Drogi czytelniku,
21 października o godz. 13:00 CEST Europejski Urząd Nadzoru Bankowego (EBA) wyłączył swoją stronę internetową. Zespół CERT-EU ostrzegł wcześniej instytucje o „dwóch krytycznych lukach bezpieczeństwa w oprogramowaniu wykorzystywanym do obsługi wielu stron internetowych”, a EBA zdecydował się zamknąć serwis do czasu wgrania poprawek. Strona wróciła do działania następnego dnia o godz. 14:00, a urząd przesunął terminy czterech konsultacji (EBA). Tego samego dnia CERT-EU i inne instytucje UE wydały wspólne oświadczenie o dwóch krytycznych lukach w PHP, języku programowania, w którym napisana jest duża część stron internetowych. Zaleciły organizacjom „potraktowanie priorytetowo systemów wystawionych do internetu” (ENISA). Według ENISA poprawione wersje ukazały się o godz. 13:40 UTC, niemal trzy godziny po tym, jak EBA wyłączył swoją stronę.
Również 21 października Microsoft przypisał niedawne włamanie do chmurowej usługi kopii zapasowych firmy ConnectWise powiązanej z Chinami grupie, którą nazywa Storm-0940. Grupa ta użyła hakerskiego frameworku AI przeciwko klientom korzystającym z tej usługi. Moim zdaniem to ta sama historia: dzięki AI znajdowanie i wykorzystywanie luk w oprogramowaniu stało się znacznie tańsze. Twórcy oprogramowania, firmy, które z niego korzystają, oraz atakujący używają do tego tych samych modeli.
Lukę w PHP zauważono po raz pierwszy w 2024 roku
PHP Foundation opisała, jak obsłużono obie luki; każda z nich pozwala na zdalne wykonanie kodu (PHP Foundation). Jeden z programistów PHP natrafił na pierwsze oznaki błędu, który leży u ich podstaw, podczas audytu w 2024 roku. Nikt nie znalazł wtedy sposobu, by ten błąd wykorzystać. W tym roku firma Calif zgłosiła 11 sierpnia działający exploit pozwalający na zdalne wykonanie kodu, firma Wiz zrobiła to 24 sierpnia, a OpenAI pokazało kolejne ścieżki ataku 18 września. Wszystkie trzy zespoły użyły modeli AI. Firma Wiz napisała, że „jeden badacz wykonał w tydzień pracę, która wcześniej zajęłaby światowej klasy zespołowi miesiące” (Wiz).
Od zgłoszenia Calif do wydania poprawki minęły ponad dwa miesiące. Fundacja sama wyjaśnia przyczyny: „opóźnienie było porażką o charakterze strukturalnym, wynikającą zarówno z procesu decyzyjnego zespołu ds. bezpieczeństwa, jak i z braku zasobów”. Prace nad bezpieczeństwem PHP „wciąż zależą od niewielkiej grupy programistów finansowanych przez fundację”.
Amazon już 17 października, przed jakimkolwiek publicznym ujawnieniem luki, odnotował na swoich serwerach-pułapkach próbę jej wykorzystania, choć zaznacza, że nie jest w stanie stwierdzić, czy atak by się powiódł (AWS).
Atakujący korzystają z tych samych narzędzi
Raport Microsoftu o grupie Storm-0940 opisuje ARTEX jako „open source framework do testów penetracyjnych, który może współpracować z dowolnym modelem AI”. W kilku przypadkach „czas od pierwszego namierzenia celu do uzyskania uprzywilejowanego dostępu wyniósł mniej niż 3 godziny”. Napastnicy próbowali zalogować się do ponad 2250 środowisk klientów, w większości bez powodzenia, a Microsoft zaznacza, że samo udane logowanie nie dowodzi kradzieży danych (Microsoft).
Wrześniowy raport firmy Anthropic o zagrożeniach opisuje grupę GTG-50029, która użyła modelu Claude do stworzenia exploita na nieudokumentowaną wcześniej lukę w WordPressie. Atak „powiódł się w przypadku co najmniej czterech stron internetowych” (Anthropic).
Inna grupa, GTG-50020, wykradła produkcyjne klucze API do modeli AI ze środowiska testowego jednego z dostawców AI, a następnie „zaatakowała około trzydziestu firm z branży AI w ciągu mniej więcej czterech dni”. Ubiegły tydzień przyniósł dwa kolejne przypadki. Żadne źródło nie łączy ich ze sprawą PHP ani ze sobą nawzajem. Platforma hostingowa Railway poinformowała, że między 20 a 22 października włamywacz mógł odczytać zapisane klucze w nawet około 100 tys. przestrzeni roboczych klientów, a „celem ataku było zdobycie kluczy API dostawców AI do przeprowadzenia ataków destylacyjnych”, czyli do wytrenowania kopii modelu za cudzy płatny dostęp (Railway). LiteLLM to opensource’owa bramka (gateway), przez którą wiele firm łączy się z modelami kilku dostawców. 21 października napastnik wypuścił jej złośliwą wersję, korzystając z klucza głównego, który wyciekł w maju i nigdy nie został unieważniony (LiteLLM).
Twórcy oprogramowania i ich klienci też z nich korzystają
Mozilla podaje, że wydany w kwietniu Firefox 150 załatał 271 podatności wykrytych przez wczesną wersję modelu Claude Mythos Preview firmy Anthropic (Mozilla). Do 2 października firma Anthropic zgłosiła 6157 podatności w 591 projektach open source, a według jej wiedzy 516 z nich doczekało się poprawek (Anthropic). Z kolei CERT Polska, korzystając z modeli OpenAI przeznaczonych do cyberbezpieczeństwa, znalazł sześć luk w systemie RouterOS firmy MikroTik. Producent wydał poprawki, a CERT Polska potwierdził, że blokują one ataki (NASK, 23 października).
Banki stosują te same modele do badania oprogramowania, z którego same korzystają. Trzy europejskie urzędy nadzoru napisały w lipcu, że w instytucjach finansowych „zdolności red teamingowe można wzmocnić rozwiązaniami AI” (ESAs). 14 października prezes Bank of America Brian Moynihan powiedział analitykom, że część kosztów kwartału pochłonęło „usuwanie błędów związanych z wdrożeniem Mythos” oraz że bank „zatrudnił do tego 1000 dodatkowych osób, nie na etatach, tylko jako konsultantów” (zapis rozmowy, s. 11). W wywiadzie dla stacji CNBC tego samego dnia wymienił model Mythos firmy Anthropic jako jeden z modeli, które wykryły błędy naprawiane teraz przez konsultantów (TechRadar, Bloomberg Law). Nie ujawnił, jak poważne są to luki.
Naprawianie błędów trwa najdłużej
8 października firma Anthropic podsumowała własny program wyszukiwania podatności: „partnerzy odkryli wiele luk, ale nie osiągnęliśmy jeszcze wystarczającego spadku ryzyka cybernetycznego”. Wyjaśnia to tak: „znajdowanie podatności jest łatwiejsze niż kiedykolwiek, jednak weryfikowanie tych zgłoszeń, nadawanie im priorytetów i naprawianie błędów pozostaje wyzwaniem”. Dodaje: „często widzieliśmy, jak od wykrycia luki do jej załatania mijały miesiące” (Anthropic).
Do podobnych wniosków po rozmowach z firmami doszedł brytyjski nadzorca finansowy FCA. Jego wrześniowy przegląd nosi tytuł „Wykrywanie podatności przyspiesza bardziej niż zdolność firm do reagowania” (FCA). Z kolei raport firmy Verizon o naruszeniach bezpieczeństwa z 2026 roku podaje, że mediana czasu od wykrycia luki do jej pełnego usunięcia wzrosła z 32 do 43 dni (Verizon DBIR 2026).
Firma VulnCheck, która śledzi luki wykorzystywane w atakach, nie zaobserwowała, by same ataki przyspieszały w tym samym tempie. W jej ocenie „aktywność związana z wczesnym wykorzystywaniem luk w pierwszej połowie 2026 roku utrzymuje się na stałym poziomie, zamiast przyspieszać”. W dwóch zbiorach danych firmy jest 1061 podatności wykrytych z pomocą AI; wykorzystanie w atakach potwierdzono w przypadku 14 z nich, czyli 1,3% (VulnCheck). Jak dotąd liczba wykrywanych błędów rośnie szybciej niż liczba ataków, które z nich korzystają.
Firmy nadal muszą instalować poprawki
Moim zdaniem to, czy testy z użyciem AI zwiększą bezpieczeństwo firmy, zależy od tego, ilu ludzi ma ona do naprawiania błędów, które te testy wykryją. Każdą poprawkę trzeba zainstalować we własnych systemach firmy i przetestować, a usługi muszą w tym czasie nadal działać. Bank of America zatrudnił do tej pracy 1000 konsultantów. Firma, która kupuje testy z użyciem AI i nie dokłada ludzi do usuwania błędów, zostaje z dłuższą listą znanych luk, których nie naprawiła.
Briefing
22 października bank Barclays zapowiedział, że spodziewa się zmniejszyć zatrudnienie o około 5000 pełnych etatów. Dyrektor finansowa grupy Anna Cross powiedziała analitykom, że cięcia oznaczają między innymi „mniejszą liczbę programistów, ponieważ AI zwiększa produktywność naszych ludzi” (zapis rozmowy z analitykami Barclays za Q3). Wspomniane 5000 etatów to planowana redukcja w ramach całej restrukturyzacji banku, a nie liczba stanowisk już zastąpionych przez AI.
19 października prezes UODO Mirosław Wróblewski spotkał się z Pamelą Krzypkowską, przewodniczącą KRiBSI, czyli komisji, która będzie nadzorować rynek AI w Polsce, aby omówić zasady współpracy obu organów. UODO podaje, że KRiBSI ma rozpocząć działalność w listopadzie, a zgodność z AI Act „nie zwalnia z obowiązku przestrzegania przepisów o ochronie danych osobowych” (UODO). Polska firma wykorzystująca dane osobowe w systemie AI będzie podlegać obu urzędom, a te dopiero zaczęły ustalać między sobą podział zadań.
21 października rządy państw UE uzgodniły stanowisko negocjacyjne w sprawie części pakietu Digital Omnibus dotyczącej danych i prywatności. Rada UE utrzymuje dotychczasową definicję danych osobowych, a proponowany jeden unijny punkt zgłaszania incydentów zastępuje punktami krajowymi (Rada UE). Rozmowy z Parlamentem Europejskim zaczną się, gdy Parlament przyjmie własne stanowisko, więc żadna z tych propozycji nie zmienia obecnych obowiązków wynikających z RODO.
Podsumowanie
W tygodniu od 17 do 23 października luka w PHP, zauważona po raz pierwszy w 2024 roku, została z pomocą AI przekształcona w działające exploity i załatana dopiero po tym, jak EBA wyłączył swoją stronę internetową. Microsoft powiązał włamanie do usługi ConnectWise z grupą korzystającą z hakerskiego frameworku AI, a napastnicy próbowali zdobyć klucze do usług AI w Railway i LiteLLM. Twórcy oprogramowania, banki i CERT Polska używają tych samych modeli, aby znajdować błędy.
OpenAI podaje, że obrońcy otrzymują teraz jego najsilniejsze modele przeznaczone do bezpieczeństwa wcześniej niż atakujący (OpenAI). Moim zdaniem pomaga to firmie, która testuje nimi własne systemy, tylko wtedy, gdy potrafi też instalować poprawki szybciej niż dziś.
Zachowaj równowagę, Krzysztof
Krzysztof Goworek jest założycielem Quintant — firmy doradczej, która prowadzi przedsiębiorstwa od eksperymentów AI do realnej, mierzalnej wartości.