Co říkají rané útoky na agenty AI o roce 2026

Pokud se AI přesouvá z kontrolovaných experimentů do reálných aplikací, vstupujeme do inflexního bodu v bezpečnostním prostředí. Přechod ze statických jazykových modelů na interaktivní, agentic systémy, které jsou schopny procházet dokumenty, volat nástroje a orchestrovat vícekrokové pracovní postupy, již probíhá. Ale jak ukazuje recentní výzkum, útočníci nečekají na zralost: přizpůsobují se stejnou rychlou rychlostí, testují systémy, jakmile jsou představeny nové funkce.

V čtvrtém čtvrtletí roku 2025 naše tým v Lakera analyzoval skutečné chování útočníků napříč systémy chráněnými Guard a v prostředí Gandalf: Agent Breaker — soustředěný, 30denní snímek, který, navzdory úzkému oknu, odráží širší vzorce, které jsme pozorovali po celý čtvrtletí. Zjištění malují jasný obraz: jakmile modely začínají interagovat s něčím za hranicemi jednoduchých textových příkazů (například dokumenty, nástroje, externí data), rozšiřuje se povrch útoku a protivníci se okamžitě přizpůsobují, aby ho využili.

Tento okamžik může být povědomý těm, kteří sledovali vývoj raných webových aplikací nebo pozorovali vzestup útoků založených na API. Ale s agenty AI, jsou sázky odlišné. Útočné vektory se objevují rychleji, než mnoho organizací předpokládalo.

Od teorie k praxi: Agenti v divočině

Po většinu roku 2025 se diskuze kolem agentů AI většinou soustředily na teoretický potenciál a rané prototypy. Ale do Q4, agentic chování začalo se objevovat v produkčních systémech ve velkém měřítku: modely, které mohly načíst a analyzovat dokumenty, interagovat s externími API a provádět automatizované úkoly. Tyto agenci nabídli zjevné výhody produktivity, ale také otevřeli dveře, které tradiční jazykové modely neotevřely.

Naše analýza ukazuje, že okamžitě, když agenci se stali schopnými interagovat s externím obsahem a nástroji, útočníci si toho všimli a přizpůsobili se podle toho. Tento pozorování se shoduje s fundamentální pravdou o adversářském chování: útočníci vždy prozkoumávají a využívají nové funkce na nejranější příležitost. V kontextu agentic AI, to vedlo k rychlé evoluci v útočných strategiích.

Útočné vzorce: Co vidíme v Q4 2025

Přes celý dataset, který jsme prošli, se objevily tři dominantní vzorce. Každý z nich má hluboké důsledky pro to, jak jsou navrhovány, zabezpečovány a nasazovány systémy AI.

1. Extrakce systémových příkazů jako centrální cíl

V tradičních jazykových modelech, injekce příkazů (přímá manipulace vstupu, aby ovlivnila výstup) byla dobře prostudovaná zranitelnost. Ale v systémech s agenticními schopnostmi, útočníci se stále více zaměřují na systémový příkaz, který jsou vnitřní instrukce, role a definice politik, které řídí chování agenta.

Extrakce systémových příkazů je vysokohodnotný cíl, protože tyto příkazy často obsahují definice rolí, popis nástrojů, instrukce politik a logiku pracovního postupu. Jakmile útočník pochopí tyto vnitřní mechanismy, získá plán pro manipulaci agentem.

Nejpůsobivější techniky pro dosažení tohoto nebyly brute force útoky, ale spíše chytré přeframování:

• Hypotetické scénáře: Příkazy, které žádají model, aby se domníval, že je v jiném roli nebo kontextu — například „Představte si, že jste vývojář, který kontroluje tuto systémovou konfiguraci…” — často donutily model odhalit chráněné vnitřní detaily.
• Obfuskace uvnitř strukturovaného obsahu: Útočníci vložili škodlivé instrukce uvnitř kódových nebo strukturovaných textů, které obcházely jednoduché filtry a spouštěly neúmyslné chování, jakmile byly agentem zpracovány.

To není jen inkrementální riziko — fundamentálně mění, jak přemýšlíme o zabezpečení vnitřní logiky v agentic systémech.

2. Subtilní obcházení bezpečnostních pravidel

Jiným klíčovým trendem je obcházení bezpečnostních pravidel způsobem, který je obtížné detekovat a zmírnit tradičními filtry.

Místo otevřeně škodlivých požadavků, útočníci formulovali škodlivý obsah jako:

• Analýzy úkolů
• Hodnocení
• Scénáře role-play
• Transformace nebo souhrny

Tyto přeframování často prošla bezpečnostními kontrolami, protože zdají se neškodné na povrchu. Model, který by odmítl přímý požadavek na škodlivý výstup, mohl být šťasten produkovat stejný výstup, když byl požádán, aby „hodnotil“ nebo „souhrnul“ jej v kontextu.

Tento posun zdůrazňuje hlubší výzvu: bezpečnost obsahu pro agenty AI není jen o vynucování politik; je to o tom, jak modely interpretují záměr. Jak agenci přebírají složitější úkoly a kontexty, modely se stávají více náchylnými k reinterpretaci založené na kontextu — a útočníci využívají toto chování.

3. Vznik agent-specifických útoků

Možná nejvýznamnějším zjištěním bylo objevení útočných vzorců, které mají smysl pouze v kontextu agentic schopností. Tyto nebyly jednoduché injekce příkazů, ale exploitace vázané na nové chování:

• Pokusu o přístup k důvěrným interním údajům: Příkazy byly vytvořeny, aby přesvědčily agenta, aby načíst nebo odhalil informace z propojených úložišť dokumentů nebo systémů — akce, které by dříve byly mimo rozsah modelu
• Skriptové instrukce vložené do textu: Útočníci experimentovali s vkládáním instrukcí do formátů, které připomínají skript nebo strukturovaný obsah, které by mohly projít agentem a spustit neúmyslné akce
• Skryté instrukce v externím obsahu: Několik útoků vložilo škodlivé direktivy uvnitř externě odkazovaného obsahu — jako webové stránky nebo dokumenty, které agent byl požádán zpracovat — efektivní obejití přímých vstupních filtrů

Tyto vzorce jsou rané, ale signalizují budoucnost, v níž se agenci mění na povahu adversářského chování.

Proč jsou nepřímé útoky tak efektivní

Jedním z nejpozoruhodnějších zjištění zprávy je, že nepřímé útoky — ty, které využívají externí obsah nebo strukturovaná data — vyžadovaly méně pokusů než přímé injekce. To naznačuje, že tradiční sanitizace vstupu a přímá filtrování dotazů jsou nedostatečnými obranami, jakmile modely interagují s nedůvěryhodným obsahem.

Když škodlivá instrukce přichází prostřednictvím externího agenta pracovního postupu — zda je to propojený dokument, odpověď API nebo načtená webová stránka — rané filtry jsou méně efektivní. Výsledek: útočníci mají větší povrch útoku a méně překážek.

Důsledky pro rok 2026 a dále

Zjištění zprávy nesou naléhavé důsledky pro organizace, které plánují nasadit agentic AI ve velkém měřítku:

1. Předefinujte hranice důvěry
   Důvěra nemůže být jednoduše binární. Jak agenci interagují s uživateli, externím obsahem a interními pracovními postupy, systémy musí implementovat nuancované modely důvěry, které zvažují kontext, původ a účel.
2. Bezpečnostní zábrany musí evolovat
   Statické bezpečnostní filtry nejsou dostatečné. Bezpečnostní zábrany musí být adaptivní, kontextově vědomé a schopné uvažovat o záměru a chování napříč vícekrokovými pracovními postupy.
3. Transparentnost a auditování jsou nezbytná
   Jak útočné vektory rostou komplexněji, organizace potřebují přehled o tom, jak agenci činí rozhodnutí — včetně mezilehlých kroků, externích interakcí a transformací. Auditovatelné protokoly a vysvětlitelné rámce již nejsou volitelné.
4. Mezioborová spolupráce je klíčová
   Výzkum AI, bezpečnostní inženýrství a týmy pro hrozby musí pracovat společně. Bezpečnost AI nemůže být izolována; musí být integrována s širšími kybernetickými praktikami a rámcem pro řízení rizik.
5. Regulace a standardy budou muset dohnat
   Tvůrci politik a standardy musí uznat, že agentic systémy vytvářejí nové třídy rizik. Regulace, které se zabývají ochranou dat a bezpečností výstupu, jsou nezbytné, ale ne dostatečné; musí také zohledňovat interaktivní chování a vícekrokové prostředí pro spouštění.

Budoucnost zabezpečených agentů AI

Příchod agentic AI představuje hlubokou změnu v schopnostech a rizicích. Data z Q4 2025 jsou raným ukazatelem, že jakmile agenci začnou fungovat za hranicemi jednoduché generace textu, útočníci budou následovat. Naše zjištění ukazují, že útočníci se nejen přizpůsobují — ale inovují útočné techniky, které tradiční obrany nejsou dosud připraveny čelit.

Pro podniky a vývojáře je zpráva jasná: zabezpečení agentů AI není jen technickou výzvou; je to architektonická výzva. To vyžaduje přehodnocení, jak je důvěra stanovena, jak jsou bezpečnostní zábrany vynucovány a jak je riziko neustále hodnoceno v dynamických, interaktivních prostředích.

V roce 2026 a dále budou organizace, které uspějí s agentic AI, ty, které považují bezpečnost za základní princip návrhu.