Ciche przejęcie AI: Złośliwe strony internetowe atakują systemy płatności
Niewidzialna wojna o instrukcje
To nie jest klasyczny phishing. To wojna o to, kto tak naprawdę wydaje polecenia Twojemu asystentowi AI. Google ujawniło właśnie raport, z którego wynika, że od listopada 2025 do lutego 2026 roku liczba ataków typu „indirect prompt injection” wzrosła o 32%. Cel? Agenci AI przeglądający sieć w Twoim imieniu.
Metoda jest genialna w swojej prostocie i przerażająca w skutkach. Napastnicy ukrywają instrukcje dla modelu językowego w kodzie HTML stron internetowych. Tekst o rozmiarze jednego piksela, niemal przezroczysta czcionka lub komentarze w kodzie – człowiek widzi czystą witrynę, ale AI odczytuje pełny skrypt poleceń. Kiedy Twój asystent wchodzi na taką stronę, aby np. zrobić research, nagle dostaje nowy „priorytet”, który nadpisuje Twoje oryginalne zapytanie.
PayPal na celowniku
Badacze z firmy Forcepoint odkryli, że w sieci krążą już gotowe „ładunki” (payloads), które celują bezpośrednio w portfele użytkowników. Znaleziono precyzyjne instrukcje transakcji PayPal, czekające na moment, aż agent z dostępem do płatności przeanalizuje zainfekowaną witrynę.
Co gorsza, ataki te wykorzystują technikę „jailbreak” („ignoruj wszystkie poprzednie instrukcje”), aby całkowicie przejąć kontrolę nad procesem decyzyjnym maszyny.
Problem zaufania i uprawnień
Ryzyko skaluje się wraz z uprawnieniami. Agent AI, który potrafi jedynie podsumować tekst, jest niegroźnym poligonem doświadczalnym. Jednak agenci AI zintegrowani z klientem poczty, terminalem lub bramką płatniczą to otwarte zaproszenie do katastrofy.
To największy problem bezpieczeństwa: operacja wykonana przez przejętego agenta wygląda w logach systemowych jak w pełni legalne działanie. Nie ma tu włamania na konto ani siłowego łamania haseł. To „legalny” użytkownik wykonuje polecenie, które przeczytał w sieci.
Luka w prawie i odpowiedzialności
Branża technologiczna stoi obecnie przed prawną ścianą, której nikt nie chce przeskoczyć. Jeśli Twój autonomiczny doradca finansowy wyśle Twoje oszczędności na konto fundacji w internecie, bo „przeczytał”, że tak należy zrobić, kto ponosi winę?
- Dostawca modelu (np. OpenAI czy Google), bo system dał się oszukać?
- Firma wdrażająca agenta u klienta?
- Właściciel zainfekowanej strony, który mógł nawet nie wiedzieć o wstrzykniętym kodzie?
Obecnie nie istnieje żaden szkielet prawny określający odpowiedzialność za błędy agentów wywołane przez osoby trzecie.
Krajobraz po bitwie
FBI oszacowało straty z tytułu oszustw związanych z AI na blisko 900 milionów dolarów w samym 2025 roku. To jednak dopiero początek. Google podkreśla, że ich statystyki dotyczą wyłącznie publicznych, statycznych stron www. Media społecznościowe i serwisy wymagające logowania pozostają terra incognita, gdzie skala infekcji może być znacznie większa.
Open Worldwide Application Security Project (OWASP) nie bez powodu klasyfikuje wstrzykiwanie promptów jako zagrożenie numer jeden w roku 2025. Jeśli myśleliśmy, że AI ułatwi nam życie, musimy pamiętać o jednym: ułatwia je również tym, którzy chcą nas okraść.
