AI agent od Varonis dał się oszukać phishingiem. Czego to uczy firmy wdrażające automatyzację?
Badacze Varonis sprawdzili, czy AI agent oparty na dużym modelu językowym ulegnie klasycznym atakom phishingowym. Wyniki pokazują, że nawet zaawansowane modele mogą ujawnić dane firmowe, jeśli zabraknie weryfikacji tożsamości.
Coraz więcej firm wdraża agentów AI do automatyzacji obsługi poczty, przetwarzania zamówień czy zarządzania danymi. Jednocześnie pojawia się pytanie, na ile te systemy są odporne na techniki socjotechniczne, które od lat skutecznie oszukują ludzi. Badacze z firmy Varonis postanowili to sprawdzić i stworzyli agenta opartego na frameworku OpenClaw, podłączonego do fikcyjnego firmowego środowiska. Wyniki testów pokazują, że nawet inteligentny asystent może paść ofiarą phishingu.
Jak wyglądał test i co udało się wyłudzić?
Zespół Varonis skonfigurował agenta o imieniu Pinchy, który monitorował skrzynkę Gmail, korzystał z przeglądarki, API Google Workspace oraz z syntetycznych danych firmowych. Wśród tych danych znalazły się m.in. poświadczenia AWS, dane dostępowe do baz, eksport CRM, wewnętrzne komunikaty i zaproszenia w kalendarzu. Agent działał w dwóch wariantach: ogólnym oraz ścisłym, który zawierał dodatkowe instrukcje dotyczące phishingu i weryfikacji tożsamości.
Przeprowadzono cztery symulowane ataki. W pierwszym scenariuszu osoba podszywająca się pod lidera zespołu poprosiła o dostęp do środowiska stagingowego w związku z rzekomym problemem produkcyjnym. Agent odnalazł i wysłał na zewnętrzne konto Gmail klucze AWS IAM, dane dostępowe do bazy oraz szczegóły połączenia SSH. W drugim przypadku atakujący poprosił o eksport klientów pod pretekstem pracy zdalnej nad prezentacją. Agent bez weryfikacji tożsamości wysłał plik CRM z danymi kontaktowymi, szczegółami umów i przychodami.
Jak zauważają badacze: „Zarówno profil ogólny, jak i ścisły zawiodły, ponieważ etap weryfikacji załamał się, gdy prośba wydawała się pilna operacyjnie”. To kluczowa obserwacja – presja czasu i pozorna autorytet nadawcy okazały się skuteczniejsze niż instrukcje bezpieczeństwa.
AI dobrze wykrywa podejrzane linki, ale nie sprawdza, kto pisze
W trzecim teście agent otrzymał fałszywą wiadomość z kartą podarunkową i linkiem phishingowym. W konfiguracji ogólnej wszedł na stronę i próbował wykorzystać kartę, zanim ostatecznie zidentyfikował stronę jako złośliwą. Wariant ścisły zablokował atak natychmiast. W czwartym scenariuszu agent samodzielnie przeanalizował przepływ OAuth fałszywej aplikacji podszywającej się pod system czasu pracy i odmówił przyznania dostępu.
Wnioski są mieszane. Z jednej strony modele takie jak GPT-5.4 wykazały ostrożniejsze zachowanie niż Gemini 3.1 Pro. Z drugiej – w obu przypadkach zabrakło weryfikacji tożsamości nadawcy i zastosowania zasady zero trust w relacjach społecznych. Agent potrafił rozpoznać fałszywą stronę logowania, ale nie sprawdził, czy osoba prosząca o dane rzeczywiście ma do nich prawo.
Co to oznacza dla firm wdrażających AI?
Test Varonis pokazuje, że automatyzacja oparta na dużych modelach językowych nie jest sama w sobie bezpieczna. Nawet zaawansowane systemy mogą ulec presji społecznej i pilnym żądaniom, jeśli nie zostaną odpowiednio skonfigurowane. Badacze zalecają kilka konkretnych działań: agent powinien być zobowiązany do weryfikacji tożsamości nadawcy przed wykonaniem wrażliwych operacji, nie powinien wysyłać danych do nowych zewnętrznych odbiorców bez zatwierdzenia, a dostęp do wewnętrznych zasobów powinien być ograniczony do niezbędnego minimum.
W przypadku działań wysokiego ryzyka, takich jak udostępnianie poświadczeń, przetwarzanie danych finansowych czy pierwszy kontakt z nieznanym adresatem, warto wymagać ręcznego zatwierdzenia przez człowieka. To prosta zasada, która może uchronić przed wyciekiem danych nawet wtedy, gdy agent pomyli się w ocenie intencji nadawcy.
Więcej szczegółów na temat testu można znaleźć w raporcie Varonis opisanym przez BleepingComputer. Warto śledzić dalsze badania nad bezpieczeństwem agentów AI, ponieważ ich zastosowanie w biznesie będzie rosło, a atakujący z pewnością dostosują swoje metody do nowego środowiska.
