Čtyři selhání. Čtyři vrstvy. Architektura sama o sobě je zranitelnost.

V recentním díle podcastu Hard Fork od New York Times ze dne 10. dubna 2026 byla zkoumána kybernetická bezpečnost pokročilých systémů umělé inteligence a byla vznesena otázka, kterou průmysl dlouho odmítal: co když kybernetická bezpečnost není podvýkonná, ale fundamentálně špatně pojatá?

Díl byl odvysílán několik týdnů po sérii incidentů, které odpověď učinily obtížně ignorovatelnou. V jednom měsíci autonomní agent umělé inteligence prolomil interní platformu umělé inteligence McKinsey ve dvou hodinách. Útok na dodavatelský řetězec na široce používané open-source knihovně umělé inteligence se rozšířil do podniků downstream. Výzkumníci ukázali, že hardware, který měl být poslední linií obrany, může být prolomen pomocí dílů, které stojí méně než tisíc dolarů. A Anthropic zveřejnil, že frontier model autonomně našel tisíce zero-day zranitelností v kódu, který průmysl považoval za stabilní.

Čtyři incidenty. Čtyři vrstvy stacku umělé inteligence: aplikace, orchestrace, hardware a operační systém. Každý z nich odhalil významná omezení v kontrolách, které byly navrženy k jejich ochraně.

Konec myšlení o perimetru

Tradiční kybernetická bezpečnost spočívá na jediném předpokladu: s dostatečnými kontrolami, monitorováním a investicemi lze systémy zabezpečit. Tento předpoklad formoval desetiletí architektury, včetně firewallů, správy identit, zabezpečení koncových bodů a platform SIEM, všechny postavené na myšlence, že viditelnost a těsná správa znamenají bezpečnost.

Posun průmyslu směrem k architektuře Zero Trust odráží rostoucí uznání, že tradiční síťové hranice již nelze považovat za důvěryhodné. Přestože se modely důvěry vyvíjejí, systémy umělé inteligence představují jinou výzvu: citlivá data jsou rutinně agregována, zpracovávána a sdílena napříč několika vrstvami infrastruktury.

Tento přístup měl smysl, když systémy byly relativně centralizované a data zůstávala v jasně definovaných hranicích. Stává se však mnohem méně účinným, když data pohybují kontinuálně napříč cloudy, API, třetími stranami a potrubími umělé inteligence, zatímco uživatelé a výpočetní zdroje jsou distribuovány globálně. Perimetru již není hranicí. Je to neustále se měnící povrch, a my stále aplikujeme kontrolní myšlení na systémy, které nemohou být realisticky ovládány.

Selhání aplikace: Lilli od McKinsey

Dne 9. března 2026 bezpečnostní startup CodeWall zveřejnil oznámení, které zdůraznilo rizika, kterým čelí organizace, které nasazují umělou inteligenci interně.

Autonomní ofenzivní agent CodeWall, bez přihlašovacích údajů, bez vnitřních znalostí a bez lidského vedení, získal čtení a zápisový přístup k produkční databázi za Lilli, interní platformou umělé inteligence McKinsey, za méně než dvě hodiny. Lilli je používána více než 40 000 zaměstnanci pro strategickou práci, výzkum klientů a analýzu dokumentů, generující stovky tisíc promptů měsíčně.

Vstupní bod nebyl sofistikovaný. Agent nalezl veřejně přístupnou dokumentaci API, která uváděla více než 200 koncových bodů, z nichž 22 nevyžadovaly žádné ověření. Zranitelnosti zahrnovaly rizika zdůrazněné v OWASP Top 10 pro aplikace Large Language Model, zejména kolem vystavených rozhraní, nesecure integrací a nadměrné důvěry v propojené systémy.

Jeden z těchto koncových bodů obsahoval zranitelnost SQL injection skrytou v názvech polí JSON, spíše než v hodnotách vstupu, kde většina automatizovaných skenerů hledá. Z toho agent iteroval přes slepou injekci SQL, dokud se produkční data nestala přístupná.

To, co získal: desítky milionů chatových zpráv v plain textu, stovky tisíc souborů, desítky tisíc uživatelských účtů a miliony fragmentů dokumentů RAG, reprezentujících roky proprietárního výzkumu. Také identifikoval systémové prompty, které řídily, jak Lilli fungovala pro každého uživatele.

Nejvíce znepokojivým zjištěním nebylo množství. Bylo to, že systémové prompty byly zapisovatelné. Útočník by mohl bezhlučně přepsat instrukce, které řídily výstupy Lilli, otrávil strategické rady, vložil důvěrná data do odpovědí nebo odstranil bezpečnostní zábrany entirely, s jediným aktualizací databáze. Žádná nasazení. Žádná změna kódu. Žádná stopa v aplikacích.

V veřejném prohlášení McKinsey uvedl, že problém vyřešil do hodiny a po vyšetřování třetí stranou forenzní firmou nezjistil žádné důkazy, že by byly přístupné důvěrné údaje klientů. Tato odpověď je důležitá. Ale nezmění strukturální lekci: desetiletí stará třída zranitelností odhalila operační paměť moderního systému umělé inteligence, protože data za ním existovala v čitelné formě.

Selhání orchestrace: Útok LiteLLM

O tři týdny později se stejný vzorec objevil z jiného úhlu a prostřednictvím jiné vrstvy.

LiteLLM je open-source brána umělé inteligence, kterou používají tisíce společností k směrování požadavků na poskytovatele umělé inteligence. Jeho pozice ve stacku je kritická: sedí ve vrstvě orchestrace, držící API klíče pro každého poskytovatele, ke kterému se připojuje. Jakékoli ohrožení této vrstvy vystavuje pověření napříč všemi integrovanými službami.

Podle incident reportu PyPI skupina útočníků TeamPCP zneužila pověření spojená s závislostí v potrubí CI/CD LiteLLM a použila přístup maintainera k publikování dvou verzí balíčku LiteLLM s malwarem přímo na PyPI. . Tyto znečištěné verze byly živé méně než hodinu, než byly odstraněny. Operace byla objevena pouze proto, že malware obsahoval chybu, která spadla výzkumníkův stroj.

Dodavatelský řetězec byl vektorem. Vrstva orchestrace byla cílem. Ohrožením jediné závislosti upstream, útočníci dosáhli vrstvy, kde žily klíče poskytovatelů pro každou downstream společnost.

Tým LiteLLM později podrobně popsal incident a snahy o zmírnění v veřejném prohlášení na GitHubu.

Explozní rádius se stal viditelným téměř okamžitě. TechCrunch, Fortune a The Register uvedly, že Mercor, startup pro nábor umělé inteligence v hodnotě 10 miliard dolarů, který spolupracuje se společnostmi jako OpenAI, Anthropic, Meta a Google, byl mezi postiženými organizacemi. Útočníci tvrdili, že získali velké množství dat, včetně profilů kandidátů, osobních údajů, video rozhovorů, zdrojového kódu a API klíčů. Meta pozastavila práci s Mercor během vyšetřování. Další reportování naznačilo podobné vzorce malwaru v dalších vývojářských nástrojích a balíčcích, což naznačuje, že operace mohla být rozšířena za jeden projekt.

Incident LiteLLM nebyl anomálií. Byl to systém, který se choval tak, jak byl navržen. Každý komponent v potrubí umělé inteligence vyžaduje přístup k použitelným datům, aby fungoval, což znamená, že každý komponent je také potenciálním bodem extrakce. Připínání závislostí a rotace pověření jsou nezbytné reakce, ale řeší incident, ne architekturu.

Selhání hardwaru: TEE.fail

Pokud prolomení McKinsey ukázalo, že vrstva aplikace nemůže být důvěryhodná, a útok LiteLLM ukázal, že dodavatelský řetězec nemůže být důvěryhodný, výzkum TEE.fail ukázal, že hardware, který měl být poslední linií obrany, nemůže být plně důvěryhodný.

Dne 28. října 2025 výzkumníci z Georgia Tech, Purdue University a Synkhronix zveřejnili TEE.fail, side-channel útok, který extrahuje kryptografické klíče z Trusted Execution Environments pomocí fyzické paměti bus interposition na serverech DDR5. Útok postihuje Intel SGX, Intel TDX a AMD SEV-SNP, včetně plně aktualizovaných, důvěryhodných systémů s povoleným Ciphertext Hiding od AMD. Tyto technologie jsou široce propagovány jako základ confidential computing.

Výzkumníci extrahovali ověřovací klíče: kryptografický materiál použitý k ověření, že úkoly běží uvnitř zabezpečených prostředí. S těmito klíči může ohrožený systém představit sám sebe jako důvěryhodný, zatímco funguje zcela mimo očekávané ochrany. Výzkumníci demonstrovali to přímo: zfalšovali TDX ověření na Ethereum’s BuilderNet, aby získali přístup k důvěrným transakčním datům, a zfalšovali Intel a NVIDIA ověření, aby spustili úkoly mimo TEE, zatímco se jevili jako legitivní.

Důsledky pro NVIDIA jsou důležité pro umělou inteligenci. Protože ověření GPU závisí na ověření CPU, ohrožený řetězec důvěryhodnosti CPU může podkopat záruky poskytované důvěryhodnými prostředími inferencí umělé inteligence. Hardwarový základ důvěryhodné inferencí umělé inteligence je, v tomto modelu hrozby, podmíněn TEE, který byl prokázán jako prolomený.

Hardwaroví dodavatelé reagovali formálními poradami. AMD uvedl, že fyzické útoky spadají mimo jeho standardní model hrozby a naznačil, že nebude vydávat aktualizace firmwaru. Intel a NVIDIA uznaly zjištění a uvedly, že pracují na zmírnění. Tyto reakce jsou rozumné v rámci jejich modelů hrozby. Také zdůrazňují důležitou hranici: záruky hardwarové bezpečnosti závisí na předpokladech, včetně fyzické kontroly, které suverénní, regulované a adversářské nasazení nemohou vždy zajistit.

TEE.fail nečiní hardwarovou izolaci irelevantní. Ukazuje, že je podmíněná.

Selhání operačního systému: Odhalení Mythos

Pokud první tři incidenty zpochybnily vrstvu aplikace, vrstvu orchestrace a hardwarovou vrstvu, čtvrté oznámení v dubnu 2026 zpochybnilo vrstvu pod nimi všemi: operační systémy a jádrové knihovny, na kterých běží každá jiná vrstva.

Dne 7. dubna 2026 Anthropic oznámil Claude Mythos Preview, frontier model, který se rozhodl nezveřejnit veřejně kvůli jeho útočným bezpečnostním schopnostem, a současně spustil Project Glasswing, konsorcium s AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA a Palo Alto Networks. Anthropic uvedl, že Mythos autonomně identifikoval tisíce dříve neznámých zranitelností napříč hlavními operačními systémy a webovými prohlížeči a byl schopen produkovat funkční exploit pro mnoho z nich.

Konkrétní zjištění jsou obtížněji popíratelná, než by kterýkoli souhrn naznačoval. 27letá chyba v OpenBSD. 17letá vzdálená chyba spuštění kódu v serveru NFS FreeBSD, nyní sledovaná jako CVE-2026-4747, která poskytuje root přístup neověřenému útočníkovi. 16letá zranitelnost v FFmpeg, jedné z nejvíce nasazených multimediálních knihoven na internetu. V jednom případě požádal inženýr Anthropic bez formální bezpečnostní školení model, aby hledal vzdálené chyby spuštění kódu přes noc a probudil se k kompletnímu funkčnímu exploitu.

Tato jsou zjištění na úrovni operačního systému. OpenBSD a FreeBSD jsou jádra. NFS je síťový subsystém jádra. FFmpeg je systémová knihovna, která se dodává s většinou distribucí Linuxu a podkládá multimediální potrubí napříč internetem. Vrstva operačního systému se předpokládala jako bezpečná, ne proto, že by byla prokázána jako zabezpečená, ale protože nalezení hlubokých chyb v ní vyžadovalo vzácné a drahé lidské odborné znalosti. Tento předpoklad byl nejlepší dostupnou heuristikou. Nikdy to nebyla záruka.

Tato omezení se nyní uvolnila. Anthropic sám popsal tuto změnu jako dvojí: stejné schopnosti, které umožňují frontier modelu najít a opravit zranitelnosti v měřítku, také umožňují mu, v nesprávných rukou, najít a využít je v měřítku. Rozhodnutí Anthropic omezit přístup prostřednictvím Project Glasswing odráží tuto realitu. Neřeší ji. Podobné schopnosti se, podle hodnocení společnosti, budou šířit. Náklad auditu legacy kódu se zhroutil, a s ním implicitní obrana, že takový kód byl příliš zastaralý, příliš starý nebo příliš široce přezkoumán, aby ještě obsahoval kritické chyby.

To je také místo, kde se čtyři incidenty kumulují. Hardwarová vrstva ochrany confidential computing nefunguje v izolaci. Funguje jako kód jádra. Intel TDX funguje v jádru. Ověřovací řetězec GPU NVIDIA závisí na důvěryhodném operačním systému, aby věrně hlásil, co dělá. Pokud vrstva operačního systému pod vaším TEE má desetiletí latentních zranitelností a frontier model může nyní najít je v strojovém měřítku, pak hardwarová vrstva podmíněné bezpečnosti závisí na vrstvě operačního systému, jejíž bezpečnostní záruky byly právě oslabeny stejným cyklem odhalení.

Tři předchozí incidenty popisují, jak jsou systémy umělé inteligence prolomeny dnes. Mythos popisuje rychlost, s jakou všechno pod nimi, včetně operačních systémů, modulů jádra a systémových knihoven, bude重新 auditováno stroji.

McKinsey prolomení využilo třídu zranitelnosti SQL injection, která existovala více než dvě desetiletí. Zranitelnosti tohoto věku jsou přesně ty, které modely třídy Mythos jsou schopny najít v průmyslovém měřítku.

Vzorec

Ve všech případech byla data v plain textu v okamžiku, kdy to mělo význam.

Vrstva aplikace zpracovávala je v clear. Vrstva orchestrace směrovala je v clear. Hardwarová vrstva, navzdory svým ochranám, nakonec vyžadovala dešifrování v bodě spuštění. Vrstva operačního systému pod nimi všemi fungovala na nich v clear definicí. Čtyři vrstvy, čtyři selhání, a na každé vrstvě stejná podmínka platila: když k prolomení došlo, data byla čitelná.

To není kolekce izolovaných selhání. Je to architektura sama.

Moderní systémy umělé inteligence jsou navrženy tak, aby fungovaly na čitelných datech. Každá vrstva, včetně načtení, směrování, inferencí a spouštění nástrojů, vyžaduje přístup k plain textu, aby fungovala. Tento designový výběr znamená, že jakékoli prolomení na jakékoli vrstvě vystavuje data za ní.

Otázka není, zda bude vrstva ohrožena. Je to, co útočník najde, když k tomu dojde.

Od předpokladu prolomení k nulové expozici

Průmysl již začal přecházet z “předcházejte prolomení” k “předpokládejte prolomení”. Ale většina architektur dosud nenásledovala důsledky.

Pokud je prolomení nevyhnutelné, pak skutečnou otázkou není, jak udržet útočníky venku. Je to, co se stane, když se dostanou dovnitř. Právě teď je odpověď jednoduchá: dostanou data. Protože navzdory všem investicím do bezpečnostní infrastruktury jsou data stále vystavena přesně v okamžiku, kdy se stávají cennými, když jsou používána.

Průmyslová odpověď byla předvídatelná: více monitorování, rychlejší detekce, další vrstvy confidential computing. Tyto jsou zlepšení. Ale neřeší základní problém. Stále předpokládají, že nějaká vrstva – ať už software, hardware nebo provozní – může být důvěryhodná, aby držela plain text v bezpečí.

Alternativou je odstranit plain text úplně. Ne zabezpečit vrstvy kolem dat, ale učinit data sama nepřístupná komukoli, kdo k nim dosáhne. Výpočet na zašifrovaných datech, kde prompty, modelová váha a výstupy zůstávají zašifrované po celou dobu potrubí, řeší expozici, kterou každý z těchto incidentů využil.

Pokroky v plně homomorfním šifrování a dalších technikách zachování soukromí činí architektury, které minimalizují nebo eliminují expozici plain textu, stále více praktickými pro reálná zatížení umělé inteligence. Přestože zůstávají významné výzvky výkonu, škálovatelnosti a implementace, cílem je fundamentálně odlišné od tradičních bezpečnostních kontrol: snižování hodnoty úspěšného prolomení, spíše než pouze činění prolomení méně pravděpodobným.

Posun je ne od jednoho bezpečnostního nástroje k druhému. Je to ze zabezpečení systémů na snižování expozice. Z důvěryhodné infrastruktury na nulovou důvěru dat. Z řízení rizik na minimalizaci samotné útočné plochy.

Co přijde dál

Diskuze Hard Fork vyvolala otázku, zda kybernetická bezpečnost je fundamentálně špatně pojatá. Důkazy z posledních několika týdnů naznačují, že odpověď je ano, alespoň pro umělou inteligenci.

Starý model předpokládal, že systémy lze zabezpečit, prolomení lze omezit a expozice lze spravovat. Vznikající realita je taková, že prolomení musí být předpokládáno a expozice minimalizována. Incidenty popsány zde naznačují, že zabezpečení systémů umělé inteligence může stále více záviset na snižování množství citlivých dat, která jsou dostupná, když kontrolní mechanismy selžou.

Zranitelnosti odhalené napříč těmito čtyřmi incidenty nejsou omezeny na jednu vrstvu. Jsou systémové. Jejich řešení bude vyžadovat více než pouze.incrementální zlepšení. Bude vyžadovat posun ze zabezpečení systémů na snižování expozice, z obrany perimetru kolem dat na odstranění plain textu, který perimetru byl postaven chránit.

Bezpečnost umělé inteligence již není o udržování útočníků venku. Je o zajištění, že když se dostanou dovnitř, a dostanou se, nebude nic čitelného, co by mohli najít.