Złośliwe umiejętności AI zwiększają ryzyko dla bezpieczeństwa przedsiębiorstw

Google News uwidocznił wyraźny konflikt wokół AI w przedsiębiorstwach: agenci zyskują użyteczne możliwości dzięki umiejętnościom, podczas gdy atakujący wykorzystują te same rozszerzenia. Najnowsze badania firmy bezpieczeństwa ESET zidentyfikowały ponad 3 000 złośliwych umiejętności wśród niemal 900 000 przeanalizowanych. To odkrycie zmienia wygodną funkcję agentów w problem bezpieczeństwa łańcucha dostaw oprogramowania.

Obawy wykraczają poza jeden marketplace lub kampanię malware. Umiejętności AI mogą łączyć instrukcje, skrypty, zewnętrzną dokumentację i dostęp do wrażliwych systemów. Przejęta umiejętność może zatem wpływać zarówno na decyzje agenta, jak i na narzędzia, którymi steruje.

Przedsiębiorstwa stają dziś przed kompromisem między autonomią a kontrolą. Otwarte ekosystemy przyspieszają eksperymentowanie, ale ich sygnały zaufania pozostają słabsze niż te otaczające ugruntowane pakiety oprogramowania. Badacze wykazali już, że popularność repozytorium, zatwierdzenie przez marketplace i skanowanie statyczne mogą zawieść jednocześnie.

Co Google News ujawnił o złośliwych umiejętnościach AI

Najważniejszą zmianą jest skala, a nie pierwsze pojawienie się złośliwego rozszerzenia.

Badanie ESET za pierwszą połowę 2026 roku objęło aktywność zagrożeń zaobserwowaną od grudnia 2025 do maja 2026 roku. Firma poinformowała, że przeanalizowała niemal 900 000 umiejętności AI i znalazła dziesiątki tysięcy podejrzanych przykładów. Ponad 3 000 sklasyfikowano jako złośliwe.

Umiejętność AI to pakiet wielokrotnego użytku, który określa, jak agent ma wykonywać zadanie, korzystać z narzędzi i obsługiwać powiązane informacje. Niektóre umiejętności zawierają niewiele więcej niż instrukcje. Inne łączą agenta ze skryptami, usługami, plikami, narzędziami wiersza poleceń lub zmieniającymi się zasobami internetowymi.

Badana populacja gwałtownie wzrosła w okresie objętym badaniem. Według doniesień opartych na tych ustaleniach ESET przeskanował około 60 000 unikalnych umiejętności w marcu i niemal 900 000 w maju. Liczba podejrzanych wykryć wzrosła w tym czasie z około 10 000 do ponad 25 000.

Liczba złośliwych wykryć wzrosła z około 600 do ponad 3 000. Dane te nie dowodzą, że każde repozytorium ma taki sam wskaźnik infekcji. Pokazują jednak, że zespoły bezpieczeństwa muszą oceniać rosnącą liczbę zachowań agentów pochodzących od stron trzecich.

Publiczne podsumowanie raportu o zagrożeniach firmy ESET opisuje umiejętności jako małe komponenty funkcjonalne używane przez agentów. Firma znalazła złośliwe i podejrzane przypadki w badanych repozytoriach.

Badacze zaobserwowali możliwości związane z wykonywaniem poleceń, wstrzykiwaniem kodu, dostępem do plików, ładowaniem poświadczeń, zaciemnianiem oraz zewnętrznymi pobraniami. Nie są to automatycznie złośliwe funkcje. Stają się niebezpieczne, gdy deklarowany cel umiejętności ich nie uzasadnia.

Legalna umiejętność dla programistów może potrzebować dostępu do powłoki, aby zbudować aplikację. Asystent dokumentów może potrzebować uprawnień do odczytu wybranych plików. Kluczowe pytanie bezpieczeństwa brzmi, czy te uprawnienia pozostają ograniczone, widoczne i powiązane z zatwierdzonym celem biznesowym.

Tradycyjne malware często trafia do ofiar jako plik wykonywalny, załącznik lub przejęty pakiet. Złośliwe umiejętności AI dodają kolejny format dostarczania. Szkodliwe instrukcje mogą pojawiać się w zwykłym języku, który agent traktuje jako wskazówki operacyjne.

Taka konstrukcja komplikuje wykrywanie. Podczas przeglądu umiejętność może nie zawierać rozpoznawalnego złośliwego pliku binarnego. Zamiast tego może kierować agenta do zewnętrznej strony, później pobierać nowe instrukcje lub niewłaściwie wykorzystywać już dostępne legalne narzędzia.

Materiał Google News ma znaczenie, ponieważ łączy te odrębne ustalenia w opowieść o ryzyku dla przedsiębiorstw. Zagrożenie nie ogranicza się już do eksperymentalnych osobistych agentów. Umiejętności trafiają do procesów pracy używanych przez inżynierów, marketerów, analityków, projektantów i zespoły sprzedażowe.

Użytkownicy ci mogą instalować rozszerzenia, nie traktując tego działania jak wdrożenia oprogramowania. Krótki plik tekstowy wydaje się mniej niebezpieczny niż instalator aplikacji. Agent odczytujący ten plik może jednak już mieć dostęp do poczty e-mail, pamięci masowej w chmurze, kodu źródłowego lub wewnętrznej wiedzy.

Różnica między pozorami a zakresem uprawnień tworzy centralne napięcie. Umiejętności często wyglądają jak dokumentacja, lecz mogą działać jak wykonywalna logika przepływu pracy. Przedsiębiorstwa nie mogą bezpiecznie zarządzać nimi tak, jakby były nieszkodliwymi promptami.

Dlaczego bezpieczeństwo agentów AI przypomina dziś ochronę łańcucha dostaw

Umiejętność staje się zależnością przedsiębiorstwa, gdy agent polega na niej, aby działać wewnątrz systemów firmy.

Bezpieczeństwo łańcucha dostaw oprogramowania śledzi pochodzenie komponentów, osoby odpowiedzialne za ich utrzymanie, wdrożone wersje oraz sposób, w jaki aktualizacje trafiają do środowiska produkcyjnego. Złośliwe umiejętności AI wymagają wielu takich samych kontroli. Wprowadzają też ryzyka behawioralne, których konwencjonalne skanowanie pakietów nie zostało zaprojektowane do interpretowania.

Umiejętność może koordynować kilka zaufanych narzędzi bez wykorzystywania luki w oprogramowaniu. Może polecić agentowi znalezienie poświadczenia, przekształcenie pliku i wysłanie wyniku w inne miejsce. Każde pojedyncze wywołanie narzędzia może wyglądać legalnie, gdy jest oceniane osobno.

Ryzyko rośnie wraz z zakresem uprawnień agenta. Asystent ograniczony do tworzenia tekstów wiąże się z mniejszą ekspozycją niż agent połączony z powłoką, przeglądarką, repozytorium kodu i kontem chmurowym. Agenci przedsiębiorstw coraz częściej zbliżają się do drugiego modelu.

Tworzy to efekt mnożnikowy. Umiejętność dostarcza instrukcje, a agent — uprawnienia, rozumowanie i wykonanie. Atakujący nie musi tworzyć każdej funkcji wewnątrz złośliwego rozszerzenia.

Marketplace ClawHub firmy OpenClaw stał się wczesnym studium przypadku. Badacze udokumentowali złośliwe umiejętności ukierunkowane na poświadczenia i aktywa kryptowalutowe. Część dostarczała znane malware, a inne manipulowały transakcjami prowadzonymi przez agentów.

Unit 42 firmy Palo Alto Networks zbadał aktywność marketplace między lutym a majem 2026 roku. Jego analiza łańcucha dostaw zidentyfikowała pięć niepowstrzymanych złośliwych umiejętności po wprowadzeniu nowych środków kontroli.

Dwie dostarczały narzędzia do kradzieży informacji dla macOS połączone z infrastrukturą command-and-control. Inna wykorzystywała sztucznie powiększone pliki, aby ominąć progi skanerów. Dodatkowe umiejętności dążyły do manipulacji finansowych poprzez zachowania specyficzne dla autonomicznych agentów.

Unit 42 zgłosił pięć umiejętności do ClawHub. Marketplace usunął je i zablokował powiązane konta. Reakcja ograniczyła natychmiastową ekspozycję, ale nie wyeliminowała podstawowego problemu dystrybucji.

Wcześniejsze odkrycia skłoniły już ClawHub do integracji z VirusTotal i ClawScan. Usługi te dodały proaktywne badanie i analizę na poziomie kodu. OpenClaw ogłosił także współpracę z Nvidia nad analizą umiejętności i dokumentacją.

Ta sekwencja jest pouczająca. Marketplace dodał zabezpieczenia po pojawieniu się złośliwych kampanii, a mimo to badacze nadal znajdowali umiejętności unikające wykrycia. Przypomina to wieloletnią rywalizację wokół rozszerzeń przeglądarek, rejestrów pakietów i aplikacji mobilnych.

Umiejętności agentów wprowadzają dodatkową komplikację, ponieważ ich faktyczna treść może wykraczać poza pobrany artefakt. Lokalna umiejętność może polecić agentowi odczytanie dokumentacji online. Ta zewnętrzna strona może się zmienić bez modyfikacji sprawdzonej umiejętności.

Zespoły bezpieczeństwa nie mogą zatem polegać wyłącznie na werdykcie z chwili instalacji. Bezpieczny wynik opisuje to, co skaner zaobserwował w konkretnym momencie. Nie gwarantuje, że każda zależność pozostanie niezmieniona.

Inwentaryzacja przedsiębiorstwa staje się również trudniejsza, gdy pracownicy mogą dodawać umiejętności bezpośrednio. Firma może zatwierdzić platformę agentową, nie wiedząc, które rozszerzenia społecznościowe użytkownicy instalują później. Tworzy to ukryte zachowania AI wewnątrz oficjalnie zatwierdzonego produktu.

To rozróżnienie ma znaczenie dla reagowania na incydenty. Śledczy muszą wiedzieć, która umiejętność została uruchomiona, jakie instrukcje załadowała, które narzędzia wywołała i do jakich informacji uzyskała dostęp. Zwykłe logi aplikacji mogą nie rejestrować całego tego łańcucha.

Organizacje już utrzymują wykazy komponentów oprogramowania dla wybranych systemów. Wdrożenia agentów potrzebują powiązanego rejestru obejmującego modele, narzędzia, umiejętności, zewnętrzne źródła instrukcji, uprawnienia i wersje. Bez takiej mapy osoby reagujące nie mogą wiarygodnie określić skali ekspozycji.

Przeszukiwalny wewnętrzny rejestr może również wspierać dochodzenia po wykryciu ryzykownego rozszerzenia. Zespoły, które organizują lokalne dowody techniczne za pomocą bazy wiedzy dla inżynierów, mogą zachować decyzje z przeglądów, informacje o odpowiedzialności i kontekst działań naprawczych.

Taki rejestr nie zastępuje bezpieczeństwa w czasie działania. Pomaga ustalić, kto zatwierdził zależność i dlaczego. Szerszym wymogiem pozostaje ciągła kontrola nad tym, co agenci mogą odczytywać, wywoływać i przesyłać.

Kluczowy kompromis dotyczy autonomii agentów i kontroli przedsiębiorstwa

Umiejętności zwiększają możliwości agentów, ograniczając potrzebę powtarzalnego nadzoru, co jednocześnie daje złośliwym instrukcjom pole do działania.

Agent przedsiębiorstwa staje się użyteczny, gdy może realizować pracę wieloetapową. Może zbierać wymagania, sprawdzać pliki, wysyłać zapytania do usługi, tworzyć artefakt i dostarczać wynik. Wymaganie zatwierdzenia po każdej drobnej czynności zniwelowałoby znaczną część tej wartości.

Przyznanie szerokiej autonomii rozwiązuje problem użyteczności, ale zwiększa potencjalny promień rażenia. Przejęte rozszerzenie może ponownie wykorzystać te same połączenia, które czynią agenta produktywnym. Atakujący dziedziczy dostęp pośrednio, za pośrednictwem autoryzowanego przepływu pracy agenta.

Nie jest to po prostu rywalizacja między otwartymi a zamkniętymi platformami. Katalog poddany kuracji nadal może dystrybuować przejęty komponent. Prywatna umiejętność nadal może stać się niebezpieczna po zmianie jej repozytorium, konta opiekuna lub zewnętrznej zależności.

Otwarte marketplace zwiększają ekspozycję, ponieważ publikowanie i instalowanie może wiązać się z niewielkim tarciem. Umożliwiają też badania, usuwanie zagrożeń i przegląd społecznościowy. Ograniczenie każdego agenta wyłącznie do umiejętności tworzonych wewnętrznie zmniejszyłoby pewne ryzyka, ale stworzyłoby nowe obciążenia utrzymaniowe.

Decydująca kwestia polega na tym, czy uprawnienia są zgodne z zasadą najmniejszych uprawnień. Umiejętność dla strony docelowej nie powinna potrzebować nieograniczonego dostępu do kluczy SSH ani poświadczeń chmurowych. Umiejętność streszczania nie powinna po cichu wykonywać pobranych skryptów powłoki.

Ta zasada brzmi znajomo, ponieważ jest dobrze znana. Zasada najmniejszych uprawnień od dekad kieruje bezpieczeństwem tożsamości i aplikacji. Systemy agentowe utrudniają jej egzekwowanie, ponieważ agent może łączyć kilka indywidualnie dozwolonych działań w niebezpieczną sekwencję.

Umiejętności działają także na warstwie semantycznej. Ich instrukcje opisują cele i procedury w języku naturalnym. Tradycyjne mechanizmy bezpieczeństwa doskonale rozpoznają znane wzorce kodu, hasze plików i wskaźniki sieciowe.

Są mniej skuteczne, gdy niebezpieczne zachowanie jest wyrażone jako wiarygodne wskazówki operacyjne. Instrukcja może prosić agenta o uzyskanie elementu wstępnego, weryfikację konta lub synchronizację konfiguracji. Szkodliwy zamiar ujawnia się dopiero w kontekście.

Wskazówki OWASP dotyczące umiejętności agentowych oddzielają tę warstwę behawioralną od warstwy połączeń narzędziowych. Narzędzia definiują dostępne działania, a umiejętności organizują te działania w przepływy pracy.

OWASP wskazuje złośliwe umiejętności, kompromitację łańcucha dostaw, nadmierne uprawnienia, niezaufane zewnętrzne instrukcje, słabą izolację i dryf aktualizacji jako jedne z głównych zagrożeń. Lista ta pokazuje, dlaczego jeden skaner lub jedna polityka nie może objąć całego problemu.

Bezpieczna architektura potrzebuje kilku granic. Marketplace musi zapewniać pochodzenie. Platforma agentowa musi egzekwować uprawnienia. Kontrole środowiska wykonawczego muszą obserwować działania, a organizacja musi utrzymywać inwentaryzację i własność.

Akceptacja człowieka pozostaje użyteczna, gdy dotyczy istotnego ryzyka. Wysłanie zwykłego szkicu do wewnętrznego folderu może odbywać się automatycznie. Przesyłanie poufnych plików lub zmiana infrastruktury produkcyjnej powinny wymagać silniejszego upoważnienia.

Wyzwaniem jest unikanie bezsensownych komunikatów. Użytkownicy rutynowo zatwierdzają prośby, których nie rozumieją, zwłaszcza gdy przerwy stają się częste. Okno akceptacji nie może zrekompensować nadmiernych domyślnych uprawnień ani niewidocznych zmian zależności.

Nabywcy korporacyjni powinni również odróżniać użyteczność umiejętności od jej wiarygodności. Popularność świadczy o adopcji, a nie o bezpieczeństwie. Duża liczba gwiazdek może budować społeczne potwierdzenie, nie mówiąc nic o bieżącym zachowaniu zewnętrznych instrukcji.

Ta sama ostrożność dotyczy odznak marketplace’ów. Zatwierdzenie może potwierdzać, że zgłoszenie przeszło weryfikację. Nie gwarantuje jednak, że powiązane zasoby, własność repozytorium lub pakiety downstream pozostaną stabilne.

Ten kompromis będzie kształtować adopcję w przedsiębiorstwach. Zespoły bezpieczeństwa, które blokują każde rozszerzenie, wypchną eksperymenty do niezarządzanych środowisk. Zespoły dopuszczające nieograniczoną instalację stworzą rozrastający się graf zależności, którego nie będą w stanie skontrolować.

Wykonalnym rozwiązaniem pośrednim jest zarządzana autonomia. Użytkownicy mogą korzystać z zatwierdzonych możliwości, podczas gdy działania wysokiego ryzyka pozostają odizolowane i obserwowalne. Umiejętności otrzymują uprawnienia powiązane z ich przeznaczeniem, a nie wszystkie uprawnienia dostępne agentowi hostującemu.

Zarządzana autonomia wymaga również cofania dostępu. Gdy umiejętność staje się niebezpieczna, administratorzy muszą odnaleźć każdą instalację, ją wyłączyć, unieważnić ujawnione poświadczenia i przeanalizować powiązaną aktywność. Samo usunięcie z marketplace’u nie wystarczy.

Skanery statyczne przegrywają wyścig o zaufanie

Najsilniejsze ostrzeżenie pochodziło od pozornie nieszkodliwej umiejętności badawczej, która według doniesień dotarła do ponad 26 000 agentów po przejściu dostępnych skanerów.

Badacze AIR Security stworzyli umiejętność o nazwie brand-landingpage. Pozornie miała pomagać użytkownikom nietechnicznym tworzyć stronę docelową za pomocą narzędzia projektowego Stitch od Google. Umiejętność oferowała rzeczywistą funkcjonalność, co uwiarygadniało propozycję.

Badacze zgłosili ją do popularnej kolekcji open source zawierającej 156 umiejętności i około 36 000 gwiazdek GitHub. Wkład został zaakceptowany po kilku dniach. Następnie AIR promował tę umiejętność reklamą na Instagramie skierowaną do marketerów, projektantów i sprzedawców.

Spakowana umiejętność początkowo nie zawierała oczywistego złośliwego ładunku. Zamiast tego kierowała agentów do dokumentacji instalacyjnej w domenie kontrolowanej przez badaczy. Domena początkowo przekierowywała odwiedzających do legalnej usługi Stitch.

AIR później zmienił zewnętrzne instrukcje. Zaktualizowana strona nakazywała agentom pobrać i uruchomić skrypt. Na potrzeby eksperymentu ładunek zbierał adresy e-mail, aby można było powiadomić dotkniętych użytkowników.

Badacze stwierdzili, że żaden agent nie doznał szkody. Powiedzieli również, że technika mogła dotrzeć do prywatnych rozmów i połączonych systemów wewnętrznych. Te szersze skutki były możliwymi rezultatami, a nie udokumentowanymi stratami z eksperymentu.

Relacja AIR z kontrolowanego testu umiejętności wskazuje, że skanery Cisco, Nvidia i skills.sh oznaczyły zgłoszenie jako bezpieczne. Wynik ujawnił strukturalne ograniczenie statycznej weryfikacji.

Skaner może sprawdzić bieżące pliki umiejętności, a mimo to przeoczyć przyszłe treści hostowane gdzie indziej. Zewnętrzna dokumentacja działa jako zmienna zależność. Jej właściciel może zmienić instrukcje po tym, jak marketplace i użytkownicy nabiorą zaufania.

Metoda ta przypomina opóźnione złośliwe aktualizacje w dojrzałych ekosystemach oprogramowania. Różnica tkwi w dostarczaniu. Atakujący może zmienić zwykły język, który agent później interpretuje jako autorytatywne wskazówki proceduralne.

Analiza statyczna nadal ma wartość. Może identyfikować znany złośliwy kod, zaciemnione polecenia, podejrzane adresy URL, nadmierne uprawnienia i niebezpieczne zależności pakietów. Błędem jest traktowanie jednego czystego skanowania jako trwałej decyzji o zaufaniu.

Testy behawioralne dodają kolejną warstwę. Piaskownica może uruchomić umiejętność w ograniczonym środowisku agenta i obserwować próby dostępu do plików, pobierania, polecenia oraz komunikację sieciową. Takie podejście może ujawnić zachowanie ukryte za wiarygodnym tekstem.

Jednak sandboxing również ma ograniczenia. Atakujący może opóźnić aktywację, reagować na sygnały środowiskowe lub dostarczać nieszkodliwe instrukcje znanym systemom analitycznym. Test nie jest też w stanie przewidzieć każdej interakcji między umiejętnością a wewnętrznymi narzędziami przedsiębiorstwa.

Dlatego ciągłe monitorowanie ma znaczenie po instalacji. Systemy bezpieczeństwa muszą wykrywać, gdy umiejętność kontaktuje się z nową domeną, żąda szerszego dostępu do danych, zmienia wzorzec wykonywania lub wywołuje narzędzia wykraczające poza jej oczekiwane przeznaczenie.

Przypinanie treści może ograniczyć dryf zewnętrznych instrukcji. Przedsiębiorstwo może zachować zweryfikowaną wersję dokumentacji lub wymagać skrótów kryptograficznych dla pobieranych komponentów. Agent nie powinien automatycznie ufać temu, co później zwróci zmienny adres URL.

Kontrole sieciowe zapewniają kolejny punkt kontrolny. Umiejętności, które nie potrzebują dostępu do internetu, nie powinny go otrzymywać. Pozostałe można ograniczyć do zatwierdzonych domen, metod i miejsc docelowych.

Widoczność środowiska wykonawczego musi wykraczać poza ruch sieciowy. Obrońcy potrzebują śladu łączącego żądanie użytkownika, wybraną umiejętność, pobrane instrukcje, decyzje modelu, wywołania narzędzi i wynikający z nich przepływ danych. W przeciwnym razie każde działanie traci swój kontekst behawioralny.

Eksperyment AIR nie dowodzi, że każda popularna umiejętność jest niebezpieczna. Pokazuje, że powszechne sygnały zaufania mogą zbiegać się wokół fałszywego wniosku. Reputacja, akceptacja marketplace’u i skanowanie wspierały ten sam złośliwie zaprojektowany artefakt.

To sceptyczne spojrzenie powinni zachować liderzy przedsiębiorstw. Dostawcy bezpieczeństwa wprowadzają skanery specyficzne dla AI, ale żaden skaner nie może zapewnić trwałej gwarancji dla zmiennych przepływów pracy. Deklaracje produktowe należy oceniać na podstawie rzeczywistych testów obchodzenia zabezpieczeń i przejrzystych wskaźników niepowodzeń.

Relacje Google News mogą zwiększać świadomość, ale świadomość nie ustanawia kontroli technicznej. Nabywcy potrzebują dowodów, że platformy agentowe potrafią ograniczać działania po tym, jak umiejętność przejdzie weryfikację. Zapobieganie i ograniczanie skutków muszą działać razem.

Kto odczuwa presję rosnącego ryzyka

Platformy agentowe, dostawcy bezpieczeństwa i nabywcy korporacyjni ponoszą teraz wspólną odpowiedzialność za zależność, której żadna ze stron nie może samodzielnie zarządzać.

Operatorzy marketplace’ów stoją przed najbardziej bezpośrednią presją. Muszą równoważyć szybki rozwój społeczności z weryfikacją wydawców, przeglądem artefaktów, kontrolą aktualizacji i reagowaniem na incydenty. Większe utrudnienia przy zgłoszeniach mogą spowolnić wzrost, ale słabe kontrole niszczą zaufanie.

Twórcy platform agentowych kontrolują środowisko wykonawcze. Decydują, czy umiejętności działają z uprawnieniami hosta, w kontenerach czy za pośrednictwem ograniczonych narzędzi. Ich architektura określa, jak daleko może dotrzeć złośliwa instrukcja.

Dostawcy bezpieczeństwa stają przed innym sprawdzianem. Muszą identyfikować szkodliwe zachowania wyrażane przez kod, język naturalny, zmienne strony internetowe i legalne narzędzia administracyjne. Istniejące sygnały z endpointów i sieci pozostają cenne, ale kontekst semantyczny staje się niezbędny.

Korporacyjne zespoły bezpieczeństwa nie mogą zlecić całego problemu na zewnątrz. Wybierają, które platformy trafiają do organizacji i jakie połączenia te platformy otrzymują. Decydują również, czy pracownicy mogą instalować społecznościowe umiejętności bez weryfikacji.

Deweloperzy pozostają grupą wysokiego ryzyka, ponieważ agenci programistyczni często mają dostęp do powłoki i repozytoriów. Złośliwa umiejętność mogłaby atakować kod źródłowy, poświadczenia pakietów, klucze podpisujące, tokeny chmurowe lub konfigurację wdrożenia.

Użytkownicy nietechniczni stanowią inne pole ekspozycji. Umiejętność marketingowa lub sprzedażowa może uzyskać dostęp do poczty e-mail, danych klientów, zasobów marki, notatek ze spotkań i systemów treści. Jej przyjazny interfejs może ukrywać zakres uprawnień podstawowego agenta.

Zespoły zakupowe potrzebują zatem pytań wykraczających poza dokładność modelu. Powinny pytać, jak platforma wykrywa zainstalowane umiejętności, rejestruje wersje, obsługuje zewnętrzne instrukcje i rozdziela środowiska użytkowników.

Muszą także rozumieć cofanie dostępu. Czy administratorzy mogą wyłączyć umiejętność na każdym endpointcie? Czy potrafią określić, które poświadczenia były dostępne w okresie jej instalacji?

Zespoły ds. zgodności będą zainteresowane dowodami. Jeśli agent przesyła informacje o klientach za pośrednictwem niezatwierdzonej umiejętności, organizacja musi odtworzyć przebieg zdarzeń. Ogólny transkrypt chatbota może nie wyjaśniać każdego późniejszego wywołania narzędzia.

Osoby reagujące na incydenty mają podobne potrzeby. Potrzebują niezmiennych logów i wiarygodnej osi czasu. Muszą także wiedzieć, czy usunięta umiejętność utworzyła trwałość gdzie indziej, na przykład zaplanowany proces lub zmienioną konfigurację.

Ustalenia Unit 42 ilustrują tę kwestię. Badacze zaobserwowali mechanizmy utrwalania związane ze złośliwą aktywnością na marketplace’ach. Usunięcie widocznej oferty nie neutralizowało automatycznie każdego wdrożonego ładunku ani kanału poleceń.

Przedsiębiorstwa powinny traktować poświadczenia agentów jako potencjalnie ujawnione po potwierdzonej złośliwej instalacji. Oznacza to unieważnienie odpowiednich tokenów, przegląd aktywności uwierzytelniania, sprawdzenie zmodyfikowanych plików i analizę połączeń wychodzących.

Ryzyko nie jest rozłożone równomiernie między wszystkimi wdrożeniami. Odizolowany agent badawczy z danymi syntetycznymi powoduje ograniczone konsekwencje. Autonomiczny agent podłączony do systemów produkcyjnych tworzy znacznie większy problem kontrolny.

To rozróżnienie powinno kierować polityką. Organizacje mogą klasyfikować agentów i umiejętności według dostępnych danych, dostępnych narzędzi, autonomii, zasięgu sieciowego i wpływu na działalność. Kombinacje o wyższym ryzyku otrzymują bardziej rygorystyczną weryfikację i monitorowanie.

Presja dotyka również programów zarządzania AI. Wiele z nich skupia się na wyborze modeli, warunkach prywatności, dokładności wyników i dopuszczalnym użyciu. Złośliwe umiejętności AI wprowadzają zależności operacyjne, które bardziej przypominają bezpieczeństwo aplikacji niż zarządzanie modelami.

Komitety zarządzające potrzebują odpowiedzialności technicznej, a nie tylko pisemnych zasad. Ktoś musi zatwierdzać źródła umiejętności, utrzymywać inwentaryzację, wyznaczać granice uprawnień i reagować, gdy zaufana zależność się zmienia.

Zwycięskie podejście nie będzie opierać się na jednym dziale. Inżynieria platform może egzekwować kontrole wdrożeniowe. Bezpieczeństwo może monitorować zachowanie, a właściciele biznesowi definiować dopuszczalne zadania i dostęp do danych.

Bez tej koordynacji organizacje stworzą dwie niezadowalające ścieżki. Zatwierdzeni agenci pozostaną zbyt ograniczeni, by pomagać, podczas gdy pracownicy będą instalować mniej kontrolowane alternatywy. Oba rezultaty osłabiają nadzór przedsiębiorstwa.

Trzy sygnały pokażą, czy obrona nadrabia zaległości

Kolejna faza będzie mierzona poprzez kontrole marketplace’ów, dowody z działania w przedsiębiorstwach oraz niezależne testy wykrywania.

Pierwszym sygnałem będzie to, czy główne rejestry umiejętności przyjmą weryfikowalne pochodzenie i niezmienne wersjonowanie. Marketplace powinien identyfikować wydawcę, zachowywać zweryfikowane artefakty i ujawniać każdą zmianę. Zewnętrzne instrukcje również wymagają inwentaryzacji i kontroli integralności.

Jeśli rejestry wdrożą te środki szeroko, atakujący napotkają większe trudności przy zastępowaniu zaufanych treści. Wzmocni to argument, że otwarte ekosystemy umiejętności mogą dojrzewać bez rezygnowania ze wkładu społeczności.

Jeśli rejestry nadal będą polegać na popularności i jednorazowym skanowaniu, obecna ocena ryzyka stanie się mocniejsza. W miarę jak wartościowe umiejętności będą zdobywać użytkowników, należy oczekiwać większej liczby opóźnionych ładunków i przejęć zależności.

Drugim sygnałem jest to, czy korporacyjne platformy agentów zapewniają egzekwowalne uprawnienia na poziomie umiejętności. Administratorzy potrzebują ograniczeń dotyczących plików, narzędzi, poświadczeń, poleceń i docelowych lokalizacji sieciowych. Ograniczenia te muszą towarzyszyć umiejętności we wszystkich wdrożeniach.

Równie istotne są przejrzyste ślady działania w środowisku wykonawczym. Analityk bezpieczeństwa powinien móc powiązać działanie z umiejętnością i zewnętrznymi instrukcjami, które je wywołały. Dzienniki powinny być odporne na lokalne manipulacje i umożliwiać wyszukiwanie w skali całej organizacji.

Jeśli platformy zapewniają takie mechanizmy kontroli, złośliwą umiejętność łatwiej będzie ograniczyć. Nadal może ona trafić do środowiska, lecz jej zdolność do docierania do niepowiązanych zasobów zmaleje. Osłabiłoby to najpoważniejsze scenariusze korporacyjne.

Jeśli platformy udostępniają każdą umiejętność z pełnym zakresem uprawnień agenta, ryzyko pozostaje skoncentrowane w punkcie końcowym. Jedno przeoczone rozszerzenie może odziedziczyć dostęp do wielu niepowiązanych systemów.

Trzecim sygnałem są niezależne testy odporności na zmienne i opóźnione ataki. Oceny skanerów powinny uwzględniać zmiany zewnętrznych instrukcji, przekierowania z zaufanych domen, uśpione ładunki, przejęcia repozytoriów oraz legalne narzędzia wykorzystywane w niebezpiecznych sekwencjach.

Eksperyment z udziałem 26 000 agentów dostarczył jednego takiego testu. Przyszłe oceny wymagają powtarzalnych metod, przejrzystych próbek oraz ujawnień wyraźnie oddzielających podejrzewane zachowanie od potwierdzonego złośliwego oprogramowania.

Spójne wykrywanie przez niezależne narzędzia sugerowałoby, że rynek rozwija wspólne bazowe standardy bezpieczeństwa. Duże rozbieżności pokazałyby, że dostawcy nadal różnie definiują złośliwe zachowanie.

Organizacje nie powinny czekać na doskonałe standardy. Mogą zacząć od zinwentaryzowania zainstalowanych umiejętności i przypisania każdej z nich właściciela, źródła, wersji, uprawnień oraz zewnętrznych zależności.

Mogą izolować agentów o wysokich uprawnieniach, ograniczać dostęp do sieci i wymagać zatwierdzenia dla wrażliwych działań. Mogą także ponownie skanować umiejętności, gdy zmieniają się zależności, a nie tylko w chwili ich pierwszej instalacji przez użytkowników.

Zespoły powinny traktować usunięte lub nowo oznaczone umiejętności jako sygnały do uruchomienia procedury reagowania na incydent. Reakcja powinna obejmować analizę poświadczeń, mechanizmów utrzymania dostępu, dostępu do danych i komunikacji wychodzącej. Usunięcie lokalnej umiejętności jest jedynie pierwszym krokiem.

Zainteresowanie Google News złośliwymi umiejętnościami AI powinno prowadzić do jednego praktycznego pytania: czy Twoja organizacja potrafi wyjaśnić, do czego uprawniony jest każdy agent korporacyjny? Jeśli odpowiedź jest niepełna, zacznij od agentów połączonych z kodem, systemami chmurowymi, danymi klientów i wewnętrzną komunikacją. Zmapuj ich umiejętności, ogranicz niepotrzebne uprawnienia i zachowaj dowody potrzebne do zbadania ich działań. Bezpieczeństwo agentów AI nie będzie zależeć od znalezienia jednego idealnego skanera. Będzie zależeć od połączenia wiarygodnej dystrybucji, ograniczonych uprawnień, ciągłej obserwacji i szybkiego wycofywania dostępu, zanim pozornie użyteczne rozszerzenie stanie się korporacyjnym incydentem.