Umetna inteligenca in avtomatizacija
KO NAPADALEC NI VEČ ZA TIPKOVNICO
Umetna inteligenca kibernetskemu napadalcu ne potrebuje izumiti nove ranljivosti. Dovolj je, da mu pomaga znane slabosti iskati, preverjati in izkoriščati hitreje, vzporedno in z manj neposrednega človeškega dela.
Septembra 2026 je španska Agencia Española de Protección de Datos, AEPD, objavila primer, ki si zasluži pozornost predvsem zato, ker je konkreten. Agencija je prejela prvo prijavo kršitve osebnih podatkov, pri kateri naj bi bil napad izveden z agentom umetne inteligence, ki je uporabljal znan jezikovni model. To je pomembno zapisati natančno. AEPD ni sporočila, da gre za prvi tovrstni napad na svetu ali celo za prvi tak primer v Španiji. Gre za prvo prijavo te vrste, ki jo je prejela sama agencija, okoliščine incidenta pa še preverja. [1]
Po do zdaj objavljenih podatkih naj bi agent iskal ranljivosti, pridobil dostop do sistema in nato nadaljeval z iskanjem slabosti v aplikaciji. Incident naj bi omogočil spreminjanje osebnih podatkov in dostop do računov. AEPD je ob tem opozorila še na razliko, ki je pri takih zgodbah hitro zabrisana. Uporaba določenega modela še ne pomeni, da je bil kompromitiran model, infrastruktura njegovega ponudnika ali da je bilo orodje sploh ustvarjeno za zlonamerno uporabo. Po trenutno znanih informacijah naj bi tretja oseba AI-agenta uporabila kot orodje, ki je povezovalo več faz napada. [1]
En primer seveda še ne pove, kako razširjen je pojav, pove pa nekaj drugega. Možnost, da agent umetne inteligence samostojno opravi pomemben del kibernetskega napada, ni več zgolj teoretična.
Novost ni nujno v sami tehniki
Ko govorimo o umetni inteligenci in kibernetski varnosti, je skušnjava vedno ista. Poiščemo nekaj povsem novega, po možnosti spektakularnega, naj bo to nova vrsta napada, nova ranljivost ali novo digitalno orožje. Resničnost je za zdaj precej bolj vsakdanja.
Napadalci še vedno uporabljajo ukradene poverilnice, nezaščitene storitve, nezakrpane sisteme, phishing, napačne konfiguracije, SQL injection in druge dobro znane poti v informacijska okolja. Septembrsko poročilo podjetja Anthropic o zaznanih zlorabah njihovih sistemov kaže prav to. Večina opisanih operacij ni temeljila na novih kategorijah napadov. Spremenilo se je predvsem to, koliko dela je bilo mogoče prenesti na modele in agentna ogrodja. [2]
V nekaterih analiziranih operacijah AI ni več služil samo kot pomočnik pri pisanju kode ali razlagi tehničnega problema. Agentna ogrodja so izvajala oziroma usklajevala izvidovanje, izkoriščanje ranljivosti, zbiranje poverilnic, obdelavo podatkov in ponekod tudi eksfiltracijo. Nekateri procesi so tekli dalj časa z zelo malo neposrednega človeškega poseganja, posamezni sistemi pa so izvajali več nalog vzporedno. [2]
Tudi te podatke je treba brati previdno. Anthropic sam opozarja, da objavljeni primeri predstavljajo posebej zanimive in nove oblike zaznane zlorabe, ne tipičnega vzorca vseh uporab njihovih sistemov ali vseh kibernetskih napadov. Človek prav tako ni izginil iz procesa. Ljudje so še vedno izbirali tarče, pregledovali rezultate ter odločali, kaj bodo s pridobljenimi podatki naredili naprej. [2]
Zato je vprašanje, ali bo AI »zamenjal hekerja«, precej neuporabno. Veliko bolj zanimivo je, koliko njegovega dela lahko prevzame nase in kaj to pomeni za hitrost, obseg ter strošek celotne operacije.
Od avtomatizacije opravil do avtomatizacije naslednjega koraka
Avtomatizirani napadi niso novost. Skeniranje omrežij, preverjanje gesel, iskanje odprtih storitev in širjenje zlonamerne kode se avtomatizirajo že desetletja. Agentni sistemi pa lahko naredijo še nekaj več. Rezultat posameznega koraka lahko interpretirajo in temu prilagodijo naslednje dejanje.
Klasično orodje lahko preveri tisoče naslovov in zabeleži odprta vrata. Agent lahko ta rezultat postavi v širši kontekst, izbere drugo orodje, oceni njegov odgovor in nadaljuje proti zastavljenemu cilju. Če ena pot ne deluje, lahko poskusi drugo, ob zanimivem sistemu pa začne zbirati dodatne informacije.
To še ne pomeni, da je tak sistem zanesljiv ali posebej pameten. Lahko napačno razume rezultat, izbere slab pristop ali napiše neuporabno kodo. Napadalcu pa tudi ni treba, da deluje popolno. Dovolj je, da zniža količino rutinskega dela in pospeši dele operacije, ki so bili prej počasni. Anthropic v septembrskem poročilu opisuje primere, pri katerih so naloge, za katere bi bile prej potrebne skupine tehnično usposobljenih ljudi, delno prevzeli agenti. Navaja tudi vdore, zaključene v dveh do treh urah, ter posamezne izvajalce, ki so z agentnimi sistemi obravnavali več žrtev hkrati. [2]
Prav na tej točki se začne spreminjati računica napada.
Cena napada
Vsak kibernetski napad zahteva čas, znanje, infrastrukturo in ljudi. Če je za kompromitacijo povprečno zanimive organizacije potrebnih več dni dela zelo usposobljene osebe, marsikatera tarča preprosto ni dovolj privlačna. Ko se del tega dela poceni, se premakne tudi meja, kaj se napadalcu splača.
Umetna inteligenca sama po sebi nikogar ne spremeni v vrhunskega napadalca. Lahko pa zmanjša količino ročnega dela pri izvidovanju, analizi podatkov, prilagajanju orodij in ponavljajočih se opravilih. Če en izvajalec zaradi tega obvladuje več tarč hkrati, se ekonomika napada spremeni tudi brez nove ranljivosti ali nove vrste zlonamerne kode.
Anthropic ta učinek opisuje skoraj neposredno kot spremembo stroškovne učinkovitosti napadov. Večja avtonomija lahko zniža strošek posamezne operacije, poveča obseg, ki ga obvladuje en človek, in naredi zanimive tudi tarče, ki so bile prej premajhne ali premalo donosne. [2] Organizacija zato ni nujno bolj ranljiva zato, ker se je njena tehnologija poslabšala. Lahko je preprosto postala cenejša tarča.
Obramba živi v drugem ritmu
Na drugi strani je pogosto organizacija z dobro znanim postopkom. Varnostni sistem zazna dogodek, opozorilo nekdo pregleda, presodi, ali gre za lažni alarm, incident razvrsti, ga po potrebi eskalira, obvesti odgovorne osebe in pridobi dovoljenje za ukrep. Vsak od teh korakov je lahko povsem razumen, skupaj pa porabijo čas.
Če agentni sistem po neuspelem poskusu v nekaj sekundah spremeni pristop, organizacija pa za pomembno odločitev potrebuje deset ali dvajset minut, težava ni več samo v kakovosti varnostnega orodja. Razlika nastane v hitrosti celotnega procesa.
AEPD je ob septembrskem incidentu opozorila prav na to. Umetna inteligenca ne ustvarja nujno povsem novih groženj, lahko pa poveča hitrost, obseg in prilagodljivost že znanih tehnik ter skrajša čas, ki ga ima organizacija za zaznavo in omejitev napada. [1]
Zato mora biti vnaprej jasno, katere ukrepe lahko obrambni sistemi izvedejo samodejno in kje je potrebna človeška odločitev. Pri trajnem izbrisu podatkov ali spremembi kritične konfiguracije je človeška potrditev smiselna. Pri začasni izolaciji očitno kompromitirane naprave ali preklicu jasno zlorabljenega žetona pa lahko nekaj minut čakanja pomeni nepotrebno tveganje. To je predvsem vprašanje dobro zasnovanega odziva.
Omejitve morajo veljati tudi za obrambne agente
Več avtonomije pomeni tudi večjo potrebo po jasnih mejah. Agent, ki deluje v obrambnem okolju, ne bi smel dobiti neomejenih pravic samo zato, ker opravlja varnostno nalogo. Organizacija mora vedeti, do katerih sistemov lahko dostopa, katere ukrepe sme izvajati brez dodatne odobritve, kako dolgo njegove pravice veljajo in kdaj mora nadzor predati človeku.
NIST je maja 2026 objavil povzetek odzivov na javni poziv o varnosti AI-agentov. Med sodelujočimi je obstajalo široko soglasje, da klasična načela kibernetske varnosti ostajajo veljavna, vendar jih bo pri agentnih sistemih treba prilagoditi zaradi njihove sposobnosti samostojnega izvajanja nalog in interakcije z drugimi sistemi. [3]
Podobno smer ima OWASP Agent Control Standard, objavljen septembra 2026. Njegovo izhodišče je, da agentov ni dovolj nadzorovati samo ob namestitvi ali konfiguraciji. Organizacija mora med izvajanjem vedeti, kaj agent je, do česa lahko dostopa, kaj je naredil in kako je mogoče njegovo vedenje omejiti. Standard zato poudarja preglednost, sledljivost in uveljavljanje pravil med samim delovanjem agenta. [4]
Hitrejša napadalna avtomatizacija povečuje potrebo po hitrejši obrambi, vendar to ne sme pomeniti manj nadzora. Pomeni predvsem bolj premišljene meje, natančneje določene pravice in jasen odgovor na vprašanje, katere odločitve sme sistem sprejeti sam.
Varnostne osnove niso postale zastarele
Pri tako novi tehnologiji je zanimivo, kako hitro se razprava vrne k zelo starim pravilom. Poverilnice ne smejo imeti več pravic, kot jih potrebujejo. Dostopi z večjim tveganjem morajo biti zaščiteni z ustrezno večfaktorsko avtentikacijo. Izpostavljene storitve morajo biti omejene, popravki pravočasni, sistemi segmentirani, nenavadno vedenje pa zaznano dovolj zgodaj.
Nič od tega ni nastalo zaradi umetne inteligence. Spremenila se je lahko cena zanemarjanja teh osnov. Ranljiv sistem je bil nevaren tudi pred agenti. Če lahko avtomatiziran proces v krajšem času pregleda več okolij, analizira več rezultatov in preizkusi več poti, je lahko obdobje med obstojem slabosti in njenim izkoriščanjem krajše.
V takšnem okolju ni več dovolj vprašanje, ali ima organizacija varnostni postopek. Treba je vedeti tudi, ali je ta postopek dovolj hiter, ali so pristojnosti vnaprej določene in ali se ukrepanje začne, preden incident preraste v nekaj večjega.
En primer še ne pove, kaj bo prevladalo
Španski incident sam po sebi ne dokazuje, da so avtonomni AI-agenti postali prevladujoča oblika kibernetskega kriminala. AEPD tega ne trdi, Anthropicovi primeri pa prav tako niso reprezentativen statistični vzorec vseh napadov.
Za previdnejši sklep je podatkov dovolj. Agentna umetna inteligenca že sodeluje pri resničnih kibernetskih operacijah na ravni, ki presega pripravo kode, besedila ali nasveta. V nekaterih primerih izvaja zaporedja dejanj, interpretira rezultate in nadaljuje z omejenim neposrednim človeškim nadzorom.
Za branilca je pomembno predvsem to, kaj se zgodi s tempom napada in količino dela, ki jo lahko opravi en izvajalec. Organizacija ima lahko dobre varnostne izdelke, pravilne postopke in usposobljene ljudi, pa je še vedno prepočasna, če med zaznavo in ukrepom mine preveč časa.
Pri prihodnjih incidentih zato morda ne bo najbolj zanimivo vprašanje, ali je napadalec uporabljal umetno inteligenco. Veliko več bo povedalo,
kaj mu je zaradi nje uspelo opraviti hitreje, v večjem obsegu ali z manj
človeškega dela ter ali je bila obramba temu ritmu sploh prilagojena.
EVIDENCE PROFILE
Dokazni profil članka
Profil pokaže vrsto dokazne podlage in omejitve osrednjega argumenta.
Viri
- 01ADVISORYAEPDAgencia Española de Protección de Datos, 14. september 2026 Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA. AEPD opisuje prvo prejeto prijavo te vrste, poudarja še nedokončan postopek preverjanja ter opozarja na hitrost, obseg in prilagodljivost napadov, podprtih z AI.
- 02ADVISORYAnthropicAnthropic, september 2026 Detecting and countering misuse of AI: September 2026. Poročilo opisuje zaznane in prekinjene zlorabe med decembrom 2025 in avgustom 2026, vključno z večagentnimi sistemi, avtomatiziranim izvidovanjem, izkoriščanjem ranljivosti, obdelavo podatkov in visoko stopnjo operativne avtonomije. Anthropic opozarja, da predstavljeni primeri niso značilni za vse uporabe sistema.
- 03PRIMARY DOCUMENTATIONNational Institute of Standards and Technology (NIST)National Institute of Standards and Technology, 18. maj 2026 Riggs, J., Hamin, M., Perry, N., Edelman, B. in Cihon, P. Summary Analysis of Responses to the Request for Information Regarding Security Considerations for AI Agents. NIST Trustworthy and Responsible AI 800-5.
- 04STANDARDOWASPOWASP GenAI Security Project, 1. september 2026 Agent Control Standard (ACS). Okvir za preglednost, sledljivost, nadzor dostopa in uveljavljanje pravil pri agentnih sistemih med njihovim izvajanjem.
- 05PRIMARY DOCUMENTATIONDodatno preverjanje dogodkaDodatno preverjanje dogodka
- 06SECONDARYReutersReuters, 15. september 2026, Spanish data watchdog publicises first AI agent-linked data breach report.
- 07PRIMARY DOCUMENTATIONAEPDAgencia EFE, 15. september 2026, La Agencia Española de Protección de Datos notifica el primer ataque ejecutado por un agente de IA.