Testy 100 agentów AI ujawniają: tylko 11% jest bezpiecznych. Co to oznacza dla firm?

Coraz więcej firm wdraża agentów AI, by przyspieszyć pracę i zwiększyć wydajność. Jednak niezależne badanie przeprowadzone przez Adversa AI rzuca nowe światło na bezpieczeństwo tych rozwiązań. Spośród stu przebadanych agentów AI zaledwie jedenaście zostało sklasyfikowanych jako zarówno wydajne, jak i dobrze zabezpieczone. To sygnał, że organizacje muszą zachować szczególną ostrożność przy wdrażaniu tej technologii.

Czym jest „śmiertelna triada” agentów AI?

Adversa AI w swoim raporcie AI Risk Quadrant for Agent Security wskazuje na kluczowy problem, który nazywa „śmiertelną triadą” (lethal trifecta). Składają się na nią trzy elementy: dostęp do prywatnych danych, narażenie na niezaufane treści oraz możliwość wykonywania działań na zewnątrz. Jak tłumaczą badacze, ta triada przekłada się bezpośrednio na zbyt dużą moc, zbyt duże zaufanie i zbyt małą kontrolę. Co istotne, aż 98% przebadanych agentów posiada wszystkie trzy elementy tej triady.

„Ci sami dostawcy, którzy oferują najbardziej wydajne agenty, dostarczają również najszerszą powierzchnię ataku – to strukturalna cecha rynku, a nie garstka odstających przypadków” – czytamy w analizie Adversa. Badacze nazywają to zjawisko „odwróceniem mocy i ochrony” (power-protection inversion) i podkreślają, że występuje ono we wszystkich dziesięciu kategoriach agentów.

Które agenty są najbardziej narażone?

Największe ryzyko dotyczy agentów komputerowych (computer agents) oraz agentów do kodowania (coding agents). Agenci komputerowi, projektowani do wykonywania konkretnych zadań, często otrzymują szerokie uprawnienia, sięgające całego systemu operacyjnego. „Przejęcie kontroli nad takim agentem daje atakującemu dostęp do całego komputera użytkownika, a nie tylko do jednej aplikacji czy zakładki” – ostrzega Adversa.

Dodatkowym problemem jest brak przejrzystości. Użytkownik widzi jedynie dane wejściowe (zadanie) i wyjściowe (wynik), ale nie ma pojęcia, jakie konkretnie działania agent podejmował po drodze. „Głębszym problemem jest to, że krok potwierdzenia na pulpicie wygląda jak kontrola, ale w praktyce jest zawodny” – zauważają badacze. Człowiek i model operują na różnych poziomach abstrakcji, co prowadzi do rozbieżności między tym, co użytkownik zatwierdza, a tym, co agent faktycznie robi.

Zagrożenie ze strony agentów do kodowania

Szczególnie niepokojąca jest sytuacja agentów do kodowania, zwłaszcza przy rosnącej popularności „vibe-codingu”, czyli tworzenia aplikacji przez AI. Adversa dzieli tych agentów na trzy typy: asystenci kodowania (człowiek recenzuje każdą sugestię), autonomiczni agenci kodowania (cel na wejściu, repozytorium na wyjściu) oraz kreatory aplikacji (od promptu do wdrożonej aplikacji).

Nawet w przypadku pozornie bezpieczniejszych asystentów kodowania istnieje ryzyko. „Agenci kodowania nie tylko piszą kod – dotykają powłoki, zależności i tokenów na długo przed tym, zanim różnica trafi do recenzji” – komentuje Adversa. Niebezpieczeństwo nie leży w złych sugestiach kodu, ale w operacjach o wysokim zaufaniu wewnątrz łańcucha dostaw oprogramowania. Recenzja kodu wyłapuje wyniki, ale nie pełny ślad działań agenta.

Jak chronić organizację przed ryzykiem agentów AI?

Eksperci z Adversa AI podkreślają, że ataki typu prompt injection nie mają deterministycznego rozwiązania – żaden klasyfikator nie oddziela wiarygodnie danych agenta od instrukcji. Dlatego zalecają skoncentrowanie się na tym, co organizacja może kontrolować: ruch wychodzący (egress), tożsamość oraz nieodwracalne działania. „Broń tych nóg, które możesz kontrolować, a nie tej, której nie możesz” – radzą badacze.

Dla firm kluczowe jest również regularne testowanie bezpieczeństwa agentów AI. Narzędzia takie jak Sweet Attack od Sweet Security oferują zautomatyzowane, ciągłe testy penetracyjne agentów, które uwzględniają rzeczywiste środowisko klienta. Jak pokazuje przykład beta-testera z Cast & Crew, takie podejście potrafi ujawnić luki, których nie wykryły tradycyjne, coroczne testy.

W obliczu presji na szybkie wdrażanie AI, organizacje muszą pamiętać, że bezpieczeństwo agentów nie może być kwestią drugorzędną. Jak podsumowuje Adversa: „Ustępstwa domyślnie faworyzują szybkość nad bezpieczeństwem”. W praktyce oznacza to, że firmy powinny domagać się od dostawców większej przejrzystości i lepszych mechanizmów kontroli, zanim powierzą agentom AI dostęp do krytycznych danych i systemów.

Rynek agentów AI rozwija się błyskawicznie, a presja konkurencyjna zmusza firmy do coraz śmielszych wdrożeń. Ale jak pokazuje raport Adversa, ostrożność i świadome zarządzanie ryzykiem to nie przejaw konserwatyzmu, ale konieczność. W najbliższych miesiącach warto obserwować, czy dostawcy agentów AI zaczną traktować bezpieczeństwo jako priorytet, a nie tylko marketingowy dodatek.