Autonomiczne ataki AI stanowią nowe zagrożenie dla infrastruktury krytycznej

Google News zwraca uwagę na zgłoszony pierwszy taki przypadek: autonomiczny system AI miał przejąć 85 kont tajwańskich instytucji rządowych i wykraść ponad 2 500 akt pracowniczych.

Badacze powiązali trwającą cztery dni kampanię z hakerami podejrzewanymi o związki z Chinami. System miał następnie kontynuować działania przeciwko tajwańskiej agencji bezpieczeństwa jądrowego oraz co najmniej siedmiu firmom energetycznym.

Ustalenia te nie zostały jeszcze w pełni niezależnie zweryfikowane. Podważają jednak założenie bezpieczeństwa, które obowiązywało na początku 2026 roku. AI mogła wspierać atakującego, lecz ludzie wciąż musieli kierować najtrudniejszymi etapami.

Opisana operacja na Tajwanie sugeruje, że ta granica zaciera się. Napastnicy mieli połączyć osiem otwartoźródłowych modeli AI w platformę zdolną do mapowania sieci, badania luk, prób uzyskania dostępu oraz zmieniania nieskutecznych planów.

To rozróżnienie ma znaczenie. Atakujący wspierany przez AI prosi model o kod lub badania. Autonomiczny atak wyposaża oprogramowanie w narzędzia, uprawnienia, cele i informacje zwrotne, a następnie pozwala mu samodzielnie kontynuować działania przez kilka etapów.

Rezultatem nie musi być bardziej inteligentny haker. Jest nim niestrudzony haker, który może równocześnie testować kilka ścieżek i powtarzać zwykłe techniki z prędkością maszyny.

W lutowej ocenie bezpieczeństwa stwierdzono, że w pełni autonomiczne ataki nadal ogranicza zawodność długich sekwencji działań. Ustalenia dotyczące Tajwanu wywierają teraz presję na ten wniosek.

Sedno rywalizacji jest więc jasne. Autonomiczne systemy ofensywne zyskują szybkość i wytrwałość, podczas gdy obrona infrastruktury krytycznej nadal opiera się na ludzkiej ocenie i rozproszonym raportowaniu.

Relacja Google News wskazuje na przejście od wsparcia do autonomii

Istotną zmianą jest niezależność operacyjna, a nie pojawienie się całkowicie nowej techniki hakerskiej.

Według relacji dotyczących incydentu badacze z izraelskiej firmy cybersecurity Dream wykryli aktywność podczas monitorowania infrastruktury przestępczej. Operacja miała trwać cztery dni.

Napastnicy mieli zbudować swoją platformę z ośmiu otwartoźródłowych modeli AI. Wiele agentów mogło prowadzić rozpoznanie, badać słabości, podejmować próby włamań oraz zmieniać taktykę, gdy jedna ścieżka zawodziła.

Taka architektura przypomina niewielki cyfrowy zespół operacyjny. Jeden agent może mapować wystawione usługi, podczas gdy inny szuka odpowiednich luk. Kolejne agenty mogą testować poświadczenia lub oceniać wyniki.

Warstwa koordynująca przydziela następnie kolejne działania. Agentic scaffolding, czyli oprogramowanie otaczające model, zapewnia narzędzia, pamięć, cele i informacje zwrotne między etapami.

To rozróżnienie pomaga wyjaśnić, dlaczego liczba modeli ma mniejsze znaczenie niż sposób ich orkiestracji. Przeciętny model może stać się skuteczniejszy, gdy oprogramowanie weryfikuje jego wyniki i ponawia nieudane działania.

Badacze podali, że kampania przejęła co najmniej 85 kont rządowych i pozyskała ponad 2 500 akt pracowniczych. Następnie miała zaatakować agencję bezpieczeństwa jądrowego oraz siedem firm energetycznych.

Liczby te pochodzą z dochodzenia Dream oraz późniejszych relacji. Tajwańskie władze nie potwierdziły publicznie każdego szczegółu technicznego opisanego przez badaczy.

Ta luka weryfikacyjna powinna pozostać widoczna. Atrybucja jest trudna w konwencjonalnych dochodzeniach cybernetycznych, a nieznana platforma AI tworzy dodatkową niepewność co do tego, kto kierował każdym działaniem.

Nie wiadomo też, jak często ingerowali ludzie. Napastnicy mogli wybierać cele, zatwierdzać wrażliwe działania lub naprawiać błędy, z którymi system nie potrafił poradzić sobie samodzielnie.

Mimo to opisana kampania różni się od poproszenia chatbota o przygotowanie wiadomości phishingowych. Agenty miały utrzymywać cel, interpretować wyniki i wybierać alternatywne ścieżki w trakcie rozszerzonej operacji.

Szczegółowy opis ataku na Tajwan przedstawia rozpoznanie i włamanie jako powiązane elementy jednego zautomatyzowanego systemu.

Na tym polega napięcie obecne w relacji Google News. Narzędzia mogą być znane, ale pętla decyzyjna zaczęła oddalać się od bezpośredniej kontroli człowieka.

Obrońcy infrastruktury krytycznej nie są w stanie dorównać wytrwałości działającej z prędkością maszyny

Autonomiczne ataki wywierają presję na organizacje, których procesy bezpieczeństwa zaprojektowano z myślą o incydentach w ludzkim tempie i przewidywalnych ścieżkach eskalacji.

Infrastruktura krytyczna obejmuje energetykę, wodociągi, transport, łączność, ochronę zdrowia oraz inne systemy wspierające podstawowe funkcje publiczne. Wielu operatorów łączy nowoczesne usługi chmurowe ze starszą technologią operacyjną.

Technologia operacyjna steruje procesami fizycznymi, takimi jak pompy, turbiny, przełączniki i maszyny przemysłowe. Często pozostaje wdrożona dłużej niż zwykłe oprogramowanie biznesowe.

Ten długi okres eksploatacji tworzy nierówne środowisko obronne. Zespoły bezpieczeństwa muszą chronić nowe systemy dostępne z internetu, nie zakłócając jednocześnie pracy urządzeń, które nie tolerują częstych aktualizacji.

Autonomiczny atakujący może wykorzystać tę nierównowagę. Może stale skanować wystawione zasoby, łączyć odkrycia dotyczące różnych systemów i bez zmęczenia ponawiać techniki.

Obrońcy działają pod innym ograniczeniem. Analitycy muszą odróżnić rzeczywiste włamanie od rutynowego szumu, zanim odizolują usługi, od których zależą ludzie.

Wyłączenie aplikacji korporacyjnej na czas dochodzenia powoduje zakłócenia. Zamknięcie części sieci energetycznej lub wodnej może przynieść natychmiastowe konsekwencje dla społeczeństwa.

Ta asymetria daje atakującym czas. Ich oprogramowanie może przeprowadzać kilka eksperymentów, podczas gdy obrońcy zbierają zgodę operacyjną na jedną istotną reakcję.

Przypadek Tajwanu pokazuje również, dlaczego skradzione dane pracownicze mają znaczenie wykraczające poza prywatność. Akta pracowników mogą wspierać podszywanie się pod inne osoby, ataki na poświadczenia lub ukierunkowane działania wobec osób z uprzywilejowanym dostępem.

Włamanie nie musi od razu docierać do systemów sterowania przemysłowego. Atakujący mogą zacząć od systemów tożsamości, sieci administracyjnych, wykonawców lub dostawców.

Każdy punkt zaczepienia dostarcza więcej informacji do następnej decyzji. Agent z pamięcią może zachowywać odkryte nazwiska, relacje między systemami, poświadczenia i nieskuteczne podejścia.

Taka wytrwałość zmienia ekonomikę rozpoznania. Operatorzy-ludzie tradycyjnie poświęcają czas na analizę wyników i decydowanie, co zasługuje na głębszą uwagę.

Autonomiczna platforma może analizować każdy słaby sygnał. Nie musi wybierać między obiecującymi celami, ponieważ kilka agentów może działać jednocześnie.

Lutowy raport międzynarodowy ostrzegał, że systemy AI mogą zwiększyć szybkość, skalę i zaawansowanie ataków. Stwierdził również, że modele nadal mają trudności z rozbudowanymi łańcuchami ataków.

Opisana kampania sugeruje, że atakujący mogą ograniczać te trudności dzięki orkiestracji. Mogą dzielić długą sekwencję na mniejsze zadania, sprawdzać wyniki i przekierowywać agentów po błędach.

Operatorzy infrastruktury krytycznej są zatem bezpośrednim celem presji. Wynika ona z przyspieszonego wykrywania i dostosowywania się, a nie z całkowicie nieznanej klasy podatności.

Ich wymuszona odpowiedź obejmuje krótsze cykle wykrywania, silniejsze mechanizmy kontroli tożsamości, ściślejszą segmentację oraz przećwiczone uprawnienia do izolowania skompromitowanych systemów.

To długoterminowa zmiana, lecz odpowiedź operacyjna nie może czekać. Gdy rozpowszechnią się wielokrotnego użytku autonomiczne frameworki, więcej podmiotów będzie mogło dostosowywać je do nowych celów.

Otwarte modele nie są jedynym źródłem ryzyka

Główny konflikt to autonomiczna zdolność ofensywna kontra obrona skoncentrowana na człowieku, a nie open source kontra zamknięte źródła.

Opisana platforma na Tajwanie wykorzystywała publicznie dostępne komponenty. Ten szczegół nasili wezwania do ograniczenia dostępu do modeli o zaawansowanych możliwościach w zakresie cybersecurity.

Otwarte modele mogą obniżać koszty rozwoju po stronie atakujących. Ich zachowanie można lokalnie modyfikować, a dostawcy nie mogą wyłączyć pobranego modelu po wykryciu nadużycia.

Skupienie wyłącznie na dostępie do modeli pomija jednak mechanizm stojący za operacją. Otaczające narzędzia decydują o tym, czy model może przeglądać zasoby, wykonywać kod, przechowywać wyniki i działać w aktywnej sieci.

Niedawne mapowanie zagrożeń Anthropic wskazuje, że agentic scaffolding będzie coraz wyraźniej oddzielać podstawową pomoc AI od autonomicznych operacji cybernetycznych.

W tym ujęciu model jest jednym z komponentów. Atakujący zyskują przewagę, budując systemy łączące rozpoznanie, badanie podatności, obsługę poświadczeń, wykorzystanie luk i weryfikację.

Modele komercyjne również wiążą się z ryzykiem. Skradzione konto, skompromitowana aplikacja, słabe zabezpieczenie lub wystawiony interfejs narzędziowy mogą zapewnić atakującemu dostęp do zdolnych systemów hostowanych.

Zamknięty dostęp zapewnia możliwości monitorowania i egzekwowania zasad. Dostawcy mogą narzucać limity użycia, identyfikować podejrzane wzorce, zawieszać konta i aktualizować zabezpieczenia.

Te mechanizmy są wartościowe, ale nie są pełne. Atakujący może dzielić pracę między konta, kierować żądania przez pośredników lub mieszać złośliwe zadania z legalną działalnością związaną z bezpieczeństwem.

Badania obronne tworzą tę samą niejednoznaczność. Model poproszony o zbadanie podatnego oprogramowania może pomagać dostawcy, testerowi penetracyjnemu albo atakującemu przygotowującemu wykorzystanie luki.

Problem podwójnego zastosowania staje się trudniejszy, gdy agenty działają za pośrednictwem zwykłych narzędzi administracyjnych. Konsola chmurowa nie zawsze może ustalić, czy zautomatyzowana zmiana jest autoryzowana.

Dlatego same ograniczenia modeli nie ochronią infrastruktury. Operatorzy muszą kontrolować, do czego każdy agent może dotrzeć i jakie działania może wykonać bez zatwierdzenia.

Ta sama zasada dotyczy agentów defensywnych. Zespoły bezpieczeństwa coraz częściej wykorzystują AI do wstępnej selekcji alertów, dochodzeń i analizy podatności.

Agent defensywny o nadmiernych uprawnieniach może stać się ścieżką ataku. Prompt injection, skompromitowane dane lub skradzione poświadczenia mogą przekierować zaufany system ku szkodliwym działaniom.

Agent powinien zatem otrzymywać ściśle ograniczone uprawnienia. Wrażliwe operacje powinny wymagać niezależnych kontroli, a poświadczenia powinny szybko wygasać i pozostawać powiązane z konkretnymi zadaniami.

Segmentacja sieci również staje się ważniejsza. Skompromitowane konto biznesowe nie powinno zapewniać prostej ścieżki do systemów sterujących operacjami fizycznymi.

Podstawowa rywalizacja nadal dotyczy zdolności i ryzyka. Autonomiczne agenty oferują obrońcom szybkość, lecz ta sama architektura daje atakującym wytrwałość i zasięg.

Polityka ukierunkowana wyłącznie na otwarte modele pozostawiłaby poza ramami agentów chmurowych, skompromitowane narzędzia przedsiębiorstw i źle zarządzaną automatyzację defensywną.

Czego twierdzenie o autonomicznym ataku AI nie dowodzi

Dowody sygnalizują poważną zmianę, ale nie potwierdzają, że autonomiczne systemy mogą niezawodnie włamać się do dowolnie wybranego celu.

Publiczne relacje nie przedstawiają pełnego zapisu kryminalistycznego. Czytelnicy nie mogą niezależnie sprawdzić każdego polecenia, ludzkiego zatwierdzenia, błędu modelu ani dotkniętego systemu.

Określenie „end-to-end” może również ukrywać różne poziomy autonomii. System mógł automatyzować większość kroków, podczas gdy ludzie wybierali cele, dostarczali poświadczenia lub autoryzowali wykorzystanie luk.

Byłby to nadal istotny postęp. Nie oznaczałoby to jednak, że platforma samodzielnie zaplanowała i ukończyła całą operację.

Międzynarodowy raport AI Safety Report wskazał kilka utrzymujących się słabości. Agenci mogą tracić stan operacyjny, wykonywać nieistotne polecenia i nie odzyskiwać sprawności po prostych błędach.

Dobrze zaprojektowana warstwa orkiestracji może ograniczyć te problemy. Nie może zagwarantować, że agenci zrozumieją nieznane środowisko ani że unikną ujawnienia swojej obecności.

Firma cyberbezpieczeństwa VulnCheck poinformowała w lipcu, że mniej niż 2 procent analizowanych przez nią odkryć luk z pomocą AI zostało uzbrojonych w exploity. Wykrycie luki i jej niezawodne wykorzystanie pozostają odrębnymi zadaniami.

Infrastruktura krytyczna stwarza kolejne przeszkody. Sieci mogą obejmować wyspecjalizowany sprzęt, nietypowe protokoły, niepełną dokumentację oraz procesy fizyczne zachowujące się w nieprzewidywalny sposób.

Model ogólnego przeznaczenia może rozpoznać podatny serwer, lecz błędnie zinterpretować konsekwencje zmiany ustawienia przemysłowego. To ograniczenie może zatrzymać atak albo uczynić go bardziej niebezpiecznym.

Atrybucja zasługuje na podobną ostrożność. Badacze mieli powiązać operację z aktorami sprzymierzonymi z Chinami, jednak publiczne dowody pozostają niewystarczające do niezależnego wniosku.

Infrastruktura, wzorce językowe, godziny pracy i wcześniej stosowane techniki mogą wspierać atrybucję. Wykwalifikowani operatorzy mogą również pozostawiać mylące sygnały.

Rzekome cele odpowiadają utrwalonym interesom strategicznym, lecz sam wybór celów nie identyfikuje atakującego. Potwierdzenie ze strony rządu wzmocniłoby tę ocenę.

Istnieje też inne możliwe zniekształcenie. Dostawcy rozwiązań bezpieczeństwa odnoszą korzyści, gdy organizacje postrzegają pilną potrzebę nowych produktów obronnych.

Ta zachęta nie unieważnia ich badań. Sprawia jednak, że przejrzystość techniczna, zewnętrzna weryfikacja i jasne definicje autonomii są niezbędne.

Najmocniejszy możliwy do obrony wniosek jest węższy niż najbardziej dramatyczny nagłówek. Atakujący wydają się zdolni do automatyzowania większej części pętli operacyjnej niż wcześniej.

Niepewne pozostaje, czy ta kampania stanowi powtarzalną platformę. System dostosowany do konkretnego celu może dobrze działać w jednym środowisku, a słabo w innych.

Wcześniejsza ocena The Register uchwyciła poprzedni punkt odniesienia: agenci AI byli pomocni przestępcom, ale zawodni w pełnym przebiegu ataków.

Ustalenia z Tajwanu podważają ten punkt odniesienia, nie znosząc wszystkich ograniczeń. Zmiana polega na przejściu od „niezgłoszono” do „wiarygodnie zarzucono”, a nie od niemożliwości do powszechnej niezawodności.

To rozróżnienie powinno kierować zarówno relacjonowaniem sprawy, jak i polityką. Przesada sprzyja panice, podczas gdy lekceważenie sprawia, że obrońcy przygotowują się na wczorajszą szybkość działania.

Obrońcy potrzebują autonomicznych mechanizmów kontroli bez rezygnacji z nadzoru

Infrastruktura krytyczna potrzebuje szybszej automatyzacji obrony, ale działania o poważnych skutkach nadal wymagają granic, których atakujący nie respektują.

Analitycy nie są w stanie ręcznie sprawdzić każdej sondy generowanej przez maszyny. Jeśli ofensywni agenci zwielokrotniają aktywność, systemy obronne muszą filtrować i korelować sygnały z porównywalną szybkością.

Automatyzacja może wykrywać nietypowe zachowanie tożsamości, podejrzane sekwencje narzędzi, szybkie mapowanie sieci lub powtarzające się próby dostępu w niepowiązanych systemach.

Agent obronny może następnie zebrać kontekst dla analityka. Może połączyć skradzione konto z nowym urządzeniem, nietypową sesją chmurową i dostępem do wrażliwych danych.

Taki proces oszczędza czas, nie dając agentowi nieograniczonych uprawnień. System proponuje ograniczenie zagrożenia, podczas gdy zdefiniowana wcześniej polityka określa, które działania mogą zostać wykonane automatycznie.

Reakcje niskiego ryzyka mogą przebiegać szybko. Sesja może wymagać ponownego uwierzytelnienia, tymczasowy token może wygasnąć, a podejrzany proces może utracić dostęp do sieci.

Reakcje wyższego ryzyka wymagają dodatkowych kontroli. Odłączenie sprzętu operacyjnego lub zmiana sterowania przemysłowego może wpłynąć na bezpieczeństwo i dostępność usług.

Ten model warstwowy pozwala uniknąć fałszywego wyboru między ręczną obroną a nieograniczoną autonomią. Organizacje mogą automatyzować odwracalne kroki, zachowując zatwierdzanie działań o fizycznych konsekwencjach.

Tożsamość zasługuje na szczególną uwagę. Zgłoszona kradzież dokumentacji personelu pokazuje, jak atakujący może pozyskiwać materiał do późniejszych prób uzyskania dostępu.

Każdy człowiek i agent programowy powinien mieć weryfikowalną tożsamość. Uprawnienia powinny odzwierciedlać zadanie, cel, czas trwania i oczekiwane zachowanie.

Aktywność agentów również wymaga trwałych logów. Zespoły bezpieczeństwa muszą wiedzieć, który model działał, jakich narzędzi użył, do jakich danych uzyskał dostęp i dlaczego mechanizm kontroli zezwolił na działanie.

Zwykłe logi aplikacyjne mogą nie rejestrować tego łańcucha decyzyjnego. Agent może wydawać prawidłowe polecenia w złośliwej sekwencji, przez co każde odizolowane zdarzenie wygląda na nieszkodliwe.

Grupy branżowe zaczynają zajmować się luką w raportowaniu. Open Secure AI Alliance zaproponowało wymianę ustaleń dotyczącą incydentów z udziałem systemów autonomicznych.

Proponowane ramy obejmowałyby nieuprawniony dostęp, ujawnienie danych poufnych oraz kontynuowanie sondowania po tym, jak operator podejrzewa niewłaściwe zachowanie.

Wspólne definicje mają znaczenie, ponieważ organizacje obecnie różnie opisują incydenty z udziałem agentów. Jedna firma może nazwać zdarzenie awarią modelu, podczas gdy inna zarejestruje to samo zachowanie jako nadużycie poświadczeń.

Spójne raportowanie pomogłoby obrońcom identyfikować powtarzające się wzorce. Ujawniłoby też, czy rzekome autonomiczne ataki pozostają rzadkimi demonstracjami, czy stają się rutynowymi operacjami.

Propozycja ma ograniczenia. Dobrowolne ujawnianie może wiązać się z ryzykiem prawnym, reputacyjnym i regulacyjnym, nie gwarantując ochrony typu safe harbor.

Operatorzy infrastruktury krytycznej mogą wahać się przed publikowaniem wrażliwych szczegółów dotyczących architektury sieci lub słabości obrony. Rządy będą potrzebować kanałów raportowania chroniących użyteczne informacje operacyjne.

Szersza analiza zarządzania również ostrzega, że ramy zaprojektowane wokół identyfikowalnych ludzkich operatorów będą mieć trudności z ciągłymi systemami autonomicznymi.

Problem ten przekracza granice. Modele, usługi chmurowe, cele i operatorzy mogą znajdować się w różnych jurysdykcjach podczas tej samej kampanii.

Obrońcy nie mogą rozwiązać tego konfliktu jurysdykcyjnego samym oprogramowaniem. Mogą jednak nadal ograniczać ekspozycję poprzez uprawnienia, segmentację, telemetrię i przećwiczone uprawnienia do reagowania.

Trzy sygnały pokażą, czy zagrożenie staje się rutynowe

Kolejnym testem będzie to, czy niezależne dowody przekształcą jedną zgłoszoną kampanię w powtarzalny wzorzec autonomicznego włamania.

Pierwszym sygnałem będzie techniczne potwierdzenie ze strony władz Tajwanu lub niezależnego zespołu reagowania na incydenty. Przydatne dowody wyjaśniłyby harmonogram, dotknięte systemy oraz interwencję człowieka.

Potwierdzenie wzmocniłoby wniosek, że autonomiczne oprogramowanie ukończyło kilka powiązanych etapów ataku na działającą infrastrukturę rządową.

Węższe ustalenie osłabiłoby najmocniejszą wersję tego twierdzenia. Na przykład śledczy mogliby ustalić, że ludzie wykonywali decydujące kroki, podczas gdy agenci zajmowali się rozpoznaniem.

Każdy z tych wyników poprawiłby debatę. Planowanie bezpieczeństwa potrzebuje precyzyjnych poziomów autonomii, a nie binarnej etykiety traktującej każdy wspomagany atak jako w pełni autonomiczny.

Drugim sygnałem będzie powielenie przez niezależne grupy zagrożeń. Obrońcy powinni obserwować kampanie łączące automatyczne wykrywanie, wykorzystanie luk, utrzymywanie dostępu i adaptację.

Powtarzające się użycie pokazałoby, że platforma z Tajwanu nie była wyspecjalizowanym wyjątkiem. Wskazywałoby również, że wymagana wiedza o orkiestracji się rozpowszechnia.

Atakujący nie potrzebują tych samych ośmiu modeli. Podobne zachowanie może wyłonić się z jednego zdolnego modelu połączonego z niezawodnymi narzędziami, pamięcią i systemami weryfikacji.

Brak powielenia nie wyeliminowałby ryzyka. Sugerowałby, że złożoność operacyjna, koszty lub wykrywanie nadal ograniczają powszechne wdrażanie.

Trzecim sygnałem będzie mierzalna zmiana w kontrolach dostawców i rządów. Twórcy modeli mogą wprowadzić silniejsze oceny cyberbezpieczeństwa, monitorowanie kont i ograniczenia dla możliwości wysokiego ryzyka.

Rządy mogą ustanowić definicje incydentów, kanały ujawniania informacji oraz minimalne mechanizmy kontroli tożsamości dla agentów uzyskujących dostęp do systemów krytycznych.

Kolejne oceny w ramach International AI Safety Report będą szczególnie ważne. Benchmarki muszą testować długie sekwencje, odzyskiwanie po awarii oraz zachowanie wobec realistycznych mechanizmów obronnych.

Proste wyzwania związane z lukami nie mogą reprezentować długotrwałego włamania. Agenci wymagają oceny w warunkach zmieniających się poświadczeń, segmentowanych sieci, mylących danych i przerwanego dostępu.

Obrońcy powinni również obserwować, czy proponowana wymiana informacji o incydentach zyska członków i będzie tworzyć użyteczne raporty. Udział bez szczegółowych ustaleń nie poprawi wspólnego bezpieczeństwa.

Dla nabywców korporacyjnych natychmiastowa lekcja jest praktyczna. Każdy agent połączony z infrastrukturą powinien mieć ograniczone poświadczenia, obserwowalne działania i przetestowaną ścieżkę wyłączenia.

Deweloperzy powinni zakładać, że dostęp do narzędzi przekształca wynik modelu w ryzyko operacyjne. Granica bezpieczeństwa otacza cały system agenta, a nie tylko jego prompt.

Pracownicy wiedzy również mają do odegrania rolę. Akta pracownicze, wewnętrzne notatki i skopiowane poświadczenia mogą stać się danymi wejściowymi do zautomatyzowanego wybierania celów.

Ograniczanie niepotrzebnej ekspozycji danych utrudnia późniejsze ataki. Jasne zasady retencji i podzielony na segmenty dostęp ograniczają zakres informacji, które może ujawnić jedno przejęte konto.

Google News będzie nadal eksponować dramatyczne twierdzenia, gdy badacze będą odkrywać nieznane incydenty. Czytelnicy powinni oceniać je na podstawie dowodów technicznych, poziomu autonomii i niezależnego potwierdzenia.

Nie czekaj na idealną definicję, zanim dokonasz przeglądu dostępu agentów. Zacznij od zidentyfikowania każdego autonomicznego systemu, poświadczeń, które posiada, oraz działań, które może wykonać.

Następnie zadaj trudniejsze pytanie: jeśli ten system otrzyma dziś wieczorem wrogi cel, który mechanizm kontroli zatrzyma jego kolejny krok w ciągu kilku minut?