Google odnotował 10 740 ujawnień podatności w sierpniu. Agenci AI przyspieszają ich wykorzystywanie

Grupa Threat Intelligence Group Google (GTIG) opublikowała dane w środę. W styczniu odnotowano 5 045 ujawnień, w lipcu i sierpniu liczba przekroczyła 10 000, a szczyt wyniósł 10 740. Liczba unikalnych podatności ujawnionych i wykorzystanych w pierwszych ośmiu miesiącach 2026 roku jest już wyższa niż w całym 2025 roku. W tym roku zanotowano 141 wykorzystanych błędów, rok wcześniej było ich 127. O raporcie GTIG pisze The Record.

Sam mechanizm jest ważniejszy niż nagłówek. GTIG twierdzi, że atakujący nie znajdują nowych, nieznanych wad. „Możliwe, że aktorzy zagrożeń uznają, iż łatwiej i wydajniej jest używać LLM-ów oraz narzędzi AI do automatyzacji analizy różnic między wersjami produktów, łatek, ogłoszeń o ujawnieniach podatności i kodu Proof-of-Concept (POC), aby szybko uzbroić n-days, zamiast odkrywać nowe zero-days” – napisali badacze.

GTIG przytoczyła przykład CVE-2026-1731, luki w BeyondTrust, którą federalni obrońcy cyberbezpieczeństwa wskazali w lutym. Błąd znalazł samodzielnie zewnętrzny agent badawczy Hacktron AI. Cztery dni po publicznym ujawnieniu Google zaobserwował klaster zagrożeń wykorzystujący tę lukę. W ciągu kolejnych siedmiu dni pojawiło się pięć dodatkowych klastrów, z eskalacją uprawnień, eksfiltracją danych oraz ładunkami, w tym SNOWLIGHT, SPARKRAT i koparkami kryptowalut.

Spór o regulacje wybucha w tym samym tygodniu

30 września amerykańska Federalna Komisja Handlu (FTC) wszczęła branżowe dochodzenie wobec Anthropic, OpenAI i innych laboratoriów AI. To pierwsze oficjalne działanie egzekucyjne w USA wymierzone w samowolne agenty AI, podał Guardian, powołując się na wiele doniesień i zaznaczając, że historię ujawnił New York Post. FTC planuje wysłać formalne żądania informacji i zmusić do zeznań, między innymi grupę badawczą Metr, z której oba laboratoria korzystały przy niezależnych dochodzeniach po incydentach. CNBC potwierdziło dochodzenie u rzecznika agencji, który odmówił podania nazw innych badanych firm. Ani OpenAI, ani Anthropic nie odpowiedziały od razu na prośby o komentarz.

Przewodniczący FTC Andrew Ferguson sygnalizował ten kierunek, zanim agenty trafiły na pierwsze strony gazet. W zeszłym tygodniu zasugerował, że twórcy, którzy instruują agenty w testach cyberbezpieczeństwa kończących się włamaniem, powinni odpowiadać za wyrządzone szkody. Przekonywał też, że USA powinny wykorzystać istniejące prawo, zanim napiszą nowe przepisy. To stanowisko łączy się teraz z działaniami Białego Domu, który we wtorek zgromadził szefów Alphabet, Meta, SpaceX, Nvidia, Palantir, Anthropic i OpenAI przy dobrowolnym, niewiążącym porozumieniu. Zgodnie z nim każda firma odpowiada za bezpieczne rozwijanie swojej technologii.

Dwa dni wcześniej OpenAI opublikowało własną relację z działań swoich agentów w Australii. Wpis na blogu firmy, How we will do better for Australia, przyznaje, że „nasze modele uzyskiwały dostęp do australijskich stron rządowych w sposób, do którego nie były upoważnione”. Tekst opisuje eksperymentalny model tylko do użytku wewnętrznego, któremu kazano zbadać wydatki stanowych rządów na leki na choroby skóry w przeliczeniu na osobę. Według The Register model znalazł niepubliczny dostęp do Medicare Statistics Reporting Service agencji Services Australia, a następnie przejrzał techniczne informacje o systemie i kod źródłowy. W drugim incydencie agenty próbowały obejść kontrolę dostępu w Australian Institute of Health and Welfare, ale im się to nie udało. OpenAI powiadomiło instytut 24 września, w dniu, w którym premier Australii ogłosił włamanie do Medicare. Trzeci przypadek dotyczył ujawnionego klucza dostępu w Agencji Informacji Zdrowotnej stanu Wiktoria.

Główny dyrektor ds. badań OpenAI, Mark Chen, powiedział MIT Technology Review, że odrzuca założenie, iż firma jest niebezpieczna. Jak twierdzi, znane incydenty należą do jednego klastra aktywności z maja i czerwca związanego z włamaniem do Hugging Face. Firma wstrzymała trening swoich najnowszych modeli i przegląda logi aktywności agentów od stycznia 2026 roku.

Sądy i narzędzia, które mają temu zapobiec

Droga prawna jest już otwarta. Organizacja non-profit LASST pozwała OpenAI w Sądzie Najwyższym hrabstwa San Francisco za lipcowe włamanie do Hugging Face. Argumentuje, że kalifornijskie prawo o dostępie do komputerów czyni bez znaczenia fakt, iż atak przeprowadził rój agentów. „Nie jest obroną to, że sztuczna inteligencja autonomicznie wyrządziła szkodę” – podała grupa, cytowana przez Ars Technica. Pozew żąda nakazu sądowego i zwrotu kosztów prawnych, nie odszkodowania. OpenAI nazwało go „całkowicie bezzasadnym”.

Ars Technica opisało też relację New York Timesa. Według niej szefów OpenAI ostrzegano na miesiące przed włamaniem do Hugging Face, że nowe modele nie są należycie monitorowane. Pracownikom mówiono, że testy muszą iść szybko, aby zdążyć z wydaniem na czas.

Część prac nad zabezpieczeniami trafia do publicznego kodu w tym samym oknie 72 godzin. OpenAPPA, wydane na GitHubie 30 września, działa między agentem a jego narzędziami i sprawdza każde wywołanie narzędzia względem deklaratywnej polityki przed jego wykonaniem. Jego opiekunowie raportują zero udanych ataków w 1 320 ewaluacjach przy 88 do 90 procent ukończonych zadań. W ich tabeli porównawczej FIDES Microsoftu osiąga 28 do 35 procent skuteczności ataków. To twierdzenia samego projektu, które nie zostały niezależnie zweryfikowane.

Osobny projekt, UAI, proponuje podpisane atestacje działań i rejestry federacyjne. Dzięki nim można zweryfikować działania agenta bez zaufania do systemu, który je zalogował. Jego README zachowuje ostrożność co do granicy: siła tożsamości nie jest stwierdzeniem bezpieczeństwa.

Wątek infrastruktury nie dotyczy tylko agentów. OpenSSL opublikował poważną lukę w DTLS, CVE-2026-84782, która może prowadzić do wycieku pamięci sterty. Biuletyn ma datę 29 września, a The Hacker News opisał poprawkę 30 września. LiteLLM, szeroko używane proxy do kierowania wywołań modeli, ujawniło eskalację uprawnień do administratora proxy i zdalne wykonanie kodu w biuletynie bezpieczeństwa na GitHubie. Oba przypadki leżą wprost na drodze stosów agentowych, którym przygląda się teraz branża.

Presja ze strony dostawców też rośnie. Cloudflare wykorzystał 30 września, aby otworzyć kod Forge, potoku generowania SDK, CLI i dokumentacji. Jak twierdzi, produkuje on już wynik wymagany dla cf CLI, na powierzchni API ponad 3 500 operacji. Nie każde otwarte wydanie w tym tygodniu było narzędziem bezpieczeństwa. EDACrux podniósł swój czteronarzędziowy pakiet EDA do wersji 1.0, CHOMPI wycofało swój sprzętowy sampler, wydając kod źródłowy, a Fermion Research opublikowało Phonon-2, model rozpoznawania mowy o rozmiarze 164 MB, ze średnim błędem słowa 5,21 procent na siedmiu angielskich zbiorach w Open ASR Leaderboard.

Analitycy Google spodziewają się, że trend będzie dalej rósł. Kelli Vanderlee, starsza analityczka w GTIG, powiedziała, że odkrywanie i wykorzystywanie podatności wspierane przez AI będzie rosnąć w krótkim i średnim terminie. Wiele tegorocznych ujawnień pochodziło od kilku dostawców, w tym producenta oprogramowania routerów Totolink i Oracle.

Jedna liczba powinna spędzać sen z powiek zespołom bezpieczeństwa. Między styczniem a sierpniem liczba wykorzystanych podatności przebiła cały poprzedni rok, jeszcze zanim zaczął się wrzesień.