Zpráva IRONSCALES ukazuje, že se agenti AI stávají novým cílem phishingových útoků

Phishingová zpráva už nemusí přesvědčit zaměstnance, kterému patří příslušná e-mailová schránka. Může se zaměřit na software, který schránku čte za něj. Právě na to upozorňuje nová zpráva společnosti IRONSCALES Od deepfakeů k dvojitým agentům: nová podoba kybernetických rizik poháněných AI, podle níž zavádění nástrojů schopných samostatně jednat ve firmách předběhlo bezpečnostní opatření, která je mají chránit.

V průzkumu společnosti Censuswide zadaném společností IRONSCALES uvedlo 77 % respondentů, že agent nebo nástroj AI v jejich organizaci během předchozího roku pracoval se škodlivým, zavádějícím nebo neoprávněným obsahem. Menší, ale stále značný podíl 57 % respondentů nahlásil alespoň jeden potvrzený případ. Tato čísla vycházejí z hlášení respondentů o incidentech, přičemž vyšší celkový počet zahrnuje i podezřelé případy; nejde o nezávisle ověřený počet úspěšných narušení bezpečnosti.

Zjištění přicházejí souběžně s povzbudivějším vývojem: investice do ochrany před deepfaky vzrostly a hlášené finanční ztráty byly méně závažné. Výsledky společně ukazují na praktickou výzvu pro bezpečnostní manažery: rozšířit ochranu i na automatizované systémy rozhodování, a přitom neopouštět obranná opatření vytvořená pro lidi.

Agenti AI mají přístup k důležitým systémům

Společnost Censuswide oslovila 501 odborníků na IT a kybernetickou bezpečnost ve Spojených státech, kteří zastávali pozici na úrovni středního managementu nebo vyšší a pracovali ve firmách s 1 000 až 10 000 zaměstnanci. Účastníkům bylo 25 až 55 let a sběr dat probíhal od 9. do 17. září 2026. Výsledky proto popisují tento vzorek podniků, nikoli všechny firmy využívající AI.

V tomto vzorku uvedlo 96 % respondentů, že jejich organizace používá agenty nebo nástroje AI, které mohou jednat jménem zaměstnanců, a 52 % označilo jejich zavádění za rozšířené. Zpráva používá širokou definici, která zahrnuje nástroje čtoucí zprávy a odpovídající na ně, přistupující k souborům a spouštějící pracovní postupy.

Z organizací, které tyto nástroje používají, jim 67 % umožňuje přístup k systémům pro správu požadavků nebo technickou podporu, 56 % ke cloudovým úložištím a 49 % k e-mailům nebo zprávám. Dalších 30 % jim umožňuje přístup k systémům pro správu financí, fakturaci, nákup nebo platby. Pouze 19 % uvedlo, že jejich nástroje mají přístup omezený na veřejný web a nemají přístup k interním systémům.

Rozdíl mezi zodpovězením otázky a provedením akce má zásadní význam. Nesprávné shrnutí může čtenáře uvést v omyl; nástroj propojený s podnikovými systémy může také přesouvat informace nebo spouštět pracovní postupy. Rozsah možných následků chyby pomáhají určovat oprávnění přidělená nástroji.

E-mailová schránka je vstupním bodem i pro agenty

Z respondentů, kteří nahlásili incident související s agentem AI, uvedlo 42 %, že nástroj AI shrnul škodlivý e-mail či zprávu nebo na ně reagoval. Dalších 41 % uvedlo, že útočník použil nástroj AI při phishingu nebo sociálním inženýrství. Tyto kategorie se mohou překrývat a druhá zahrnuje použití AI útočníkem, nikoli nutně napadení vlastního agenta oběti.

Na tomto rozlišení záleží. Průzkum zachycuje několik druhů selhání souvisejících s AI; nedokládá, že by každý incident zahrnoval stejnou útočnou techniku. Přesto ukazuje, proč by organizace měly zkoumat obsah, se kterým agenti pracují, stejně jako činnosti, které jim jejich integrace umožňují.

Riziku lze dobře porozumět, když oddělíme informace od oprávnění. Zpráva může obsahovat pokyny, ale její doručení do e-mailové schránky z nich samo o sobě nedělá oprávněné pokyny. Když software může jednat napříč propojenými systémy, zachování této hranice se stává součástí řízení přístupu a návrhu pracovních postupů.

Platforma pro zabezpečení e-mailu společnosti IRONSCALES odráží její zaměření na tento vstupní bod. Společnost popisuje přístup založený na rozhraní API, který kombinuje analýzu pomocí AI, automatizované vyšetřování a lidské zpravodajství o hrozbách, spolu se simulacemi phishingu a ochranou před deepfaky pro Microsoft Teams. Tyto možnosti dokreslují pohled zadavatele výzkumu; tento průzkum nezávisle nehodnotí účinnost jeho produktů.

Schvalovací procesy existují, ale bezpečnost v nich zpravidla nehraje hlavní roli

Ze 479 respondentů, jejichž organizace používají nástroje AI schopné jednat, označilo 78 % za hlavního schvalovatele agentů, asistentů, zásuvných modulů a konektorů oddělení IT. Pouze 6 % uvedlo oddělení bezpečnosti a 14 % popsalo schvalování jako společnou odpovědnost více skupin.

Být hlavním schvalovatelem není totéž jako se na schvalování jakkoli podílet. Z těchto údajů nevyplývá, že by bezpečnostní oddělení bylo vyloučeno ze všech ostatních schvalovacích procesů. Ukazují však, že o nástrojích s rozsáhlým přístupem obvykle rozhodují jiné útvary.

Z organizací, které nahlásily incident, uvedlo 39 %, že zaměstnanec udělil nástroji AI přístup, který by bezpečnostní oddělení neschválilo. Toto zjištění konkretizuje otázku správy přístupů: kdo oprávnění posuzuje před aktivací konektoru a kdo je může odebrat, když se nástroj začne chovat neočekávaně?

Zpráva odhaluje také rozdíl mezi důvěrou a skutečným zavedením opatření. Zatímco 93 % respondentů uvedlo, že jejich plány reakce na incidenty zahrnují agenty AI, a 84 % si bylo jisto, že dokážou rozpoznat incident způsobený AI, pouze 52 % popsalo formální zásady, kontrolní mechanismy a procesy reakce na incidenty jako plně zavedené. Dalších 35 % uvedlo, že mají zásady, ale technické kontroly jsou omezené.

Ztráty způsobené deepfaky klesly, hrozba však přetrvala

Výsledky týkající se deepfakeů vyznívají příznivěji ve srovnání s průzkumem společnosti Censuswide z roku 2025, do něhož se zapojilo 500 respondentů se stejným profilem. Aktivní investice do obrany vzrostly z 37 % na 48 %. Mezi organizacemi, které vykázaly finanční ztráty, klesl podíl těch, jejichž ztráty dosáhly alespoň 100 000 dolarů, ze 63 % na 49 %; podíl organizací se ztrátami ve výši 1 milionu dolarů nebo více se snížil ze 6 % na 3 %.

Odhadované průměrné ztráty u organizací, které utrpěly finanční škodu, klesly z přibližně 280 000 dolarů na 225 000 dolarů. Tyto odhady vycházejí ze středních hodnot uváděných rozpětí ztrát. Protože se průzkumy na ztráty ptaly odlišně, srovnání nezahrnuje odpovědi, podle nichž žádné ztráty nenastaly, respondenty, kteří si nebyli jistí, ani ty, kteří na otázku nechtěli odpovědět.

Zpráva výslovně upozorňuje, že souběžný růst investic a pokles ztrát nedokazuje, že jedno způsobilo druhé. Incidenty navíc nezmizely: alespoň jeden incident související s deepfaky zaznamenalo 84 % respondentů, oproti 85 % v roce 2025. Definice je široká a zahrnuje vše od zmanipulovaných obrázků a podvržených e-mailů až po napodobování hlasu a videa v reálném čase.

Problémem jsou také konkurenční priority. Podíl respondentů, kteří označili obranu proti deepfakeům za jednu z hlavních priorit, klesl ze 71 % na 60 %, přestože AI schopná provádět akce přináší do bezpečnostních rozpočtů další nároky. Nižší ztráty jsou důvodem zkoumat, co funguje, nikoli předpokládat, že hrozba pominula.

Chraňte prováděné akce, nejen konverzaci

IRONSCALES doporučuje zapojit bezpečnostní tým do schvalování agentů, omezovat jejich oprávnění, sledovat jejich činnost a testovat reakci na incidenty pomocí útoků namířených jak proti zaměstnancům, tak proti agentům. Tato doporučení propojují dvě hlavní témata zprávy: klamavý obsah zůstává nebezpečný, ale software s oprávněním jednat mění způsob, jakým může takové klamání vést k následkům.

Pro podnikový tým to znamená vědět, kteří agenti existují, k jakým systémům má každý z nich přístup a které akce vyžadují kontrolu člověkem. Záznamy musí umožnit zpětně zjistit, co nástroj četl a jaké kroky provedl. Testování by mělo zkoumat, zda může nedůvěryhodná zpráva ovlivnit autorizovaný pracovní postup, a ne pouze ověřovat, zda zaměstnanci rozpoznají podezřelý e-mail.

Největším přínosem zprávy je popis rozdílu mezi zaváděním agentů, mírou důvěry a skutečně zavedenými kontrolními mechanismy. Otázky z průzkumu, metodologická omezení a doporučení najdete v úplném znění zprávy Od deepfakeů k dvojitým agentům: Nová tvář kybernetických rizik poháněných umělou inteligencí.