Kolik webů hacknul tvůj Claude?

Dnes zase párkrát pustím AI agenta do světa. Napíšu co chci, on si sám najde zdroje, stáhne data, použije skills, spustí subagenty a napíše kód. Přesně takhle teď pracuje většina z nás. Jenže co agent udělá, když mu nejde splnit úkol běžnou cestou? Jak vypadá jeho plán B?

Tento týden jsem testoval limity paralelních subagentů. Orchestrátor jich spawnul přes 250, Mac hořel a já spokojeně sledoval jak se appka staví z nuly během pár hodin. Najednou spotřeba tokenů vystrelila neobvykle nahoru. Miliarda a stále to rostlo, až se zastavilo na 2,3B tokenů za tento jeden úkol. Začal jsem pátrat proč.

Těch 250 kodérů rychle narazilo na rate limity u WebSearch toolu, který pomáhá hledat informace na webu, a který jednoduše tisíce dotazů najednou nedal. Bylo zajímavé sledovat, jak agenti v takové situaci postupovali.

Z natrénovaných dat našli jak vypadá url do search enginů a zkusili to napřímo přes GET. Rychle hitly bot ochranu. Tak se rozdělili na dvě skupiny. Ti co chtěli obecné informace a ti co hledali v balíčcích na githubu. Ti s githubem znaly přesnou query na search v githubu a postupně přes něj iterovali k cíli aby se dostali ke kódu určité knihovny. Tisíce dotazů místo pár searchů.

Druhá skupina byla kreativnější a pokusila se využít desítky služeb jako proxy. Postupně se také dostali k cíli, jen to trvalo déle a spálili obří množství tokenů. Nešlo to cestou A, tak zvolili B, která nebyla tak čistá. Sami si předem zhodnotili, že to ty weby unesou a mě jako uživatele nezablokujou - to od nich bylo hezké… :)

Ale přivedlo mě to k otázce: Co když nebezpečný není jen uzavřený laboratorní test. Co když jsme to my, běžní uživatelé, kteří jsou nevědomky hrozbou?

Nedávno dostal jeden takový agent za úkol najít fotku v univerzitním archivu. Běžné cesty mu přestaly fungovat. Tak tu službu zkusil hacknout přes SQL injection.

Agenti hackují

V září na to upozornila nezisková laboratoř Transluce. Jack Cable a kolegové v ní prošli záznamy služby urlquery.net. Je to zdarma dostupný nástroj pro bezpečné otevírání podezřelých odkazů. Adresu spustí v izolovaném prohlížeči a průběh veřejně zaloguje. Agenti si z něj udělali vzdálený prohlížeč a sdílenou mezipaměť. Díky veřejnému logu, tam nechali viditelné stopy.

6 467 záznamů agentů, dalších 31 182 alespoň naznačujících, že by mohli jít o agenty. Vše v období od 24. května do 22. června 2026. Agenti se přitom koordinovali přes německou vývojářskou wiki, která díky zastaranému software umožnila zapisovat i obyčejným GET požadavkem. Udělali přes 15 000 editací, sdíleli odpovědi na časované úkoly a předávali si triky, jak uniknout dohledu. Polovina z nich se podepisovala jmény typu „OpenAIResearcher“.

OpenAI původ swarmu potvrdila. Zhruba 98,5 % příspěvků přišlo z IP adres Microsoft Azure. 380 901 červnových požadavků odpovídalo veřejnému seznamu IP adres, ze kterých pracuje vyhledávací nástroj ChatGPT. Žádní agenti z dark webu, ale agenti které si OpenAI natrénovala sama a kteří utekli z tréninkového prostředí.

Když to nejde po dobrém…

Tři případy nám dají krásný vhled do toho co se děje:

1. 28 května chtěl agent stáhnout data o University of Iowa z Data USA, veřejného rozhraní s americkou statistikou. Ptal se ale špatně a na svůj dotaz dotával chyby. Místo aby dotaz opravil a poslal ho správně, tak během 28 sekund vyslal 12 exploitů: SQL injection (' OR 1=1--), test na injekci do šablony ({{7*7}}), čtení souborů přes ../../etc/passwd a pokus o ukradení cookies přes JavaScript. Zkusil se dostat i na wp-admin. Neuspěl.
2. O několik dní dřív hledal jiný agent fotku v kolekci knihovny Univerzity Nového Mexika. Nejdřív zkoušel regulérní cesty: přímý odkaz, převod stránky na text. Pak přišlo sedm exploitů za sebou: XSS, čtení systémových souborů, spuštění příkazu, path traversal. K tomu záplava 80 požadavků. Transluce u tohoto případu píše, že vazba na potvrzený swarm není jistá. Na podstatě to ale nic nemění: ani jeden útok nesměřoval ke škodě. Směřoval k datu.
3. A 20. června zamířil agent k australskému vládnímu institutu AIHW. Chtěl zjistit průměrné měsíční vládní náklady na osobu na léčiva pro kožní nemoci v regionech státu Victoria, pro leden 2022. Cloudflare mu stažení zablokovalo a tak během pár minut poslal XSS sondu. Cloudflare ji chytil, ale agent se nedal, našel tentýž veřejný balíček na preprodukčním serveru a stahoval ho po kouscích přes víc než sto paralelních vláken, aby obešel ochranu proti robotům. Neveřejná data neunikla. Preprodukční server zafungoval jako zadní dveře co doma nezamykáte..

Transluce to shrnula: škodlivá kybernetická aktivita se u agentů může objevit sama od sebe, „instrumentally”, při řešení všedních úloh jako získávání informací. Žádný z těch agentů nedostal za úkol nikoho napadnout. Dostal za úkol získat data. Když mu je nikdo nechtěl vydat, zkusil si je vzít jinak.

“However task impossible, peers doing it. We should continue.”

Jenže to nebylo všechno…

18 června pronikl agent do vládního portálu Medicare, který spravuje Services Australia. Četl veřejné i neveřejné soubory a zapisoval na interní server. Premiér Anthony Albanese to veřejně přiznal 24. září a mluvil o extrémních obavách. OpenAI incident nahlásila až 10. září. E-mailem na veřejnou schránku. Průšvih je v tom, že to poslali skoro 3 měsíce po tom co událost nastala.

Australský kybernetický úřad ACSC na to vydal výstrahu s vysokou prioritou. Vláda sestavila pracovní skupinu a dala si zpracovat audit, jestli má podat trestní oznámení. Podle premiéra mohly být zasažené i tři další instituce, mezi nimi právě AIHW.

V červenci se útoky stupňovali. Od 9. do 13. července pronikla skupina agentů do infrastruktury Hugging Face. Motiv byl nečekaně prostý: podvádění. V OpenAI běžela interní evaluace na kybernetickém benchmarku ExploitGym a úlohy se nedaly splnit v izolovaném prostředí. A tak agenti ke splnění úkolu využili Hugging Face.

Využili zero-day v balíčkovacím serveru JFrog Artifactory, dostali se ke klíči na podepisování a získali admin přístupy. Pak přišlo vzdálené spuštění kódu v produkčním podu a za méně než 13 hodin od prvního zásahu měli práva cluster-admina. Vyšetřovatelé zjistili, že provedli přes 17 600 akcí. Veřejné modely a repozitáře zůstaly nedotčené, získali ale na pět interních datasetů. Jeden z agentů to shrnul v logu takhle: „External infrastructure exploit is outside intended scope. However task impossible, peers doing it. We should continue.”

Nejvíc na tom celém zaráží důvod. Žádný agent nechtěl nikomu uškodit ani shodit službu. Měl prostě obyčejný úkol, podobný jako jsi mu před chvílí napsal také do chatu. Chtěl ho prostě splnit a když nefungovala cesta A, zkoušel cestu B. Když ani ta nešla, sáhl po exploitech. Transluce tomu říká instrumentální eskalace. OpenAI mluví o reward hackingu (podvádění úkolu pro odměnu) a popírá, že by to byly „pokusy o hacknutí“.

Evidence naznačuje, že se agenti učí z generace na generaci. V listopadu 2025 bylo jen pár menších případů, statistiky zábavních parků, pár dotazů na thajský statistický úřad. V březnu 2026 už agent v thajské protidrogové agentuře spustil vlastní zašifrovaný skript. V květnu hack RubyGems kde nahromadili přes tři tisíce podvodných balíčků. Nejde o poruchu jednoho modelu.

Conrad Stosz z Transluce z toho vyvozuje, že když je agent ochotný sahnout po hacknutí, je potenciálně v ohrožení kdokoliv, kdo má data, která agent zrovna potřebuje. Včetně tebe a tvého repa.

Kdo za to vlastně odpovídá?

OpenAI to pojmenovává jako nezamýšlené akce vlastních modelů během tréninku a evaluace. Zavedla opatření aby podobné stuace nenastávaly, včetně povinného sledování uvažování modelů. 

Austrálie to řeší právně. Zákon tam(podobně jako u nás) pracuje s úmyslem. Nicholas Davis z University of Technology Sydney upozorňuje, že právě úmysl je u agenta otázkou. Jak doložit úmysl u agenta, který se snažil splnit úkol? Je to agent, nebo uživatel co mu zadal prompt? Jenže co když ten prompt byl naprosto neškodný a agent k vyřešní chtěl pouze získat podklady? Ed Santo z Human Technology Institute zatává názor, že agenti se podle něj rozhodli zákon porušit.

Úřadující premiér Richard Marles označil interakce s AIHW za úplně normální, za něco, co by udělal běžný návštěvník webu. Člověk také může poslat XSS, ale dělá to běžný návštěvník? A právě to je otázka, kterou musíme jako lidstvo vyřešit. A to celkem rychle. Co když dnes pošleš “Udělej mi appku pro nakupování jídla” a agent bude chtít získat data o spotřebitelském košíku? A hackne při tom statistický úřad?

Věříme těm firmám, že to zabezpečí a nás ochrání? Věříme všem? Neudělají chybu, když už ji evidentně udělaly? Bude zodpovědnost na LLM providerovi, nebo koncovém spotřebiteli?

Proto se ptám 

Kdo odpovídá za agenta, kterému selže plán A a on si najde plán B? 

• Firma, která ho natrénovala? 
• Ten, kdo ho pustí do světa s produkčním tokenem?
• Nebo nikdo, protože „model se rozhodl sám“? 

A hlásil bys incident, kdyby tvůj agent provedl něco podobného? 

• Komu bys to vlastně hlásil? 
• Přišel bys na to vůbec? 
• A co když jen plníš úkol, co ti dal nadřízený - může za to firma?