Microsoft opísal útok na agentov umelej inteligencie: web im mohol spustiť kód v počítači

Microsoft Defender Security Research Team 18. júna 2026 opísal techniku AutoJack, pri ktorej mohla jedna webová stránka zneužiť agenta umelej inteligencie a dosiahnuť až spustenie procesu v počítači. Microsoft uviedol, že konkrétnu chybu opravil ešte počas vývoja a používatelia PyPI balíka AutoGen Studio neboli touto reťazou vystavení. Incident je dôležitý najmä preto, že AI agenti už len neodpovedajú v chate, ale začínajú klikať, otvárať weby, pracovať so súbormi a konať v mene používateľa.

Bežný chatbot odpovie na otázku, preformuluje text alebo navrhne tabuľku. Agent umelej inteligencie ide ďalej: dostane úlohu, rozdelí si ju na kroky, otvorí web, zavolá ďalší nástroj, prečíta e-mail, pripraví dokument alebo vyplní formulár. Bezpečnostný problém sa preto presúva z otázky, čo model napíše, na otázku, k čomu má prístup a čo môže vykonať bez človeka.

Microsoft v technickom texte o AutoJacku popísal situáciu v AutoGen Studio, open-source prostredí na prototypovanie AI agentov. Nedôveryhodná stránka zobrazená agentom mohla podľa Microsoftu dosiahnuť na lokálny MCP WebSocket a spustiť ľubovoľný proces na hostiteľskom zariadení. V technickom popise sa spomína aj predvolený port 8081.

Microsoft zároveň uviedol, že problém identifikoval a opravil ešte počas vývoja. Zasiahnutá MCP WebSocket plocha sa podľa firmy nikdy nedostala do PyPI vydania AutoGen Studio, takže používatelia, ktorí inštalovali balík z PyPI, vrátane verzie 0.4.2.2, neboli vystavení tejto konkrétnej reťazi. Nejde teda o správu, že masovo používaný produkt útočníci práve zneužívajú, ale o ukážku typu slabiny, ktorá bude pri agentoch pribúdať.

Podľa Microsoftu je širšie ponaučenie z AutoJacku v tom, že ak agent dokáže prehliadať nedôveryhodné stránky a zároveň komunikovať s privilegovanými lokálnymi službami, localhost prestáva byť bezpečnou hranicou dôvery. Inak povedané, starý predpoklad, že lokálna služba v počítači je oddelená od webu, pri agentoch nemusí stačiť. Agent sa môže stať sprostredkovateľom medzi stránkou, ktorú používateľ nepozná, a nástrojom, ktorý má v počítači vyššie oprávnenia.

OWASP Foundation, nezisková bezpečnostná organizácia, označuje prompt injection za útok na veľký jazykový model, pri ktorom škodlivý vstup mení jeho správanie. Pri nepriamej forme môžu byť škodlivé inštrukcie vložené do webovej stránky, dokumentu alebo e-mailu, ktoré agent spracuje až neskôr. Pre človeka môže ísť len o nenápadný text, no agent ho môže vyhodnotiť ako pokyn.

NIST, americký národný normalizačný a výskumný inštitút, už v januári 2025 upozornil na agent hijacking. Ide o typ nepriameho prompt injection, pri ktorom útočník vloží škodlivé inštrukcie do dát spracovaných agentom a vyvolá nežiaduce akcie. Vo februári 2026 NIST doplnil, že bezpečné nasadzovanie agentov si vyžaduje riešiť ich identitu a autorizáciu, pretože dostávajú prístup k rôznym dátam, nástrojom a aplikáciám.

Riziko rastie s každým ďalším oprávnením. Agent, ktorý len číta verejnú stránku a pripraví zhrnutie, je iný bezpečnostný prípad ako agent, ktorý má prístup do e-mailu, cloudu, účtovníctva, kalendára, dokumentov alebo platobnej služby. Pri domácnosti môže ísť o nákupy, osobné doklady či rodinné fotografie; pri malej firme o faktúry, cenové ponuky, internú komunikáciu a údaje zákazníkov.

OWASP Foundation v projekte Agentic Skills Top 10 medzi hlavné riziká agentických systémov zaraďuje nadmerné oprávnenia nástrojov a slabú izoláciu. Problém vzniká najmä vtedy, keď agentické schopnosti bežia v plnom bezpečnostnom kontexte hostiteľa. Ak používateľ pracuje ako správca počítača a agent dostane rovnaký dosah, chyba v agentovi alebo škodlivý vstup môžu mať omnoho väčší dopad.

Téma je praktická aj pre Slovensko. Eurostat uvádza, že v roku 2025 používalo AI technológie 19,95 percenta podnikov v Európskej únii s najmenej desiatimi zamestnancami. Pri veľkých podnikoch to bolo 55,03 percenta. Medzi najčastejšie využitia patrilo analyzovanie písaného textu a generovanie textu, reči alebo kódu.

Európska komisia vo svojej správe o Slovensku uvádza, že aspoň základnú digitálnu intenzitu malo v roku 2025 57,09 percenta slovenských malých a stredných podnikov, kým priemer Európskej únie bol 71,39 percenta. Eurostat zároveň eviduje, že špecializované e-business aplikácie, ako ERP, CRM alebo nástroje business intelligence, používalo 34 percent slovenských podnikov. To naznačuje, že časť firiem bude AI agentov pripájať k procesom, ktoré ešte nemusia mať zrelú správu prístupov, auditov a interných pravidiel.

Eurostat tiež uvádza, že najčastejším dôvodom, prečo firmy po zvážení AI technológie nenasadili, bol nedostatok relevantnej expertízy. Tento dôvod spomenulo 70,89 percenta podnikov, ktoré AI zvážili, ale nepoužívajú ju. Nejasnosť právnych dôsledkov uviedlo 52,52 percenta a obavy o ochranu dát a súkromia 48,83 percenta.

Domáci používatelia a malé firmy by mali pri agentoch riešiť najmä oprávnenia, nie len kvalitu odpovedí. Praktické minimum vyzerá takto:

• agentovi neprideľovať prístup do celého e-mailu, cloudu alebo disku, ak stačí jeden priečinok alebo jeden projekt,
• neumožniť mu odosielať e-maily, meniť dokumenty, mazať súbory alebo uskutočňovať platby bez potvrdenia človekom,
• nepúšťať ho pod účtom správcu počítača, ak úloha nevyžaduje administrátorské práva,
• oddeliť testovanie nových agentov od reálnych firemných dát a účtov,
• vypnúť automatické sťahovanie a spúšťanie súborov z webu,
• pravidelne kontrolovať, ktoré aplikácie majú prístup ku kalendáru, schránke, dokumentom a cloudovým úložiskám,
• pri firemnom použití viesť záznamy o tom, kto agentovi prístup pridelil a aké akcie agent vykonal.

Pre malé firmy je dôležitý aj rozdiel medzi osobným experimentom a pracovným nasadením. Ak zamestnanec použije agenta na zhrnutie verejného článku, riziko je obmedzené. Ak mu však pripojí firemnú poštu, úložisko so zmluvami alebo účtovný systém, firma už rieši prístupové práva, ochranu obchodných informácií a potenciálne aj osobné údaje zákazníkov.

Bezpečnejší model je prideľovať agentom samostatné účty s minimálnymi právami. Agent na vybavovanie kalendára nepotrebuje prístup k faktúram a agent na prípravu návrhu odpovede nemusí mať právo správu rovno odoslať. Pri platbách, objednávkach, hromadnom odosielaní e-mailov a mazaní dokumentov by malo zostať povinné potvrdenie človekom.

AutoJack ukázal technický variant problému, ktorý sa bude v spotrebiteľských aj firemných nástrojoch opakovať v rôznych podobách. Otvorenou otázkou pre dodávateľov zostáva, či budú mať agenti pri citlivých akciách predvolene zapnuté ľudské schvaľovanie, oddelené oprávnenia a jasné záznamy o tom, čo vykonali.