AI nástroje se za poslední rok přesunuly z hraček na plnohodnotné agenty s přístupem k repozitářům, e-mailům, kalendářům a firemním systémům. S tím roste i útočná plocha a bezpečnost AI modelů se stává standardní součástí CTI agendy, ne okrajovým tématem. Tento článek shrnuje nejvýznamnější bezpečnostní zranitelnosti AI nástrojů v roce 2026 napříč hlavními hráči na trhu (Grok, DeepSeek, ChatGPT, Gemini, Perplexity, Claude) a hledá společný vzorec, který za nimi stojí.
Grok Build a upload celých repozitářů: bezpečnostní zranitelnost xAI
Nejčerstvější kauza spojená s bezpečností AI nástrojů se týká Grok Build, coding CLI nástroje od xAI. Bezpečnostní výzkumník vystupující pod přezdívkou cereblab 12. července zveřejnil wire-level analýzu verze 0.2.93 a zjistil, že nástroj balil celé sledované git repozitáře, včetně kompletní historie commitů a citlivých údajů, a odesílal je do Google Cloud Storage bucketu.
Na testovacím repozitáři o velikosti 12 GB šel model-turn kanál (soubory, které agent skutečně potřebuje k zodpovězení dotazu) na přibližně 192 KB dat. Paralelní storage kanál ale přenesl 5,10 GB v desítkách chunků. Podle analýzy serveru TechTimes byl objem uploadu zhruba 27 800krát vyšší, než kolik dat úkol reálně vyžadoval.
Zásadní zjištění se týkalo privacy nastavení Grok Build. Vypnutí volby „Improve the model“ upload vůbec nezastavilo, protože řídí jen souhlas s trénováním modelu, ne přenos dat samotný. Skutečně upload zastavil až serverový flag disable_codebase_upload, který xAI nasadilo až po zveřejnění. Elon Musk následně přislíbil smazání všech dříve nahraných dat, nezávislý audit smazání ale podle reportáže The Register zatím chybí.
Pro srovnání výzkumník otestoval stejnou metodou i konkurenční nástroje Claude Code, Codex a Gemini. Všechny tři podle zjištění Cybernews zůstaly čistě lokální a odesílaly jen soubory, které agent skutečně otevřel.
Kauza kolem bezpečnosti Grok Build má i lidský rozměr, který dobře ukazuje, jak rychle se podobný nález dokáže rozjet. Jako první na problém upozornil vietnamský vývojář Tinh Dang, který má za sebou patnáct let praxe a s Grok Build začal experimentovat po zkušenostech s Claude Code. Podle reportáže Inc.com se mu zdálo divné chování nástroje natolik, že spustil poplach ještě před cereblabovou technickou analýzou. Jiný uživatel pak nahlásil extrémnější případ: spustil Grok Build ve svém domovském adresáři místo v repozitáři a nástroj mu podle vlákna zdokumentovaného na Simon Willisonově blogu nahrál SSH klíče, databázi password manageru, dokumenty i fotky.
Zpráva se 14. července dostala na titulní stránku Hacker News, což podle několika zdrojů výrazně urychlilo reakci xAI. Do debaty se zapojil i konkurenční OpenAI CEO Sam Altman, který chování Grok Build označil za znepokojivé. Gergely Orosz, autor sledovaného newsletteru The Pragmatic Engineer, k tomu na síti X napsal, že si nedovede představit jedinou seriózní firmu, která by po tomto incidentu Grok CLI nasadila do provozu.
Xai na tlak zareagovalo nečekaně razantně. Tři dny po zveřejnění, 15. července, zpřístupnilo celý zdrojový kód Grok Build pod licencí Apache 2.0. Willison si po prohrabání kódu všiml, že soubor gcs.rs pořád obsahuje logiku pro upload na Google Cloud Storage, jen je teď zablokovaná hardcoded chybovou hláškou. Musk k tomu přidal ještě slib, že platforma X zveřejní úplně celý svůj kódový základ bez výjimek, což několik komentátorů četlo spíš jako snahu o opravu reputace než o řešení skutečné příčiny problému.
DeepSeek: bezpečnostní rizika čínského AI modelu
DeepSeek nasbíral za poslední rok a půl pozoruhodně dlouhý seznam bezpečnostních problémů, který z něj dělá učebnicový příklad rizik spojených s bezpečností AI modelů. Problémy DeepSeek se dají rozdělit do tří kategorií.
Infrastrukturní chyby. V lednu 2025 firma Wiz objevila veřejně přístupnou databázi ClickHouse patřící DeepSeeku, dostupnou bez jakékoliv autentizace na portech 8123 a 9000, jak popisuje výzkum Wiz. Exponováno bylo přes milion záznamů logů včetně chat historie v plaintextu, API klíčů a backend detailů. Útočník mohl databázi dotazovat běžnými SQL příkazy.
Slabiny na úrovni modelu. Cisco a University of Pennsylvania testovaly R1 na 50 promptech z datasetu HarmBench a model odmítl přesně nula z nich, tedy stoprocentní úspěšnost útoku. Pro srovnání GPT-4o v podobném testu blokoval 86 % škodlivých promptů a Gemini 64 %. CrowdStrike navíc zjistil, že pravděpodobnost vygenerování zranitelného kódu u R1 roste až o polovinu, pokud prompt obsahuje slova citlivá pro čínskou komunistickou stranu, jako Tibet nebo Ujguři.
Mobilní aplikace. NowSecure a SecurityScorecard nezávisle analyzovaly iOS a Android verzi aplikace DeepSeek a našly globálně vypnutou ochranu App Transport Security, hardcoded šifrovací klíče používající prolomený algoritmus 3DES, SQL injection zranitelnosti a hesla uložená způsobem, který je umožňuje zpětně získat.
K tomu se přidává geopolitický rozměr bezpečnosti DeepSeek. Jihokorejský regulátor osobních údajů potvrdil, že DeepSeek přenášel prompty uživatelů do čínské firmy Volcano Engine bez jejich souhlasu. Několik zemí včetně Austrálie, Itálie a Tchaj-wanu aplikaci zakázalo na vládních zařízeních.
ChatGPT a Codex: DNS tunneling a útoky na dodavatelský řetězec
Bezpečnost ChatGPT a jeho coding nástroje Codex řešilo OpenAI v roce 2026 na dvou zcela odlišných frontách.
První byl side-channel útok v Python sandboxu, který ChatGPT používá pro spouštění kódu a analýzu dat. Check Point Research zjistil, že ačkoliv OpenAI blokuje přímé odchozí HTTP požadavky, DNS resoluce zůstala funkční. Útočník tak mohl zakódovat citlivá data do DNS dotazů a propašovat je ven bez jakéhokoliv upozornění uživatele. OpenAI tuto zranitelnost ChatGPT opravilo 20. února 2026, bez potvrzeného zneužití v praxi.
Druhá zranitelnost se týkala Codexu, OpenAI coding asistenta. Šlo o command injection přes manipulaci s git větví, který podle BeyondTrust umožňoval útočníkovi ukrást GitHub Installation Access tokeny a spouštět bash příkazy v code review kontejneru, kdykoliv byl Codex zmíněn v komentáři k pull requestu. To otevíralo cestu k laterálnímu pohybu a čtení i zápisu do celého repozitáře oběti.
Samostatnou kapitolou bezpečnostních incidentů OpenAI je supply chain útok z konce března 2026, kdy útočníci napojení na Severní Koreu unesli npm účet správce knihovny Axios a nahráli škodlivé verze s vloženým RAT, jak popisuje Cyber Security News. Kompromitovaná knihovna byla součástí buildovacího procesu OpenAI a útočníci díky ní získali přístup k certifikačnímu materiálu používanému pro podepisování macOS aplikací ChatGPT, Codex a Atlas. OpenAI potvrdilo, že žádná uživatelská data nebyla zasažena, ale všechny certifikáty preventivně zrotovalo.
Google Gemini: bezpečnostní zranitelnost přes kalendář a notifikace
Bezpečnost Gemini prověřily hned dva zajímavé výzkumné nálezy postavené na nepřímé prompt injection.
V lednu 2026 firma Miggo Security ukázala, že stačí vložit skrytý prompt do popisu kalendářové pozvánky. Když se uživatel zeptal Gemini na svůj rozvrh, model automaticky zpracoval i skrytou instrukci, shrnul soukromé schůzky a uložil je do nové kalendářové události, kterou pak mohl útočník přečíst. Google tuto zranitelnost Gemini po nahlášení opravil.
O pár měsíců později SafeBreach tuto techniku rozšířil na hlasového asistenta Gemini na Androidu. Metoda nazvaná „Fake Context Alignment“ umožnila schovat škodlivou instrukci v cizím jazyce vedle neškodné otázky v notifikaci z WhatsAppu, Slacku nebo SMS. Pokud uživatel odpověděl na tu neškodnou část, potvrdil tím zároveň skrytý příkaz, například ovládnutí chytré domácnosti nebo čtení soukromých zpráv. Vzhledem k tomu, že paměť Gemini je napojená na celý Google Workspace účet, mohla se otrava kontextu šířit napříč telefonem, tabletem i počítačem.
Perplexity Comet: bezpečnostní rizika agentního prohlížeče
Perplexity Comet je pravděpodobně nejvíce testovaným agentním prohlížečem roku 2026, a to ze špatných důvodů. Kombinuje totiž klasické prohlížení webu se schopností jednat jménem uživatele v přihlášených relacích, což z bezpečnosti Comet dělá atraktivní cíl pro nepřímou prompt injection.
Firma LayerX popsala techniku CometJacking, kde stačí jediné kliknutí na odkaz se skrytým promptem v URL parametru. Prohlížeč pak instrukci provede jako by pocházela od uživatele, včetně exportu dat z e-mailu a kalendáře zakódovaných do base64, aby prošla kolem detekce.
Zenity Labs identifikoval rodinu zranitelností Perplexity nazvanou PleaseFix. Jedna varianta, PerplexedBrowser, umožňovala agentovi bez jakékoliv interakce uživatele přistupovat k lokálnímu souborovému systému přes protokol file:// a číst soubory z disku. Druhá varianta cílila na rozšíření 1Password nainstalované v prohlížeči. Pokud bylo odemčené, agent mohl projít trezor, vyexportovat přihlašovací údaje, nebo v eskalovaném scénáři rovnou změnit master heslo účtu a získat obnovovací klíč. Perplexity obě zranitelnosti opravilo, mimo jiné tvrdým omezením přístupu agenta k file:// cestám na úrovni kódu, nikoliv jen rozhodováním modelu.
Claude a Claude Code: bezpečnostní zranitelnosti a transparentnost jako oboustranný meč
Anthropic má za sebou v roce 2026 vlastní řadu zveřejněných bezpečnostních zranitelností, což je zajímavý kontrast k jeho pověsti bezpečnostně nejopatrnější laboratoře.
Nejvýznamnější je řetězec nazvaný Claudy Day, který v březnu popsala firma Oasis Security. Šlo o tři zranitelnosti Claude.ai, které dohromady tvořily kompletní útočný řetězec fungující v defaultní, nijak nerozšířené relaci. První stupeň zneužíval neošetřený redirect na doméně claude.com. Druhý stupeň zneužíval možnost předvyplnit chatovací okno přes URL parametr, do kterého šlo vložit neviditelné HTML tagy s vlastní instrukcí. Třetí stupeň pak zneužil, že sandbox pro spouštění kódu sice blokuje odchozí síťový provoz, ale má na seznamu povolených domén api.anthropic.com. Útočník tak mohl nechat Claude prohledat historii konverzací uživatele, vybrat nejcitlivější obsah a nahrát ho přes Files API rovnou na svůj vlastní Anthropic účet. Anthropic prompt injection stupeň opravilo, na zbylých dvou pracovalo v době zveřejnění.
Samostatně byla v lednu 2026 zveřejněna CVE-2026-21852 v Claude Code, kde škodlivý repozitář mohl přes konfigurační soubor přesměrovat proměnnou ANTHROPIC_BASE_URL a vynutit odeslání API klíče uživatele ještě před zobrazením potvrzovacího dialogu o důvěryhodnosti repozitáře. Oprava přišla ve verzi 2.0.65.
Bezpečnostní výzkumník Johann Rehberger už dříve, v říjnu 2025, demonstroval podobný princip u Code Interpreteru: výchozí síťové nastavení „pouze package managery“ sice omezuje odchozí spojení na schválené domény jako npm nebo PyPI, ale mezi nimi je i api.anthropic.com, tedy přesně ten endpoint potřebný pro exfiltraci dat.
Anthropic zároveň v září 2025 samo zveřejnilo, že čínská státem sponzorovaná skupina zneužila Claude Code k pokusu o vícestupňové útoky proti zhruba třiceti cílům po celém světě, přičemž AI provedla 80 až 90 procent kroků kampaně a lidští operátoři dělali jen kritická rozhodnutí.
Společný vzorec napříč všemi incidenty
Když se podíváte na všech šest platforem najednou, opakuje se pár stejných vzorů.
Training consent není totéž co přenos dat. Ať už jde o Grok Build „Improve the model“ toggle nebo obecně rozšířenou představu, že vypnutí trénování znamená, že kód nebo konverzace zůstávají lokálně, realita je jiná. Retence dat pro trénování, telemetrie, session sync a síťový přenos jsou čtyři oddělené mechanismy a vypnutí jednoho neovlivňuje ostatní.
Prompt injection je architektonický problém, ne bug k opravení. Modely nedokážou spolehlivě odlišit instrukci od uživatele od instrukce schované v datech, která zpracovávají, ať je to kalendářová pozvánka, webová stránka, nebo komentář k pull requestu. Týká se to úplně stejně Gemini, Perplexity, Claude i ChatGPT.
Rychlost nasazení předbíhá bezpečnostní review. DeepSeek se rozšířil díky ceně a distribuci přes Hugging Face rychleji, než ho stihly zachytit firemní schvalovací procesy. Podobně agentní prohlížeče a coding CLI nástroje přidávají autonomní schopnosti rychleji, než k nim vznikají odpovídající bezpečnostní hranice.
Nezávislý výzkum funguje, ale audit dopadu chybí. U Grok Build, DeepSeek i Claude bylo zveřejnění zásluhou externích výzkumníků, ne interního auditu. A ve všech třech případech chybí nezávislé potvrzení, že slíbené smazání dat skutečně proběhlo v plném rozsahu.
Doporučení pro firmy a jednotlivce
Kdo AI nástroje nasazuje v provozu, měl by ověřit několik konkrétních věcí. Za prvé, jaký je skutečný síťový provoz nástroje, ideálně přes vlastní wire-level capture nebo proxy, ne jen podle marketingových tvrzení výrobce. Za druhé, zda je povolený seznam domén skutečně minimální, protože i domény samotného výrobce (jako api.anthropic.com nebo GCS bucket u xAI) mohou sloužit jako legitimní exfiltrační kanál. Za třetí, jestli se u agentních nástrojů vynucuje potvrzení citlivých akcí uživatelem, a ne jen doporučuje. A za čtvrté, u nástrojů zpracovávajících repozitáře nebo firemní data zvážit izolované, sandboxované prostředí bez přístupu k produkčním secretům.
Kdo s některým z uvedených nástrojů pracoval s reálnými přihlašovacími údaji v repozitáři nebo souborech, rotace API klíčů, tokenů a hesel je na místě jako preventivní opatření, ne až jako reakce na potvrzený incident.
Zdroje
Grok Build
- Grok Build Shipped Entire Codebases to xAI Cloud (TechTimes)
- Grok Build Repository Upload Allegations Explained (explainx.ai)
- Grok Build uploaded entire Git repositories (Cybernews)
- Musk promises purge after Grok Build caught sending entire repos to the cloud (The Register)
- Grok Build Uploaded Entire Git Repositories: What the Wire Capture Proved (Hive Security)
- Elon Musk’s Grok Faces a Trust Crisis After Developers Flag a Major Privacy Concern (Inc.com)
- xai-org/grok-build, now open source (Simon Willison)
DeepSeek
- Wiz Research Uncovers Exposed DeepSeek Database
- Evaluating Security Risk in DeepSeek and Other Frontier Reasoning Models (Cisco)
- Security Flaws in DeepSeek-Generated Code Linked to Trigger Words (CrowdStrike)
- What You Need To Know About DeepSeek Security Issues (SecurityScorecard)
- DeepSeek Security Concerns: What Businesses Need to Know (WitnessAI)
ChatGPT a Codex
- OpenAI Patches ChatGPT Data Exfiltration Flaw and Codex GitHub Token Vulnerability (The Hacker News)
- OpenAI Warns macOS Users to Update ChatGPT and Codex Immediately (Cyber Security News)
Google Gemini
- Weaponizing Calendar Invites: How Prompt Injection Bypassed Google Gemini’s Controls (Miggo)
- Exploiting Gemini via Prompt Injection (SafeBreach)
Perplexity Comet
- Is Perplexity Comet Safe? LayerX Finds a Prompt Injection Attack Vector
- PerplexedBrowser: Perplexity’s Agent Browser Can Leak Your Personal PC Local Files (Zenity Labs)
Claude a Claude Code
