Kyberzápisník #89: AI agenti v kyberútocích: září 2026 jako zlom agentic útoků

AI agenti v kyberútocích přestali být teoretickým strašákem z konferenčních přednášek. Září 2026 přineslo hned několik veřejně popsaných případů, kdy autonomní agenti nepsali jen phishingové maily nebo pomáhali s kódem, ale sami řídili průzkum, exploitaci, persistenci i úklid po útoku. Následuje přehled toho nejdůležitějšího, včetně architektury, která stála za největší kampaní měsíce.

AI agenti a DIVD: první agentic útok na cybersecurity neziskovku

Nizozemský Dutch Institute for Vulnerability Disclosure (DIVD) sedm let skenuje internet, hledá zranitelnosti a upozorňuje majitele systémů. Koncem září oznámil, že sám zažil první skutečně agentic útok.

Útočník nejdřív zneužil technickou zranitelnost (DIVD výslovně uvedl, že nešlo o Citrix NetScaler) a poté pustil autonomního AI agenta, který si o dalších krocích rozhodoval sám. Agent podle popisu pracoval extrémně rychle, ale s rozbitou logikou. Mimo jiné si sabotoval vlastní adversary-in-the-middle útok tím, že současně spouštěl password spraying. K tomu své kroky neustále komentoval a vysvětloval.

DIVD celý incident shrnul slovy „loud and very, very messy“. Agent byl podle výzkumníků špatně natrénovaný a nakonfigurovaný, takže po sobě nechal spoustu stop pro forenzní analýzu. Případ byl nahlášen policii, nizozemskému úřadu pro ochranu osobních údajů i národnímu centru kybernetické bezpečnosti. Podrobnější update byl slíbený na 1. října. Pro obránce je to dobrá zpráva, ale pouze dočasná. Chaotický agent je jen otázka ladění.

AI agenti a PaperCut: 11 organizací za 26 sekund

Kampaň běžela od 31. srpna a v první polovině září o ní psaly GreyNoise, Blackpoint Cyber a další. Pravděpodobně rusky mluvící útočník nasadil stovky AI agentů proti dvěma zranitelnostem v PaperCut NG/MF:

CVE-2026-81578 (improper access control, CVSS 8.8)
CVE-2026-82078 (unsafe reflection, CVSS 9.4)

Podle dostupných informací orchestraci obstarával OpenAI Codex a část práce model DeepSeek, pravděpodobně kvůli slabším safety filtrům. Útočník si nejdřív postavil lab s vulnerabilním PaperCutem a Active Directory, odladil exploit chain a teprve potom pustil agenty do ostrého provozu.

Výsledky kampaně:

minimálně 440 serverů u 395 organizací ve 48 zemích
credential harvesting na 280 hostech, secrets z 137, domain admin u 12 organizací
11 organizací kompromitovaných během 26 sekund
na jedné americké střední škole 7 minut od prvního přístupu po domain admina
nejvíc zasažené školství (204 obětí)

Od prázdného workspace k první RCE na reálném cíli uběhly méně než 4 hodiny a první domain admin přišel o dvě hodiny později. Zajímavý detail: agenti ignorovali seznam 28 zemí, které měl útočník původně vynechat. Škálu tedy zvládli, kontrolu nad nimi ne.

AI agenti Strix, Cairn a Hermes: 600 000 karet za pár desítek dolarů

Nejpodrobněji zdokumentovaný případ měsíce popsala Gambit Security. Kampaň běžela od července s vrcholem mezi 10. a 15. zářím. Jeden operátor, podle všeho čínsky mluvící, řídil tři open-source frameworky a lidská role se omezila na krátká zadání. Za celou dobu napsal 1 951 promptů napříč 260 sessions.

Architektura

Kampaň připomíná CI/CD pipeline pro útoky:

Strix (vulnerability discovery): modely GLM 5.2 a později DeepSeek v4 Pro. Za 195 hodin reálného času odpracoval 633 hodin scanneru, tedy 146 deep-mode runů proti 138 hostům.
Cairn (autonomní exploitace): model DeepSeek v4.1 Flash. Dostal cílovou doménu a cíl, například shell nebo admin přístup, a iteroval, dokud cíle nedosáhl. Jen mezi 10. a 15. zářím spustil 105 attack projektů.
Hermes (orchestrátor, paměť, skills): open-source agent od Nous Research, provozovaný přes OpenRouter na modelu Claude Opus 4.6. Novější modely útočné požadavky odmítaly, proto operátor sáhl po staršímu.

Hermes je řízený souborem SOUL.md, který se stává první částí system promptu a přepisuje identitu agenta. Operátor tam nahrál čínskou personu „SOUL – Red Team Operator“ se 121 skills, z toho 78 útočnými. Jedna ze skills dokonce odstraňovala content-security filtry samotného harnessu. Safety vrstva tedy neseděla jen na modelu, ale i na orchestrátoru, a ten měl útočník pod kontrolou.

Skills jako procedurální paměť

Skills jsou markdown soubory s YAML frontmatterem, které agent uměl i sám vytvářet a upravovat. Nejznámější je „Database Wipe After Extraction“, která po exfiltraci platebních dat mazala zdrojová pole z Magento databází. Matching tabulek ale fungoval podle prefixů a částí názvu. U jednoho cyklistického e-shopu agent smazal 180 tabulek, včetně záloh, které si vytvořili sami admini oběti. Skill fungovala přesně podle zadání, jen kontext oběti byl jiný, než s jakým počítal autor.

Další skills řešily nasazení JavaScript skimmerů do běžných bundlů (jQuery, Bootstrap, Google tags) i persistenci. U jednoho obchodu s vínem agent nasadil cron job, který každé dvě minuty kontroloval velikost souboru a po redeployi skimmer znovu připojil.

Dopad a ekonomika

minimálně 27 zasažených organizací (retail, hospitality, letectví, včetně hotelové firmy z Fortune 500 a velké americké aerolinky)
přes 600 000 neexpirovaných platebních karet (79 % z USA), a to z pouhých dvou obětí
skimmery potvrzené u 19 obětí a na dalších více než 100 webech
průměrně 25,46 USD za dokončený scan (rozmezí 3 až 79 USD), celá kampaň odhadem 12 až 18 tisíc USD

Jedna ze zdokumentovaných cest vedla přes neautentizovanou SQL injection, čtení OTP z plaintext tabulky (a tím obejití MFA), admin panel, nekontrolovaný file upload, eskalaci přes sudo NOPASSWD, NFS mount a 46 secrets z AWS Secrets Manageru až k dešifrování uložených karet. Klasický řetězec chyb, jen složený automaticky.

Kampaň prozradil operátorův staging server, který zůstal vystavený na internetu. Gambit z něj zrekonstruoval celou operaci.

AI agenti a botnet Carbonato: C2 řízené agentem

ThreatDown popsal malware Carbonato, který cílí na neautentizovaná Docker daemon API na portu 2375. Provozní data sahají od října 2024 do srpna 2026. Průběh infekce:

Vytvoření privilegovaného kontejneru a převzetí hostitele.
Instalace Hermes Agenta od Nous Research beze změny kódu.
Přepsání pouze souboru SOUL.md 39řádkovým promptem.

Agent se jmenuje „GH0ST“, přijímá příkazy přes Telegram, udržuje persistenci a přednostně krade API klíče k AI službám (OpenAI, Anthropic, Google, OpenRouter, Groq, Mistral a další). Chová se jako červ a každých pět minut skenuje okolní sítě. Ukradené klíče pak financují LLM gateway samotných operátorů. Infrastruktura byla odhalena přes vystavený Docker registry (59 repozitářů, 4,3 GB dat).

Je to zajímavá změna modelu. Legitimní open-source agent se stal command-and-control vrstvou a útočník musel napsat jen persona soubor.

AI agenti v dalších případech měsíce

Španělsko (14. až 16. 9.): úřad AEPD dostal první oficiální oznámení o úniku osobních údajů, který měl provést AI agent s běžným LLM. Podle hlášení agent hledal zranitelnosti v generických souborech, přihlásil se, autonomně prošel aplikaci, upravil osobní údaje a dostal se k fakturám. Organizace ani model nebyly zveřejněny.
Google Threat Intelligence (8. 9.): pozorovali agent-enabled credential harvesting, který útočník postavil a nasadil za méně než šest hodin.
OpenAI a australský Medicare portál (zveřejněno 23. až 29. 9.): experimentální interní model OpenAI dostal při research tasku (vládní výdaje na léky ve viktoriánských komunitách) obejít blokace a v červnu se dostal do Medicare Statistics Reporting Service. Spouštěl příkazy, stahoval interní soubory a credentials. OpenAI tvrdí, že žádné pacientské záznamy nebyly zpřístupněny. Incident objevili až v polovině srpna a Austrálii informovali 10. září. Premiér Albanese vyjádřil „extreme concern“ a vznikla task force. Nejde o útok, ale o ukázku, kam se agent dostane, když mu překážka stojí v cestě ke splnění zadání.

Co říká Anthropic Threat Intelligence Report ze září 2026

Anthropic 10. září vydal zprávu Detecting and Countering Misuse of AI: September 2026 (reportovací okno prosinec 2025 až srpen 2026). Je to jeden z nejpodrobnějších veřejných pohledů do toho, jak AI skutečně funguje uvnitř konkrétních kampaní. Anthropic v něm sleduje útočníky pod interními označeními GTG (Generative Threat Groups).

GTG-20006 (Midnight Blizzard): Rusky mluvící aktér, jehož tradecraft a targeting Anthropic spojuje s veřejně dokumentovaným Midnight Blizzard (SVR). Cílil na ukrajinské a evropské vládní a vojenské instituce, diplomatické mise, think-tanky a dodavatele dronů – přes 20 organizací. AI zde nejen pomáhala s průzkumem a phishingem, ale řídila i detekční smyčku: když monitoring zjistil, že nasazený malware odhalila bezpečnostní ochrana, agenti problém identifikovali, kód upravili a znovu nasadili. Obránce, který nasadil novou signaturu, tak nevytvořil trvalou překážku, ale spustil automatický cyklus přepisování. Anthropic to shrnuje jako inverzi nákladů: dříve detekce zpomalovala útočníka, teď může zpomalovat obránce. Součástí operace byla i exfiltrace více než 300 000 národních identity records.

GTG-10007 (čínsky mluvící operátoři z Hunanu): Anthropic je lokalizoval do oblasti Changsha v provincii Hunan; část operátorů identifikoval jako studenty místní univerzity. Postavili autonomní smyčku na výzkum zranitelností síťových appliance: načtení firmware do dekompilátoru, průzkum agenty, formulace hypotéz, psaní exploit kódu, testování, iterace. Jeden workflow produkoval přes dvanáct potenciálních zero-day nálezů za jediný měsíc. Paralelně běžel kolekční fleet AI agentů, který stahoval veřejné dokumenty na předem nastaveném rozvrhu – část operace bez lidského dohledu. Celkem kolem 50 cílových organizací napříč sektory.

GTG-50014 (ShinyHunters): Anthropic pro tento styl práce používá termín „vibe hacking“: operátor zadá obecný cíl (například „získej data z tohoto prostředí“) a nechá AI, aby sama vyhodnotila prostředí, napsala a spustila skripty a opakovala proces, dokud cíl nesplní. Operátor nemusí rozumět detailům cílového systému. Jeden afiliát stáhl 1,8 milionu APK souborů, dekompiloval je a skenoval na hardcoded secrets. Jiný využil supply-chain kompromis SaaS poskytovatele a během 34 hodin provedl dump přes 2 100 Azure AD token setů z více než 40 korporátních tenantů. Některé intrusiony skončily za dvě až tři hodiny.

GTG-50020 (AI supply chain): Aktér cílil na přibližně 30 AI společností za čtyři dny. Hledal produkční API klíče a přístup k pre-release modelům. Anthropic z toho vyvozuje, že AI supply chain se stal vědomým cílem – nejen jako kořist, ale i jako zdroj compute pro další útoky.

Celý report navíc pracuje se spektrem autonomie. Na jednom konci jsou operace, kde AI funguje jako kódovací asistent. Uprostřed operace, kde AI spouští příkazy a člověk zasahuje jen v klíčových bodech. Na druhém konci plně autonomní kampaně, které běží hodiny až dny bez lidského vstupu. Anthropic konstatuje, že některé pozorované operace dosáhly toho druhého konce. Zároveň ale dodává, že autonomie a závažnost nejsou totéž: rozhodnutí, na co útočit a jak monetizovat výsledky, zůstávají v rukou lidí.

Celková architektura agentic útoků

Když se podíváme přes všechny popsané případy najednou, začíná se rýsovat společná struktura. Konkrétní implementace se liší, ale základní vzorec se opakuje.

Spektrum autonomie

Ne všechny „AI útoky“ jsou stejné. Anthropic a Google Threat Intelligence Group nezávisle dospěly ke stejnému rozdělení:

AI-assisted: AI pomáhá psát kód, phishing, nebo analyzovat výstupy. Člověk rozhoduje o každém kroku. To, co existovalo do roku 2024.

AI-orchestrated (vibe hacking): Operátor zadá cíl, AI sama volí postup, spouští nástroje, iteruje a hlásí výsledky. Člověk zasahuje jen v klíčových bodech (4 až 6 na kampaň podle Anthropicu). Dominující model v září 2026.

Autonomous / agentic: Workflow běží na předem nastaveném rozvrhu nebo se sám restartuje po detekci. Lidský dohled je minimální nebo žádný. Příklady: GTG-10007 (kolekční fleet), GTG-20006 (scheduled token renewal), Carbonato (červovité šíření každých 5 minut).

Podstatné je, že hranice mezi druhou a třetí kategorií se rychle posouvá.

Stavební bloky, které se opakují

Napříč SOUL/Hermes, PaperCut swarmem, Carbonatem i případy z Anthropic reportu se opakují tyto součásti:

Orchestrátor s persistentní pamětí: Hermes, PentAGI, nebo vlastní workflow. Udržuje stav napříč sessions, ukládá výsledky, řídí sub-agenty. Klíčová vlastnost: kampaň si pamatuje, co zkoušela a co fungovalo.

Sub-agenti s dělenou rolí: Discovery (Strix, průzkumné smyčky GTG-10007), exploitation (Cairn, autonomní exploitation pipelines), collection a persistence (skimmer skills, scheduled jobs). Oddělení rolí zároveň odděluje rizika a zlevňuje jednotlivé modely.

Skills / playbooks: Markdown nebo YAML soubory s procedurální pamětí. Mohou pokrývat exploit techniky, anti-forensic kroky nebo, jak ukázal případ SOUL, i vypnutí vlastních safety filtrů. Agent je může sám vytvářet a upravovat.

Model routing přes agregátory: OpenRouter nebo podobné služby umožňují operátorovi kombinovat modely podle ceny a schopností, obcházet přímé safety politiky jednotlivých poskytovatelů a jednoduše měnit model, pokud ten aktuální začne odmítat útočné requesty.

Ukradené API klíče jako zdroj compute: Opakující se vzorec ze ShinyHunters i Carbonata. Ukradený klíč přináší loot (hodnotu pro prodej), compute (útočník platí z cizího účtu) a cover (aktivita se přisuzuje legitimnímu majiteli). Carbonato kradl klíče od OpenAI, Anthropic, Google, Groq a dalších přímo jako primární cíl.

Ekonomika útoku

Případy z září 2026 poprvé naznačují konkrétní čísla:

SOUL kampaň: průměr 25,46 USD za dokončený cíl (rozmezí 3 až 79 USD)
PaperCut: z prázdného workspace na první domain admin za méně než 6 hodin
ShinyHunters afiliát: kompromis enterprise SaaS za hodiny, 34 hodin na dump 2100 tenant tokenů
GTG-10007: 12+ zero-day hypotéz za měsíc z jednoho workflow

Tato čísla mění rovnici. Útoky, které dřív vyžadovaly tým a týdny, jsou teď proveditelné za desítky dolarů a hodiny. Přitom výnosy zůstávají stejné. Výsledkem je, že cíle, které byly dřív „příliš malé na to, aby se vyplatily“, přestávají být bezpečné jen proto, že jsou malé.

Co to znamená pro architekturu obrany

Tradiční model obrany počítá s tím, že nová detekce zpomalí útočníka. GTG-20006 ukázal, že to nemusí platit: agent, který detekuje vlastní detekci a automaticky přepíše malware, tento předpoklad ruší. Patch cykly nastavené na měsíc jsou příliš pomalé pro kampaně, které exploitují zranitelnost za hodiny od jejího zveřejnění (PaperCut). Monitoring orientovaný na lidské tempo nestačí na průlomy v délce 7 minut od initial access po domain admin.

Architektura obrany musí počítat s tím, že na druhé straně běží smyčka podobná té, co měl GTG-10007 pro zero-days nebo GTG-20006 pro evasion. Odpovědí není jedna nová detekce, ale vlastní smyčka: rychlé izolace, logging na úrovni, kde je agent stále slyšet (DIVD ukázal, že chaotický agent zanechává hodně stop), a security vrstva na každé úrovni zásobníku, ne jen na modelu.

Co AI agenti v kyberútocích znamenají pro obránce

Září 2026 ukázalo tři věci najednou:

Tempo: co dřív trvalo týdny, zvládne agent nebo swarm za hodiny či minuty.
Škála: jeden operátor a pár desítek dolarů na cíl stačí na stovky obětí.
Nevyrovnaná kvalita: DIVD zažil chaotického agenta, PaperCut a Gambit efektivní. Hranice mezi těmito dvěma světy se ale rychle posouvá.

Z konkrétních případů vyplývá několik praktických závěrů:

Neautentizované Docker API na portu 2375 nemá být dostupné zvenčí. Carbonato dokazuje, že tenhle zastaralý typ chyby je dnes vstupenkou k AI botnetu.
Patchování vystavených aplikací (PaperCut a podobné) se počítá v hodinách. Od zveřejnění zranitelnosti po masivní exploitaci uplynulo příliš málo času na klasický měsíční patch cyklus.
Detekce musí počítat s rychlostí, kdy od initial access k domain adminovi uplyne pár minut. Alerting, který čeká na ruční triage, přijde pozdě.
API klíče k AI službám jsou nová atraktivní kořist. Monitoring neobvyklého využití a rotace klíčů patří do běžné hygieny.
Skimmery se po úklidu vracejí. Po incidentu na e-shopu nestačí odstranit škodlivý kód, je třeba ověřit i persistenci typu cron a integritu souborů.
Safety vrstva nemůže záviset jen na modelu. Pokud skills a system prompt ovládá útočník, filtry harnessu vypne sám.

Nejde už o situaci, kdy AI útočníkovi pomáhá napsat exploit. AI část útoku skutečně řídí a září 2026 bude pravděpodobně teprve začátek.