AI nie tylko pomaga już atakującym pisać lepsze e-maile phishingowe czy generować złośliwe fragmenty kodu. Nowe badania pokazują, że autonomiczni agenci AI potrafią obecnie przeprowadzać złożone łańcuchy ataków na chmurę przy minimalnym udziale człowieka.
Niedawne badanie typu proof-of-concept przeprowadzone przez Palo Alto Networks Unit 42 wykazało, że wieloagentowy system AI potrafi przejść od rozpoznania chmury do dostępu do wrażliwych danych w działającym, celowo błędnie skonfigurowanym środowisku Google Cloud Platform, mając do dyspozycji jedną instrukcję w języku naturalnym. Unit 42 nazwał ten system Zealot, opisując go jako wieloagentowy PoC do testów penetracyjnych, zaprojektowany do sprawdzania autonomicznych możliwości ofensywnych w środowiskach chmurowych.
Dlaczego to ważne
Najważniejszy wniosek nie polega na tym, że AI stworzyła nową podatność. Nie stworzyła.
Zamiast tego AI zadziałała jak mnożnik siły. Szybko połączyła w łańcuch znane słabości chmury, takie jak błędnie skonfigurowane uprawnienia, wystawione usługi metadanych, podatne aplikacje webowe i nadmiernie uprzywilejowane tożsamości chmurowe. Badacze Unit 42 doszli do wniosku, że obecni agenci oparci na LLM potrafią już łączyć rozpoznanie, wykorzystanie podatności, eskalację uprawnień i eksfiltrację danych przy minimalnym udziale człowieka.
Dla obrońców oznacza to zmianę osi czasu. To, co wcześniej wymagało od wykwalifikowanego atakującego ręcznego poruszania się po środowisku, może teraz zostać skompresowane do minut.
Od asystenta AI do operatora AI
To badanie następuje po poważnym ostrzeżeniu Anthropic z listopada 2025 r., kiedy firma poinformowała o udaremnieniu tego, co opisała jako pierwszą udokumentowaną kampanię cyberszpiegowską na dużą skalę, przeprowadzoną bez istotnej ingerencji człowieka. Anthropic stwierdził, że chińska grupa wspierana przez państwo nadużyła Claude Code, próbując infiltrować około 30 globalnych celów, przy czym AI była wykorzystywana nie tylko jako doradca, ale także do wykonywania części przebiegu ataku.
Badanie Zealot od Unit 42 sugeruje, że nie był to odosobniony przypadek graniczny. Była to zapowiedź tego, jak agentowa AI może być używana do automatyzacji prawdziwych łańcuchów włamań.
Jak zbudowano Zealot
Zealot zaprojektowano jako system wieloagentowy, w którym centralny nadzorca koordynuje trzech wyspecjalizowanych agentów:
- 🛰️ Agent infrastruktury — mapuje środowisko chmurowe i odkrywa osiągalne systemy
- 🧪 Agent bezpieczeństwa aplikacji — sonduje aplikacje webowe i identyfikuje słabości możliwe do wykorzystania
- 🔐 Agent bezpieczeństwa chmury — używa odkrytych danych uwierzytelniających lub uprawnień do wyliczania zasobów chmurowych i dotarcia do wrażliwych danych
Agent-nadzorca utrzymywał ogólny stan misji, decydował, który wyspecjalizowany agent ma działać jako następny, i przekazywał kontekst między nimi. Jest to istotne, ponieważ ataki na chmurę często wymagają wielu dyscyplin: rozpoznania infrastruktury, wykorzystywania aplikacji webowych, nadużywania tożsamości i dostępu do danych w chmurze.
Łańcuch ataku w PoC
W kontrolowanym środowisku testowym GCP badacze wyznaczyli Zealotowi jeden cel: wyeksfiltrować wrażliwe dane z BigQuery.
System przechodził następnie przez środowisko krok po kroku. Zmapował infrastrukturę, odkrył podłączoną maszynę wirtualną, zidentyfikował podatną aplikację webową, uzyskał dane uwierzytelniające do chmury przez ścieżkę metadanych instancji, wyliczył zasoby chmurowe i ostatecznie dotarł do wrażliwych danych w BigQuery. Unit 42 poinformował, że w środowisku sandbox system autonomicznie połączył w łańcuch wykorzystanie SSRF, kradzież danych uwierzytelniających z usługi metadanych, podszycie się pod konto usługi oraz eksfiltrację danych z BigQuery.
Dark Reading podał, że najbardziej zaskakujący był czas: Zealot przeszedł od początkowego dostępu do chmury do wrażliwych danych w około dwie do trzech minut, zgodnie z komentarzami badacza Unit 42, Yahava Festingera.
Problem obrońców: tempo człowieka nie wystarcza
Kluczowym problemem bezpieczeństwa jest czas reakcji.
Jeśli agent AI potrafi wyliczyć infrastrukturę, zidentyfikować ścieżkę ataku, wykorzystać błędną konfigurację i dotrzeć do wrażliwych danych w ciągu minut, ręczne procesy reagowania mogą być zbyt wolne.
Zespoły bezpieczeństwa nie mogą już polegać wyłącznie na tym, że człowiek zauważy alert, otworzy zgłoszenie, ręcznie zbada sprawę, poprosi inny zespół o potwierdzenie własności, a następnie usunie problem godziny lub dni później.
Obrona chmury wymaga dziś:
- ⚙️ automatycznego wykrywania
- 🚦 automatycznego powstrzymywania zagrożeń
- 🔁 wcześniej zatwierdzonych playbooków reagowania
- 🔐 szybkiego unieważniania danych uwierzytelniających
- 🧹 ciągłego usuwania błędnych konfiguracji
- 📊 monitorowania stanu bezpieczeństwa chmury w czasie rzeczywistym
Nie eliminuje to potrzeby zatrudniania analityków, ale zmienia ich rolę. Ludzie muszą projektować, zatwierdzać, dostrajać i nadzorować zautomatyzowane mechanizmy obronne, które potrafią reagować w tempie maszyn.
W czym agenci AI są dobrzy
Środowiska chmurowe są szczególnie atrakcyjne dla agentowej AI, ponieważ są sterowane przez API i wysoce ustrukturyzowane.
Agent AI może odpytywać zasoby, sprawdzać uprawnienia, testować ścieżki dostępu, przeglądać metadane i komunikować się z API chmury w sposób systematyczny. Unit 42 zwrócił uwagę, że środowiska chmurowe oferują bogate mechanizmy wykrywania, wzorce dostępu oparte na danych uwierzytelniających oraz złożone relacje uprawnień, które atakujący mogą nadużyć po zdobyciu prawidłowych danych uwierzytelniających.
Sprawia to, że środowiska chmurowe są „przyjazne dla AI” z perspektywy atakującego.
Nie dlatego, że chmura jest domyślnie niebezpieczna, ale dlatego, że błędne konfiguracje są częste, a API chmury sprawiają, że działania są powtarzalne, skryptowalne i szybkie.
Z czym AI wciąż sobie nie radzi
PoC pokazał również, że autonomiczni agenci nie są doskonali.
Według doniesień Zealot od czasu do czasu podążał nieistotnymi ścieżkami, które analityk-człowiek prawdopodobnie szybko by odrzucił. Tego rodzaju zachowanie w stylu „króliczej nory” pozostaje ograniczeniem obecnych systemów agentowych.
Ta słabość może jednak z czasem maleć, w miarę jak modele się poprawiają, narzędzia stają się bardziej wyspecjalizowane, a frameworki agentów lepiej utrzymują kontekst w złożonych środowiskach.
Ryzyko nie polega na tym, że dzisiejsi agenci AI są bezbłędni. Ryzyko polega na tym, że są już na tyle użyteczni, by znacząco przyspieszać ataki.
Co organizacje powinny zrobić teraz
Organizacje powinny potraktować to jako sygnał alarmowy dla bezpieczeństwa chmury.
Najważniejszym priorytetem nie jest obrona przed „magią AI”. Chodzi o usunięcie słabości, które agenci AI potrafią wykorzystać szybciej, niż ludzie są w stanie zareagować.
Zalecane działania:
- 🔐 egzekwowanie zasady najmniejszych uprawnień dla kont usług i ról IAM
- 🚫 ograniczenie dostępu do usług metadanych chmury, gdzie to możliwe
- 🧾 audyt nadmiernie uprzywilejowanych tożsamości i nieaktualnych danych uwierzytelniających
- 🌐 monitorowanie nietypowej aktywności API chmury i wyliczania zasobów
- 🧪 testowanie aplikacji webowych pod kątem SSRF i ścieżek nadużycia tożsamości
- 📦 ograniczenie, kto może tworzyć kontenery magazynowe (buckety) i modyfikować uprawnienia
- 🚨 alertowanie o nietypowych eksportach z wrażliwych zbiorów danych
- 🔁 automatyzacja rotacji danych uwierzytelniających i unieważniania tokenów
- 🧰 budowanie playbooków reagowania na przejęcie tożsamości w chmurze
- 📊 ciągła weryfikacja stanu bezpieczeństwa chmury zamiast polegania na corocznych przeglądach
Unit 42 zaleca w szczególności proaktywny audyt uprawnień, ograniczanie dostępu do metadanych, egzekwowanie zasady najmniejszych uprawnień oraz monitorowanie ruchu bocznego, zanim ataki napędzane przez AI pojawią się w dziennikach incydentów.
Przesłanie dla liderów bezpieczeństwa
Dla CISO, architektów chmury i zespołów DevSecOps lekcja jest jasna:
AI nie potrzebuje podatności zero-day, aby być niebezpieczną.
Może wykorzystać te same problemy, o których obrońcy już wiedzą:
- słabo zaprojektowane IAM
- wystawione usługi metadanych
- podatne aplikacje webowe
- nadmierne uprawnienia kont usług
- słabą segmentację
- powolne usuwanie problemów
- niewystarczające logowanie w chmurze
Różnica polega na szybkości i skali.
Atakujący-człowiek może potrzebować godzin lub dni, by zidentyfikować wykonalną ścieżkę ataku. Agent AI może zrobić to w kilka minut.
Podsumowanie
PoC Zealot pokazuje, że autonomiczne ataki na chmurę przechodzą z teorii do praktycznej rzeczywistości.
Nie oznacza to, że każdy atakujący może natychmiast przeprowadzać w pełni autonomiczne włamania do chmury. Oznacza jednak, że obrońcy powinni zakładać, iż znane błędne konfiguracje będą odkrywane i łączone w łańcuchy szybciej niż dotąd.
🤖 AI nie tworzy nowego problemu bezpieczeństwa chmury. Przyspiesza stare.
Najlepszą obroną nie jest strach przed AI. To solidna higiena chmury, zasada najmniejszych uprawnień, zautomatyzowana reakcja i ciągła weryfikacja.
W erze agentowej AI przetrwają te organizacje, które potrafią wykrywać, decydować i reagować w tempie maszyn.
