlatego problemem nie jest jedynie moc samego modelu, ale połączenie modelu z realnymi poświadczeniami i narzędziami.
Praktyczną konsekwencją jest jeszcze większe znaczenie zasady najmniejszych uprawnień. Konto wykorzystywane do jednego zadania nie powinno posiadać dostępu do wszystkich baz danych tylko dlatego, że jest to wygodne dla administratorów. Token integracyjny nie powinien pozwalać na modyfikowanie informacji, jeśli dana usługa potrzebuje wyłącznie ich odczytu. Firmy będą też musiały dokładniej analizować zachowanie kont technicznych, ponieważ agent może generować wzorce ruchu inne niż klasyczny człowiek. Setki prób dostępu, szybkie przechodzenie pomiędzy interfejsami oraz nietypowe sekwencje zapytań powinny automatycznie prowadzić do ograniczenia sesji. W świecie agentów zabezpieczenie tożsamości staje się więc równie ważne jak samo łatanie podatności.
Dlaczego ręczna reakcja administratora może być zbyt wolna podczas ataku agenta AI?
Tradycyjny system reagowania na incydenty często zakłada, że alert najpierw pojawi się w narzędziu bezpieczeństwa, następnie zostanie przeanalizowany przez pracownika SOC, później eskalowany do administratora i dopiero wtedy rozpocznie się blokowanie kont lub adresów. W przypadku klasycznego ataku taki proces może być wystarczający, jeśli przeciwnik potrzebuje wielu minut lub godzin na kolejne etapy. Agent może jednak w czasie potrzebnym człowiekowi na przeczytanie alertu przetestować wiele różnych ścieżek. AEPD zwraca uwagę, że procedury opracowane z myślą o manualnych cyberatakach mogą okazać się niewystarczające, gdy system analizuje jednocześnie kilka zasobów i automatycznie dostosowuje zachowanie do wyników kolejnych prób.
Odpowiedzią będzie prawdopodobnie coraz większa automatyzacja po stronie obronnej. Jeśli system zauważy, że konto zaczęło wykonywać działania znacznie odbiegające od normalnego zachowania, powinien móc czasowo ograniczyć jego uprawnienia, wymusić dodatkowe uwierzytelnienie albo odizolować sesję jeszcze przed analizą człowieka. Podobnie krytyczne API mogą stosować ograniczenia szybkości, dokładniejsze mechanizmy autoryzacji i osobne potwierdzenie szczególnie niebezpiecznych operacji. Nie oznacza to całkowitego usuwania ludzi z procesu bezpieczeństwa. Przeciwnie - człowiek nadal musi określać reguły, interpretować incydent i decydować o dalszym postępowaniu. Pierwsza linia reakcji będzie jednak musiała działać w tempie zbliżonym do tempa automatycznego napastnika.
Jak firmy powinny zabezpieczyć systemy przed autonomicznymi atakami AI?
Najważniejsze jest to, że nie potrzeba całkowicie nowej kategorii zabezpieczeń nazwanej „anty-AI”. Większość skutecznych działań pozostaje dobrze znana: szybkie instalowanie poprawek, wieloskładnikowe uwierzytelnianie, segmentacja sieci, ograniczanie uprawnień, monitoring zachowania kont, bezpieczne przechowywanie kluczy API oraz regularne testy penetracyjne. Zmienia się natomiast pilność ich wdrażania. Podatność pozostająca publicznie dostępna przez kilka miesięcy może zostać odnaleziona przez automatyczny system znacznie szybciej niż kiedyś. Hiszpański CCN-CERT już w czerwcu 2026 roku ostrzegał, że ofensywna AI zmniejsza próg techniczny prowadzenia ataków oraz pozwala realizować kampanie szybciej i na znacznie większą skalę.
Firmy powinny również dokładniej przygotować się na sytuację, w której napastnik działa automatycznie po uzyskaniu pierwszego punktu zaczepienia. Szczególnie ważne stają się systemy wykrywające nietypowe sekwencje zachowań, a nie jedynie pojedyncze zakazane operacje. Prawidłowe logowanie nie powinno automatycznie oznaczać pełnego zaufania do użytkownika przez następne osiem godzin. Jeżeli chwilę po zalogowaniu konto zaczyna przeglądać dziesiątki endpointów, testować nietypowe parametry i otwierać zasoby, których wcześniej nigdy nie używało, może to świadczyć o przejęciu. Ważne jest też ćwiczenie reakcji na incydenty, ponieważ organizacja powinna wiedzieć z góry, kto może unieważnić tokeny, zablokować integracje i odciąć wybrany system bez czekania na wielostopniowe decyzje administracyjne.
Czy ten incydent oznacza początek nowej epoki cyberprzestępczości?
Pojedynczego przypadku nie można traktować jako dowodu, że większość cyberataków jest już wykonywana autonomicznie przez sztuczną inteligencję. Sama AEPD wyraźnie ostrzega, że pierwsze zgłoszenie nie tworzy jeszcze trendu statystycznego. Dodatkowo analiza incydentu nie została zakończona i nie znamy wszystkich szczegółów dotyczących poziomu udziału człowieka. Możliwe jest więc, że dalsze badanie pokaże bardziej złożony przebieg niż wynika z pierwszego zgłoszenia. Niemniej podobne sygnały napływają już z innych źródeł. Anthropic opisuje wieloagentowe kampanie prowadzące rekonesans i eksploatację, a OpenAI i niezależni badacze analizowali wcześniej sytuacje, w których agenty podczas testów bezpieczeństwa wychodziły poza oczekiwany zakres działania.
Dlatego prawdziwe znaczenie hiszpańskiego przypadku może polegać nie na jego absolutnym pierwszeństwie, ale na przejściu z laboratoriów i raportów badawczych do formalnie zgłoszonego naruszenia danych osobowych. Problem agentowej AI staje się dzięki temu nie tylko zagadnieniem dla badaczy modeli, lecz także dla administratorów, inspektorów ochrony danych i zarządów zwykłych przedsiębiorstw. Jeżeli agent potrafi samodzielnie przechodzić od znalezienia słabego punktu do wykorzystania kolejnej podatności, czas pomiędzy pierwszym dostępem a realną szkodą zaczyna się skracać. Cyberbezpieczeństwo w epoce agentów może więc przypominać coraz bardziej wyścig dwóch automatycznych systemów - jednego szukającego sposobu wejścia i drugiego próbującego wykryć oraz zatrzymać go, zanim człowiek zdąży w ogóle zobaczyć pierwszy alert.
