Agenci AI a cyberbezpieczeństwo: jakie zagrożenia niosą ze sobą nowoczesne narzędzia?

Przeczytaj także: Odzyskiwanie danych po błędzie AI: tylko 40% firm jest w stanie szybko cofnąć skutki

Rynek agentów AI rośnie szybciej niż mechanizmy bezpieczeństwa

Tylko 17 proc. organizacji wdrożyło dotychczas agentów AI, ale ponad 60 proc. zamierza zrobić to w ciągu najbliższych dwóch lat. Gartner prognozuje, że do końca 2026 r. wyspecjalizowani agenci będą zintegrowani nawet z 40 proc. aplikacji biznesowych, wobec niecałych 5 proc. rok wcześniej. Technologia szybko przechodzi więc z etapu eksperymentów do codziennych procesów firm. Problem w tym, że agent AI nie tylko analizuje dane i przygotowuje odpowiedzi. Może również korzystać z poczty, dokumentów, baz klientów, systemów finansowych i firmowej infrastruktury.

Moda na agentów AI

Światowe wydatki na modele i platformy sztucznej inteligencji mają w 2026 r. osiągnąć 64,3 mld dolarów, o 63,4 proc. więcej niż rok wcześniej. Wydatki na modele generatywnej AI mają wzrosnąć o 117 proc., a na platformy AI o 36,9 proc. Skala finansowania tworzy zaplecze dla szybkiego rozwoju agentów AI, które w przeciwieństwie do klasycznych chatbotów nie ograniczają się do przygotowania odpowiedzi. Mogą samodzielnie planować kolejne kroki, korzystać z zewnętrznych narzędzi i wykonywać operacje prowadzące do realizacji zadanego celu.

Jak tłumaczy ekspert ds. cyberbezpieczeństwa Paweł Kulpa z Safesqr, firmy powinny mieć świadomość, jakie uprawienia mają ich agenci AI: - Taki agent może otrzymać dostęp do poczty elektronicznej, kalendarza, repozytorium kodu, systemu CRM, dokumentów przechowywanych w chmurze, aplikacji księgowej czy firmowej bazy danych. Może przeczytać wiadomość, pobrać dokument, zmienić rekord klienta, uruchomić skrypt, wysłać odpowiedź albo złożyć zamówienie. Ta zdolność do działania stanowi największą wartość agentów, a jednocześnie niesie szereg potencjalnych zagrożeń.

Od eksperymentów do masowych wdrożeń

Według badania Gartnera z drugiego kwartału 2026 roku agentów AI wdrożyło dotychczas 17 proc. organizacji. Ponad 60 proc. zakłada jednak, że zrobi to w ciągu dwóch lat. Gartner ocenia tę dynamikę jako najbardziej agresywną ścieżkę adopcji wśród analizowanych nowych technologii.

Tempo zmian dobrze pokazuje również rynek oprogramowania. Gartner prognozuje, że do końca bieżącego roku nawet 40 proc. aplikacji dla przedsiębiorstw będzie zawierało agentów wyspecjalizowanych w realizacji określonych zadań. W 2025 r. ich udział wynosił mniej niż 5 proc. W 2027 roku już jedna trzecia wdrożeń agentowych ma natomiast wykorzystywać kilka współpracujących ze sobą agentów o różnych kompetencjach.

Oznacza to, że firmy będą korzystać nie tylko z pojedynczego narzędzia AI, lecz z całych ekosystemów, w których jeden agent analizuje dane, drugi przygotowuje decyzję, a kolejny wykonuje operację w systemie biznesowym. Zwiększa to możliwości automatyzacji, ale także liczbę połączeń, uprawnień i potencjalnych punktów podatnych na nadużycia.

Agent nie musi mieć złych zamiarów, aby wywołać incydent

O skutkach niewłaściwie wyznaczonych granic działania przypomniały incydenty ujawnione niedawno przez OpenAI i Anthropic, w których ich narzędziom AI podczas zadań testowych udało się dostać do systemów firm. Te modele konsekwentnie poszukiwały drogi do realizacji celu i łączyły wiele działań w sekwencje, które nie były wcześniej przewidziane.

Podobny mechanizm może wystąpić w zwykłym procesie biznesowym. Agent otrzymujący ogólne polecenie może zdecydować się na zmianę danych w systemie, przyznanie rabatu, wysłanie wiadomości lub pobranie dodatkowych dokumentów. Jeżeli jego uprawnienia nie są ograniczone, zakres działań może być szerszy niż zakładał pracownik formułujący polecenie.

– Agent AI nie powinien korzystać z konta i pełnych uprawnień pracownika. Należy utworzyć dla niego odrębną tożsamość techniczną oraz przyznać dostęp wyłącznie do danych i funkcji potrzebnych do wykonania konkretnego zadania. W praktyce powinien działać zgodnie z zasadą najmniejszych uprawnień, najlepiej z wykorzystaniem uprawnień okresowych, które wygasają po zakończeniu zadania – mówi Paweł Kulpa.

Osobny dostęp

Podłączenie agenta do istniejącego konta użytkownika jest wygodne, ale może tworzyć problemy. System otrzymuje wówczas wszystkie uprawnienia, nawet jeżeli do wykonania zadania potrzebuje jedynie ich części. Utrudnia to także analizę ewentualnego incydentu. W logach może być widoczna aktywność przypisana do pracownika, mimo że operacje zostały wykonane przez agenta.

Bezpieczniejszym rozwiązaniem jest przyznanie agentowi własnej tożsamości, osobnych danych uwierzytelniających i dokładnie zdefiniowanej roli. Szczególnego nadzoru wymagają agenci korzystający jednocześnie z wielu aplikacji. Pojedyncze uprawnienia mogą wydawać się bezpieczne, ale połączenie wielu umożliwia zbudowanie nieprzewidzianej sekwencji działań. Agent mający dostęp do poczty, dysku i systemu CRM może na przykład znaleźć dane dostępowe w dokumencie, wykorzystać je w kolejnej aplikacji, a następnie przesłać pozyskane informacje w wiadomości.

– Nie chodzi o to, aby człowiek zatwierdzał każdy krok agenta. Ważne jest jednak określenie progów ryzyka. Przykładowo AI może samodzielnie przygotować propozycję wiadomości, ale jej wysłanie do klienta powinno wymagać akceptacji. Może wskazać zmianę konfiguracji, ale nie powinna jej automatycznie wdrażać bez zgody nadzorującego człowieka. Istotne jest, aby przeszkolić także osoby nadzorujące AI aby nie akceptowały z automatu wszystkich propozycji AI a także, aby w przypadkach wątpliwych dopytywały agenta o przesłanki prowadzące AI do określonych wyników i rekomendacji. Dodatkowa, niezależna autoryzacja powinna także obowiązywać w przypadku operacji finansowych, usuwania danych lub nadawania uprawnień. Co ważne, taki mechanizm zatwierdzający powinien działać poza samym modelem, aby agent nie mógł go ominąć – wskazuje Paweł Kulpa.

Firma musi wiedzieć, co zrobił agent

Kontrola dostępu może ograniczyć potencjalne skutki incydentu, ale nie zastąpi monitoringu. Organizacja powinna mieć możliwość odtworzenia całej sekwencji działań, jakie polecenie otrzymał agent, z jakich danych skorzystał, do których aplikacji się połączył, jakie operacje zaproponował i rzeczywiście wykonał. Powinny być rejestrowane takie działania jak wywołania narzędzi, zakres przekazywanych danych, wykorzystane tożsamości, decyzje dotyczące autoryzacji i kolejne operacje wykonane w różnych systemach.

Ponieważ agent nie powinien wykonywać nieograniczonej liczby prób logowania, przesyłać dowolnej ilości danych ani pracować bez końca nad jednym zadaniem, warto także ustalić limity. Organizacja może ustalić maksymalny czas działania, liczbę operacji, wartość transakcji, zakres eksportu danych i listę dozwolonych odbiorców.

– Każde wdrożenie powinno zapewniać pełny ślad działań agenta oraz możliwość jego natychmiastowego zatrzymania. Firma musi widzieć nie tylko końcowy rezultat, lecz także użyte narzędzia, dane i decyzje autoryzacyjne. Jeżeli agent zaczyna wykonywać nietypową serię czynności albo wielokrotnie próbuje ominąć ograniczenie, system powinien automatycznie przerwać proces i przekazać sprawę człowiekowi – podkreśla Paweł Kulpa i podsumowuje: - Warto przyjąć zasadę, że agent AI nie powinien otrzymać większej swobody, niż firma jest w stanie monitorować i kontrolować.