AI agenti a útoky na weby: co je ověřené a co mají udělat správci

Příspěvek na sociální síti popisuje kauzu, v níž měl „čínský hacker“ pomocí AI agentů napadnout české servery a za jeden útok zaplatit zhruba tisíc korun. Tvrzení je však potřeba oddělit od toho, co lze doložit. Ověřený materiál ČT24, postavený na zjištěních Reuters a norské společnosti NorForge, popisuje útoky na západní firemní weby. U českých serverů zatím jde pouze o odvozené riziko, nikoli o potvrzený incident.

Co se řeší v komunitě

V diskuzi se objevuje několik praktických bodů. První je jednoduchý: audit cizích systémů je mnohem užitečnější nahradit kontrolou vlastních webů, administrací, závislostí a serverů. Někteří diskutující připomínají zanedbané aktualizace a operační systémy, které stále běží na nepodporovaných verzích.

Druhá část diskuse se týká samotných modelů. Adam Conway z XDA testoval kybernetické schopnosti modelu Qwen 3.8 27B a uzavřel, že lokální model 27B patří do threat modelu. V jeho testu se model vešel do přibližně 17 GB grafické paměti a provedl statickou analýzu licenční kontroly komerční aplikace s legitimní licencí. AMD podle Conwaya uvádí zhruba 24 GB VRAM pro pohodlný běh. Názory na kvalitu a bezpečnostní pravidla se rozcházely.

To odpovídá závěru, že samotný model není automaticky nástrojem pro útok. Záleží na jeho schopnostech, nástrojích, paměti a pravidlech, v jakých je spuštěný.

Ve vlákně se objevuje i pochybnost, zda AI jen psala skripty, nebo skutečně vedla průzkum. Bez technických důkazů nelze odpovědět. Užitečné je ale rozlišit schopnosti jednotlivých částí: jazykový model může sestavit požadavek, skript nebo plán. O tom, zda pokračovat, ale musí rozhodnout člověk nebo pravidla agentního systému.

Jak to funguje pod kapotou a kde má postup limity

Odborný název pro popsaný postup je automatizovaný průzkum zranitelností pomocí AI agenta. Agent tedy nepořídí „AI hacknutí serveru“. Místo toho kombinuje model, nástroje, paměť a hodnotitele. Model navrhuje další krok, nástroj jej vykoná a hodnotitel rozhodne, zda pokračovat. Neúspěšný pokus agent zahodí a může vyzkoušet jinou hypotézu.

Krátké zadání samo o sobě obvykle nestačí. Většina postupu je již zabudovaná do nástrojů a testovacího harnessu. Prompt vymezuje cíl a omezení; nástroje mají připravené skenování, validaci, reportování a podobné kroky.

Cíl: [najít a ověřit zranitelnosti v povoleném rozsahu]
Omezení: [povolené domény, testovací prostředí, zákaz destruktivních testů]
Nástroje: [skenování, validace, reportování]
Cílový cíl: [výstup a podmínky ukončení]

Nízká cena plyne z automatizace opakovaných pokusů. Místo drahého lidského času platforma opakuje levné testy, dokud některý neprojde známou chybou, zapomenutým panelem nebo zranitelnou závislostí.

Neznamená to, že AI obejde autentizaci, segmentaci či záplatu. Musí nejprve najít vhodnou konfiguraci nebo logickou chybu.

Limity jsou zásadní. Agent se může ztratit v nové byznys logice, guardrailech nebo neznámém workflow. Člověk musí stále rozhodnout, co zkoumat, kdy přestat a zda je výsledek relevantní. Jazyk operátora ani architektura platformy neprokazují zapojení vlády konkrétní země.

Podle Reuters se hackeři pokoušeli od 25. září 2026 zaměřit na e-shopy ve Spojených státech, Kanadě, Austrálii a Japonsku. NorForge hovořil o více než 1 200 cílech a uváděl, že úspěšné vniknutí obvykle trvalo asi 23 hodin. Podle Fagerlanda jeden úspěšný útok stál přibližně 50 dolarů; článek neuvádí, zda tato částka zahrnuje všechny náklady na daný útok. Přesný počet kompromitovaných webů ani rozsah odcizených dat zveřejněný materiál neuvádí.

ZDROJ: ct24.ceskatelevize.cz ↗

Kdy použít standardní bezpečnostní postupy

Kauza není důvodem nasadit neurčitý „anti-AI“ produkt. Je důvodem zjistit, kde je web vystavený. Prvním krokem je inventura internetově přístupných aktiv: serverů, administrativních rozhraní, panelů, API, služeb a závislostí.

Dále je potřeba:

• odstranit nebo omezit přístup k panelům, databázím a interním službám;
• opravovat operační systémy, aplikace i závislosti a stanovit SLA pro bezpečnostní záplaty včetně PHP;
• používat silná hesla, vícefaktorové ověření a oddělit privilegované účty;
• monitorovat autentizaci, změny konfigurace, podezřelé požadavky a exfiltraci dat;
• průběžně opravovat chyby nalezené interním auditem.

Dedikované nástroje mají jasné role. AI review kódu před nasazením může přidat další kontrolu, ale nenahrazuje lidskou bezpečnostní kontrolu ani penetrační test. Virtual patching na WAF dočasně omezí známé vzorce exploitů, pokud čekáte na opravu upstreamové závislosti. Správa expozice je naproti tomu obecnější a pomáhá bez ohledu na to, zda útočník používá AI, skripty nebo ruční práci.

Model lze také použít při bezpečnostním brainstormingu včetně bezpečnostních filtrů, ale jeho návrhy je nutné ověřit. AI agenti jsou vhodní pro automatizaci opakovaného průzkumu v kontrolovaném prostředí, nikoli jako náhrada standardního auditu.

Co si z toho vzít

• Potvrzená kauza se týká západních firemních webů; útok na české servery zatím není doložen.
• Krátký prompt není „hack na pár kliknutí“. Záleží na nástrojích a orchestraci agenta.
• Nejúčinnější obrana je správa expozice, omezení přístupů a rychlé záplaty.
• AI review může pomoci před vydáním změn, ale nenahradí standardní bezpečnostní postupy.
• Při řešení incidentu nebo bezpečnostního auditu je užitečné vlastní systémy skutečně otestovat, nejen diskutovat o riziku.