Cyberprzestępcy dostali właśnie potężne przyspieszenie. Najcenniejszy zasób w cyberbezpieczeństwie właśnie znika. AI nie daje obrońcom chwili oddechu.
Przez lata branża cyberbezpieczeństwa funkcjonowała według dość prostego założenia: choćby jeżeli w oprogramowaniu znalazła się groźna luka to między jej odkryciem a realnym wykorzystaniem przez przestępców zwykle mijał pewien czas. Czasem tygodnie, czasem miesiące. Administratorzy mogli załatać systemy, producenci wydać poprawki, a firmy uruchomić procedury bezpieczeństwa.
Według najnowszej analizy ENISA – czyli Agencji Unii Europejskiej ds. Cyberbezpieczeństwa – ten komfortowy okres ochronny może właśnie znikać. Nie dlatego, iż pojawiły się jakieś zupełnie nowe rodzaje ataków. Problemem jest coś znacznie bardziej prozaicznego: sztuczna inteligencja sprawia, iż wszystko dzieje się znacznie szybciej. Tak szybko, iż człowiek zaczyna być w tym wyścigu przeszkodą.
Cyberatak w tempie maszyny
W raporcie „Cybersecurity in the Frontier AI Era” ENISA zwraca uwagę na zjawisko określane mianem „machine-speed threats”, czyli zagrożeń działających z prędkością maszyn. Chodzi o wykorzystanie najbardziej zaawansowanych modeli AI do automatyzacji kolejnych etapów ataku: rekonesansu, wyszukiwania podatności, opracowywania exploitów, zdobywania kolejnych uprawnień i kradzieży danych.
Zdaniem ekspertów problem polega nie tyle na tym, iż AI znajduje więcej błędów, ile na tym, iż potrafi łączyć pozornie niepowiązane elementy w kompletny scenariusz włamania. Jeszcze kilka lat temu luka bezpieczeństwa była często początkiem długiego procesu. Cyberprzestępca musiał zrozumieć jej działanie, przygotować narzędzie do wykorzystania podatności, przetestować je i dopiero wtedy rozpocząć atak. Dziś coraz większą część tego procesu można zautomatyzować.
Najbardziej niepokojąca liczba w raporcie? 15 minut
ENISA wskazuje, iż proces uzbrojenia nowo odkrytej podatności, czyli zamiany wiedzy o błędzie w gotowy mechanizm ataku, może zająć zaledwie 15 minut od momentu ujawnienia informacji o luce. Dla porównania, wiele organizacji przez cały czas liczy cykle aktualizacji w dniach lub tygodniach. W większych przedsiębiorstwach procedura wdrożenia poprawki obejmuje ocenę ryzyka, testy, akceptację przełożonych, przygotowanie planu wdrożenia i dopiero potem instalację.
Atakujący nie muszą przechodzić przez żaden z tych etapów.
Raport przytacza również badania wskazujące, iż mediana czasu między uzyskaniem pierwszego dostępu do infrastruktury a wyprowadzeniem danych wynosi w tej chwili około 72 minut. Mówiąc brutalnie: firma może jeszcze analizować komunikat o nowej luce, gdy cyberprzestępca kończy już wynosić dane klientów.
Mamy coraz więcej wykrywanych luk. To wcale nie jest dobra wiadomość
Intuicyjnie mogłoby się wydawać, iż skuteczniejsze wykrywanie błędów jest wyłącznie pozytywnym zjawiskiem. ENISA ostrzega jednak, iż rzeczywistość jest bardziej skomplikowana.Jeden z przykładów przywoływanych w raporcie pokazuje organizację, która jeszcze w pierwszym kwartale 2025 r. identyfikowała około 80 podatności CVE. Rok później liczba wzrosła do niemal 500. Po wykorzystaniu zaawansowanych narzędzi AI skala raportowanych podatności sięgnęła około 500 zgłoszeń dziennie. To moment, w którym odkrywanie problemów przestaje być głównym wyzwaniem.
Prawdziwy problem pojawia się później. Kto ma przeanalizować kilkaset nowych zgłoszeń? Kto ma ocenić, które z nich są rzeczywiście niebezpieczne? Kto ma przygotować poprawki? Branża cyberbezpieczeństwa od dawna walczy ze zjawiskiem „alert fatigue”, czyli zmęczenia alarmami. Administrator otrzymujący dziennie setki ostrzeżeń zaczyna ignorować część z nich. jeżeli sztuczna inteligencja zwielokrotni liczbę raportów to człowiek może zwyczajnie przestać nadążać.
Słabe luki nagle stają się groźne
Jeden z najciekawszych wniosków z raportu dotyczy podatności uznawanych za mało niebezpieczne. Przez lata bezpieczeństwo informatyczne opierało się na ocenianiu pojedynczych luk. jeżeli podatność otrzymywała niski wynik ryzyka to trafiała gdzieś na koniec kolejki.
Problem polega na tym, iż nowoczesne modele AI coraz lepiej rozumieją zależności między systemami, konfiguracjami, interfejsami API i uprawnieniami użytkowników. Dzięki temu mogą znaleźć sposoby połączenia kilku niegroźnych błędów w jeden skuteczny wektor ataku. Powstaje też nowy problem.
A jest nim Authority Gap
ENISA zwraca uwagę na zjawisko nazwane „Authority Gap”. Maszyna może podjąć działanie natychmiast. Człowiek musi najpierw uzyskać zgodę. W wielu organizacjach wdrożenie poprawki wymaga akceptacji kilku osób, przygotowania dokumentacji i przejścia przez formalne procedury. Tymczasem automatyczny system atakującego nie potrzebuje żadnych podpisów, regulaminów ani spotkań na Teamsach.
To prowadzi do niewygodnego pytania: czy obrona również będzie musiała zostać częściowo zautomatyzowana? ENISA nie nawołuje do całkowitego oddania kontroli sztucznej inteligencji. Eksperci podkreślają, iż automatyczne wdrażanie poprawek może prowadzić do awarii systemów czy nowych błędów. Jednocześnie przyznają, iż procesy bezpieczeństwa liczone w dniach mogą okazać się po prostu zbyt wolne wobec ataków liczonych w minutach.
Europa nie chce zostać z tyłu
Raport ma również szerszy wymiar polityczny. ENISA uważa, iż obecne europejskie regulacje – takie jak NIS2, Cyber Resilience Act oraz AI Act – tworzą fundament pod walkę z nowymi zagrożeniami, ale konieczne są kolejne działania. Agencja sugeruje tworzenie wspólnych benchmarków i środowisk testowych pozwalających oceniać możliwości najnowszych modeli AI pod kątem cyberbezpieczeństwa.
Tumacząc na polski oznacza to tyle, iż Europa chce mieć własne metody mierzenia tego, jak skutecznie sztuczna inteligencja potrafi zarówno atakować, jak i bronić systemów. ENISA widzi również ogromną wartość w europejskich zasobach danych dotyczących incydentów bezpieczeństwa, próbek malware’u czy zgłoszeń podatności. Odpowiednio zabezpieczone mogłyby posłużyć do trenowania defensywnych systemów AI.
To nie jest kolejna panika wokół AI
W świecie technologii łatwo wpaść w skrajności. Co kilka miesięcy słyszymy albo iż sztuczna inteligencja uratuje świat, albo iż doprowadzi do jego końca. Raport ENISA jest interesujący właśnie dlatego, iż nie wpisuje się w żaden z tych obozów. Agencja nie twierdzi, iż za chwilę zobaczymy autonomiczne armie cyberprzestępczych botów przejmujących Internet. Ostrzega raczej przed czymś dużo bardziej realistycznym.
AI nie zmienia fundamentalnych zasad cyberbezpieczeństwa. przez cały czas liczą się poprawki, segmentacja sieci, kontrola dostępu, monitoring i znajomość własnej infrastruktury. Zmienia się natomiast tempo gry. Przez lata organizacje mogły sobie pozwolić na pewną ospałość. Często wiedziały o problemie, ale zakładały, iż mają jeszcze trochę czasu.
Według ENISA właśnie ten luksus może znikać na naszych oczach. A jeżeli rzeczywiście zbliżamy się do świata, w którym nowa luka jest wykorzystywana po kilkunastu minutach od ujawnienia, to największym zagrożeniem nie będą wcale bardziej inteligentni cyberprzestępcy. Największym zagrożeniem może okazać się zwykła ludzka powolność.
*Ilustracja otwierająca wygenerowana dzięki AI
