Raport IRONSCALES: agenci AI stają się nowym celem phishingu

Wiadomość phishingowa nie musi już przekonywać pracownika, do którego należy skrzynka odbiorcza. Może być wymierzona w oprogramowanie, które czyta tę skrzynkę w jego imieniu. To główne ostrzeżenie zawarte w nowym raporcie IRONSCALES Od deepfake’ów do podwójnych agentów: nowe oblicze cyberzagrożeń napędzanych przez AI. Wynika z niego, że wdrażanie w przedsiębiorstwach narzędzi zdolnych do podejmowania działań postępuje szybciej niż rozwój zabezpieczeń, które powinny je chronić.

W badaniu Censuswide zleconym przez firmę 77% respondentów stwierdziło, że w poprzednim roku agent AI lub inne narzędzie w ich organizacji przetworzyło złośliwe, wprowadzające w błąd lub nieautoryzowane treści albo podjęło na ich podstawie działania. Mniejszy, lecz nadal znaczący odsetek — 57% — zgłosił co najmniej jeden potwierdzony przypadek. Liczby te odzwierciedlają relacje respondentów o incydentach, w tym o zdarzeniach podejrzewanych w większej grupie; nie są niezależnie zweryfikowaną liczbą udanych naruszeń bezpieczeństwa.

Wyniki pojawiają się w obliczu bardziej optymistycznej tendencji: wzrosły nakłady na zabezpieczenia przed deepfake’ami, a zgłaszane straty finansowe były mniej dotkliwe. Łącznie wskazuje to na praktyczne wyzwanie dla osób odpowiedzialnych za bezpieczeństwo: jak rozszerzyć ochronę na zautomatyzowane systemy podejmujące decyzje, nie rezygnując z zabezpieczeń opracowanych z myślą o ludziach.

Agenci AI mają dostęp do kluczowych systemów

Censuswide przeprowadziło ankietę wśród 501 specjalistów IT i cyberbezpieczeństwa ze Stanów Zjednoczonych, pracujących na stanowiskach średniego szczebla kierowniczego lub wyższych w firmach zatrudniających od 1 000 do 10 000 osób. Uczestnicy mieli od 25 do 55 lat, a badanie terenowe przeprowadzono w dniach od 9 do 17 września 2026 roku. Wyniki opisują zatem badaną grupę przedsiębiorstw, a nie wszystkie firmy korzystające z AI.

W tej grupie 96% respondentów stwierdziło, że ich organizacje korzystają z agentów AI lub narzędzi, które mogą działać w imieniu pracowników, a 52% określiło ich wdrażanie jako powszechne. Raport przyjmuje szeroką definicję, obejmującą narzędzia czytające i obsługujące wiadomości, uzyskujące dostęp do plików oraz uruchamiające przepływy pracy.

Wśród organizacji korzystających z tych narzędzi 67% umożliwia im dostęp do systemów zgłoszeń lub pomocy technicznej, 56% — do chmury, a 49% — do poczty elektronicznej lub komunikatorów. Kolejne 30% zezwala na dostęp do systemów finansowych, rozliczeniowych, zakupowych lub płatniczych. Tylko 19% respondentów stwierdziło, że ich narzędzia mają dostęp wyłącznie do publicznej sieci, bez dostępu do zasobów wewnętrznych.

Różnica między udzieleniem odpowiedzi na pytanie a wykonaniem działania ma istotne konsekwencje. Nieprawidłowe podsumowanie może wprowadzić czytelnika w błąd; narzędzie połączone z systemami biznesowymi może również przenieść informacje lub uruchomić przepływ pracy. Zakres uprawnień nadanych narzędziu pomaga określić, jak daleko mogą sięgnąć skutki błędu.

Skrzynka odbiorcza to także punkt wejścia dla agentów

Wśród respondentów zgłaszających incydent związany z agentem AI 42% stwierdziło, że narzędzie AI podsumowało złośliwą wiadomość e-mail lub inną wiadomość albo podjęło na jej podstawie działanie. Kolejne 41% zgłosiło przypadek wykorzystania przez atakującego narzędzia AI do phishingu lub manipulacji socjotechnicznej. Kategorie te mogą się pokrywać, a druga obejmuje użycie AI przez atakującego, które niekoniecznie oznacza przejęcie agenta należącego do ofiary.

To ważne zastrzeżenie. Badanie przedstawia łącznie różne rodzaje problemów związanych z AI; nie dowodzi, że w każdym incydencie zastosowano tę samą technikę ataku. Pokazuje jednak, dlaczego organizacje powinny analizować zarówno treści przetwarzane przez agentów, jak i działania dozwolone przez integracje tych narzędzi.

Ryzyko łatwiej zrozumieć, oddzielając informacje od uprawnień. Wiadomość może zawierać instrukcje, ale samo jej pojawienie się w skrzynce odbiorczej nie oznacza, że instrukcje te są autoryzowane. Gdy oprogramowanie może działać w połączonych systemach, utrzymanie tej granicy staje się elementem kontroli dostępu i projektowania przepływów pracy.

Platforma bezpieczeństwa poczty elektronicznej IRONSCALES odzwierciedla koncentrację firmy na tym punkcie wejścia. Firma opisuje swoje podejście oparte na interfejsie API, łączące analizę AI, zautomatyzowane dochodzenie oraz wiedzę ekspertów na temat zagrożeń, a także symulacje phishingu i ochronę przed deepfake’ami w Microsoft Teams. Możliwości te pomagają zrozumieć perspektywę sponsora badania; samo badanie nie stanowi niezależnej oceny skuteczności jego produktów.

Procedury zatwierdzania istnieją, ale rzadko przewodzi im dział bezpieczeństwa

Wśród 479 respondentów, których organizacje korzystają z narzędzi AI zdolnych do podejmowania działań, 78% wskazało dział IT jako główny podmiot zatwierdzający agentów, asystentów, wtyczki i łączniki. Zaledwie 6% wskazało dział bezpieczeństwa, a 14% stwierdziło, że decyzje zatwierdzające podejmowane są wspólnie przez różne zespoły.

Bycie głównym podmiotem zatwierdzającym nie oznacza, że inne zespoły w ogóle nie uczestniczą w tym procesie. Dane nie pokazują, że dział bezpieczeństwa jest wykluczony z każdej pozostałej procedury zatwierdzania. Wynika z nich jednak, że decyzje dotyczące narzędzi o szerokim dostępie zazwyczaj podejmują inne zespoły.

Wśród organizacji zgłaszających incydent 39% stwierdziło, że pracownik przyznał narzędziu AI dostęp, na który dział bezpieczeństwa by się nie zgodził. To odkrycie nadaje konkretny wymiar kwestii nadzoru: kto ocenia uprawnienia przed włączeniem łącznika i kto może je cofnąć, gdy narzędzie zacznie zachowywać się nieoczekiwanie?

Raport wskazuje również na rozbieżność między pewnością siebie a wdrożonymi rozwiązaniami. Chociaż 93% respondentów stwierdziło, że plany reagowania na incydenty obejmują agentów AI, a 84% było przekonanych, że potrafi rozpoznać incydent wywołany przez AI, tylko 52% uznało, że formalne zasady, zabezpieczenia i procedury reagowania na incydenty są już wdrożone. Kolejne 35% zgłosiło istnienie zasad, którym towarzyszą ograniczone zabezpieczenia techniczne.

Straty związane z deepfake’ami spadły, ale zagrożenie się utrzymało

Ustalenia dotyczące deepfake’ów wypadają korzystniej na tle badania Censuswide z 2025 roku, przeprowadzonego wśród 500 respondentów o tym samym profilu. Aktywne inwestycje w zabezpieczenia wzrosły z 37% do 48%. Wśród organizacji, które zgłosiły straty finansowe, odsetek tych, których straty wyniosły co najmniej 100 000 USD, spadł z 63% do 49%, a odsetek tych, które straciły 1 milion USD lub więcej, zmniejszył się z 6% do 3%.

Szacowane średnie straty wśród organizacji, które poniosły straty finansowe, spadły z około 280 000 USD do 225 000 USD. Szacunki te opierają się na środkowych wartościach podanych przedziałów strat. Ponieważ w obu badaniach pytano o straty w różny sposób, porównanie nie uwzględnia odpowiedzi wskazujących brak strat, niepewność ani odmowę udzielenia odpowiedzi.

Raport wyraźnie zastrzega, że jednoczesny wzrost inwestycji i spadek strat nie dowodzą, iż jedno zjawisko spowodowało drugie. Incydenty nie zniknęły: co najmniej jeden incydent związany z deepfake’ami zgłosiło 84% respondentów, w porównaniu z 85% w 2025 roku. Definicja takich incydentów jest szeroka i obejmuje zarówno zmanipulowane obrazy i sfałszowane wiadomości e-mail, jak i podszywanie się w czasie rzeczywistym pod czyjś głos lub obraz wideo.

Problemem są również konkurujące ze sobą priorytety. Odsetek respondentów uznających ochronę przed deepfake’ami za jeden z najważniejszych priorytetów spadł z 71% do 60%, mimo że AI zdolna do wykonywania działań staje się kolejnym obciążeniem dla budżetów na bezpieczeństwo. Mniejsze straty to powód, by sprawdzić, co przynosi efekty, a nie zakładać, że zagrożenie minęło.

Chroń działania, nie tylko rozmowę

IRONSCALES zaleca angażowanie zespołów ds. bezpieczeństwa w zatwierdzanie agentów, ograniczanie ich uprawnień, monitorowanie ich działań oraz testowanie reagowania na incydenty z użyciem ataków wymierzonych zarówno w pracowników, jak i agentów. Zalecenia te łączą dwa główne wątki raportu: zwodnicze treści nadal są niebezpieczne, ale oprogramowanie uprawnione do działania zmienia sposób, w jaki takie oszustwa mogą prowadzić do konsekwencji.

Dla zespołu w przedsiębiorstwie oznacza to konieczność ustalenia, jakie agenty istnieją, do jakich systemów każdy z nich ma dostęp i które działania wymagają weryfikacji przez człowieka. Dzienniki zdarzeń muszą umożliwiać odtworzenie tego, co narzędzie odczytało i zrobiło. Testy powinny sprawdzać, czy niezaufana wiadomość może wpłynąć na zatwierdzony obieg pracy, zamiast ograniczać się do oceny, czy pracownicy rozpoznają podejrzany e-mail.

Największym atutem raportu jest przedstawienie różnicy między adopcją, pewnością siebie a wdrożonymi zabezpieczeniami. Czytelnicy mogą zapoznać się z pytaniami ankietowymi, zastrzeżeniami metodologicznymi i zaleceniami w pełnym raporcie Od deepfake’ów do podwójnych agentów: nowe oblicze cyberzagrożeń napędzanych przez AI.