Gdy algorytm staje po złej stronie – scena otwierająca i rama problemu
Telefon od „prezesa”, który nigdy nie dzwoni
Dział finansów w średniej firmie właśnie zbiera się do wyjścia, gdy dzwoni telefon służbowy głównej księgowej. Na wyświetlaczu nazwa prezesa, w słuchawce jego znajomy, lekko pośpieszny głos: „Mamy zamknięcie kluczowej transakcji, zaraz wchodzę na zarząd, przelej proszę natychmiast 280 tysięcy na ten numer konta, w mailu zaraz przyślę fakturę, nie możemy tego opóźnić ani o minutę”. Wszystko się zgadza – sposób mówienia, żarty, nawet charakterystyczne „eeee” w środku zdań. Przelew wychodzi.
Kilka godzin później, gdy prezes pojawia się w biurze i na spokojnie pyta o status transakcji, oczy całego działu finansów robią się okrągłe. Prezes? Nie dzwonił. Mail z fakturą? Przyszedł z adresu bardzo podobnego, ale jednak nie tego samego. Rozmowa? Jak się później okazało – deepfake audio wygenerowane przez model AI na podstawie nagrań z konferencji i firmowych materiałów wideo.
Tak wygląda dziś atak z użyciem AI: połączenie klasycznej socjotechniki z algorytmami, które potrafią wiarygodnie podrobić głos, styl wypowiedzi i kontekst. Nie ma tu magii – jest za to umiejętne wykorzystanie danych, automatyzacji i generatywnej sztucznej inteligencji.
AI jako dopalacz socjotechniki, a nie „samodzielny haker”
Generatywna sztuczna inteligencja w cyberprzestępczości nie działa w próżni. Przestępcy rzadko budują cały atak w oparciu o zaawansowane modele. Częściej używają AI jako współpracownika: narzędzia, które przyspiesza nudne, powtarzalne etapy lub usuwa bariery, na które wcześniej się natykali (brak języka, brak umiejętności programowania, ograniczony czas).
Klasyczne phishingi były dość łatwe do wychwycenia: łamana polszczyzna, nielogiczne sformułowania, brak spójności w treści. Modele językowe eliminują większość z tych sygnałów. Deepfake wideo i audio zacierają granice między „podszywaniem się na oko” a realistyczną imitacją konkretnej osoby. Automatyzacja włamań – wsparta analizą danych przez AI – pozwala znacznie szybciej testować luki, konta, hasła i konfiguracje.
Dostępność narzędzi a rosnąca liczba incydentów
Kluczowym czynnikiem nie jest sama „inteligencja” algorytmów, lecz ich dostępność. Jeszcze kilka lat temu stworzenie deepfake audio wymagało specjalistycznej wiedzy, konfiguracji środowiska i sporej mocy obliczeniowej. Obecnie wystarczy gotowy serwis online lub prosty skrypt wykorzystujący model open-source. Podobnie z generatywnymi modelami tekstowymi – przestępca może korzystać z ogólnodostępnych narzędzi lub ze sklonowanych, „odbezpieczonych” wersji modeli, które nie filtrują treści przestępczych.
Efekt jest prosty: niższy próg wejścia przekłada się na większą liczbę ataków, wyższy poziom dopracowania i większą skalę. Nawet jeśli pojedynczy cyberprzestępca nie dysponuje ogromnymi zasobami, generatywna AI pozwala mu działać szerzej, szybciej i w sposób bardziej spersonalizowany. Z punktu widzenia obrony oznacza to, że stare odruchy wykrywania „podejrzanych” maili i rozmów przestają wystarczać – ciężar przenosi się na procedury, weryfikację kanałów i zarządzanie ryzykiem.
Źródło: Pexels | Autor: cottonbro studio
Jak AI trafiła w ręce hakerów – tło technologiczne i motywacje
Od prostych botów do generatywnej AI
Cyberprzestępcy od dawna korzystają z automatyzacji. Botnety wysyłające spam, skrypty do brute force, programy masowo rejestrujące konta w serwisach – to wszystko funkcjonuje od lat. Różnica polega na tym, że klasyczna automatyzacja wykonuje ściśle zaprogramowane czynności, podczas gdy generatywna AI potrafi sama „wymyślać” treści lub reagować na kontekst.
Modele językowe (LLM) generują teksty, odpowiadają na pytania, tłumaczą i przekształcają treści. Modele obrazu i wideo tworzą lub podmieniają wizualne elementy, a systemy TTS (text-to-speech) potrafią sklonować głos. Całość jest udostępniana jako:
API popularnych dostawców,
narzędzia SaaS działające w przeglądarce,
modele open-source, które można uruchomić lokalnie bez kontroli zewnętrznego dostawcy.
Właśnie ten ostatni punkt – lokalne, otwarte modele – jest szczególnie atrakcyjny dla przestępców. Pozwala omijać zabezpieczenia, polityki użycia i logowanie aktywności na serwerach firm, które dbają o compliance. Haker uruchamia model w swoim środowisku i może zadawać mu dowolne pytania, generować dowolne treści, bez obawy, że ktoś to zablokuje lub zgłosi.
Co dokładnie daje przestępcy generatywna sztuczna inteligencja
Z punktu widzenia atakującego generatywna AI dostarcza trzech kluczowych przewag: skali, personalizacji i redukcji barier. Każda z nich przekłada się na konkretny typ incydentów.
Skala oznacza możliwość wygenerowania setek lub tysięcy wariantów wiadomości, scenariuszy rozmów, treści stron phishingowych. Zamiast jednego maila phishingowego, który trafi w próżnię, napastnik może w kilka minut stworzyć dziesiątki dopasowanych pod różne grupy odbiorców: HR, IT, księgowość, dyrektorów. Każdy z nich brzmi naturalnie, a sama kampania jest prowadzona jak dobrze zaprojektowany marketing.
Personalizacja polega na dopasowaniu ataku do cyfrowego śladu ofiary. Publiczne profile w mediach społecznościowych, wystąpienia na konferencjach, komentarze w branżowych grupach – to materiał, który AI potrafi przetworzyć i wykorzystać do stworzenia treści „idealnie dopasowanej”. Mail, który wspomina konkretne projekty, ludzi z zespołu czy ból firmowy, ma znacznie większą szansę powodzenia niż ogólny szablon.
Obniżenie barier technicznych sprawia, że do cyberprzestępczości łatwiej wchodzą osoby, które nie są programistami ani ekspertami od exploitów. Ktoś, kto ma podstawową wiedzę o bezpieczeństwie, może użyć modeli językowych do wygenerowania kodu malware, skryptów automatyzujących atak, a nawet instrukcji konfiguracji środowiska do anonimowego działania. Z kolei bardziej doświadczeni przestępcy używają AI, aby szybciej testować nowe techniki i iterować swoje kampanie.
AI jako współpracownik przestępcy
W praktyce sztuczna inteligencja staje się elementem łańcucha ataku, a nie jego samodzielnym wykonawcą. Schemat wygląda często tak:
analiza danych o ofierze – AI pomaga w streszczaniu, kategoryzacji, wyszukiwaniu wzorców,
generowanie treści phishingowej – e-maile, skrypty rozmów, wiadomości w komunikatorach,
optymalizacja kampanii – próbne wysyłki, ocena odpowiedzi, modyfikacja treści.
AI nie musi przejąć całej sekwencji. Wystarczy, że usprawni kilka kluczowych kroków – i już zwiększa się opłacalność oraz zasięg ataku. Ryzyko dla organizacji rośnie tym bardziej, im mniej świadomie używa się wewnętrznie narzędzi AI, bo wtedy łatwo o przeciek danych, który potem jest paliwem dla przestępców.
Źródło: Pexels | Autor: cottonbro studio
Phishing napędzany generatywną AI – gdy każdy e‑mail brzmi jak native speaker
Koniec „łamanej” składni – nowa generacja socjotechniki
Jeszcze niedawno jednym z kluczowych kryteriów rozpoznawania phishingu były błędy językowe: dziwna składnia, kalki z angielskiego, słowa w niewłaściwym przypadku. Ataki wychodziły z masowych „fabryk spamu”, gdzie nikt nie przejmował się dopracowaniem języka. Dziś phishing wspierany przez AI pochodzi z tej samej fabryki, ale ma zupełnie inny wygląd – poprawny, dopasowany, czasem wręcz lepszy stylistycznie niż komunikacja samej firmy.
Modele językowe potrafią naśladować ton maili firmowych, tworzyć odpowiedzi w określonym stylu, a nawet rekonstruować strukturę wcześniejszych wiadomości, jeśli przestępca ma do nich dostęp. Typowy scenariusz: atakujący przejmuje skrzynkę jednego z pracowników, eksportuje historię korespondencji, przepuszcza ją przez narzędzie AI, które uczy się stylu i kontekstu, a potem generuje nowe wiadomości tak, by były nie do odróżnienia od wcześniejszych.
W jednym z incydentów, analizowanych przez zespół bezpieczeństwa dużej firmy technologicznej, do kandydatów aplikujących przez portal rekrutacyjny wysyłano wiadomości „od HR”. E-maile były poprawne językowo, odnosiły się do konkretnych punktów z CV, wspominały nazwę stanowiska, a nawet sugerowały daty rozmów zgodne z kalendarzem rekruterów publikowanym publicznie. Źródłem była jednak zainfekowana wtyczka w systemie HR, a treści generowała AI na podstawie wykradzionych danych z formularzy.
Masowa personalizacja – każdy ofiara dostaje własny scenariusz
Klasyczny phishing często opierał się na jednym szablonie: ten sam mail wysyłany do tysięcy odbiorców. Dzięki generatywnej AI i złożonym pipeline’om danych przestępcy tworzą dziś masowo spersonalizowane kampanie. Mechanizm krok po kroku:
Z różnych wycieków i baz danych łączone są informacje o adresach e-mail, imionach, stanowiskach, czasem zainteresowaniach.
AI segmentuje tę bazę (np. dział finansów, HR, IT, marketing, zarząd) i dla każdej grupy tworzy osobne strategie.
Dla każdego odbiorcy generowany jest indywidualny mail, często zawierający elementy pozornie „intymne”: wzmianka o uczestnictwie w danym wydarzeniu branżowym, nazwie używanego narzędzia, rodzaju projektu.
Modele mogą tworzyć kilka wersji tej samej wiadomości – bardziej formalnej, koleżeńskiej czy „technicznej” – a następnie testować, która wersja powoduje więcej kliknięć lub odpowiedzi. To coś w rodzaju A/B testów w marketingu, tylko że celem nie jest sprzedaż, a kradzież danych lub pieniędzy.
Dla obrońców oznacza to, że intuicyjne kryteria oceny wiadomości przestają działać. Mail z imieniem, nazwiskiem, poprawnym odniesieniem do stanowiska i ostatniej konferencji nie budzi takiego podejrzenia jak ogólna formułka. Bez mocnych procedur – na przykład obowiązku weryfikacji istotnych zmian (numeru konta, danych dostępowych) przez drugi kanał komunikacji – nawet dobrze przeszkolone osoby mogą paść ofiarą.
Phishing głosowy (vishing) napędzany TTS i deepfake
Rosnącą częścią krajobrazu zagrożeń są ataki głosowe. Vishing istniał wcześniej – przestępcy dzwonili, podszywając się pod banki, operatorów czy support. Jednak ich możliwości były ograniczone: akcent, brak znajomości języka, trudność w utrzymaniu spójnej historii rozmowy. Modele TTS i deepfake audio usuwają te bariery.
Dziś możliwe jest:
szybkie sklonowanie głosu z kilkuminutowego nagrania (np. z YouTube czy podcastu),
generowanie w czasie zbliżonym do rzeczywistego odpowiedzi w tym głosie na podstawie tekstu podawanego modelowi,
łączenie generatorów głosu z chatbotami, które dostosowują treść odpowiedzi do zachowania rozmówcy.
W jednym z opisanych przez branżę incydentów do firmy dzwoniły „głosy klientów”, którzy prosili o reset hasła i wysłanie linków aktywacyjnych. System call center wstępnie obsługiwał zgłoszenia, a pracownicy przejmowali rozmowy dopiero na późniejszym etapie. Skonstruowane przez przestępców deepfake głosy brzmiały przekonująco, a treść rozmów była wspierana przez tekstowe modele AI, które w trakcie rozmowy generowały sugestie kolejnych zdań. W efekcie przełamano część procedur identyfikacyjnych na skutek ludzkiej uległości i urealnionego wizerunku rozmówcy.
Jeśli dołożyć do tego scenariusz „telefonu od prezesa” czy „telefonu z działu bezpieczeństwa banku”, łatwo zrozumieć, jak ciemna strona algorytmów zmienia krajobraz socjotechniki. Najlepszą obroną nie jest tu „słuchanie uchem”, czy głos wydaje się autentyczny, ale twarde procedury: każda nietypowa dyspozycja finansowa wymaga potwierdzenia w innym kanale, niezależnie od tego, jak autentycznie brzmi głos po drugiej stronie.
Źródło: Pexels | Autor: Sora Shimazaki
Deepfake w praktyce ataków: głos, wideo, dokumenty
Deepfake audio i wideo w wyłudzeniach finansowych
Deepfake często kojarzy się z polityką i fałszywymi nagraniami znanych osób. W świecie firmowym realne straty generują jednak głównie ataki finansowe. Głos lub wideo zarządu, dyrektora finansowego czy kluczowego klienta staje się narzędziem wymuszania przelewów, zmiany numerów kont i akceptowania ryzykownych działań.
Mechanika ataku zazwyczaj obejmuje kilka etapów:
Gdy przelew „od prezesa” brzmi jak prawda
Specjalistka z działu finansów dostaje krótką wiadomość na komunikatorze: „Czy możesz wejść na chwilę na wideocall? Pilna sprawa z klientem z UK”. Na ekranie pojawia się prezes – znajomy kadr z gabinetu, znajomy głos, charakterystyczne gesty. Po kilku minutach rozmowy księgowa wykonuje przelew na zagraniczne konto „pośrednika”. Cokolwiek ją zaniepokoiło, przykryło to jedno: poczucie, że rozmawia z prawdziwą osobą.
W praktyce taki scenariusz często opiera się na połączeniu kilku technik. Atakujący:
zbiera publicznie dostępny materiał wideo i audio (konferencje, nagrania dla mediów, webinary),
trenuje modele generujące twarz i głos menedżera,
używa prostych szablonów tła (fotografia biura, render 3D) i łączy to z deepfake działającym w czasie zbliżonym do rzeczywistego,
prowadzi rozmowę przy wsparciu modelu tekstowego, który podpowiada kwestie i argumenty.
Kluczem jest kontekst. Przelew nigdy nie jest „znikąd”: zwykle poprzedza go seria maili lub dokumentów, które tworzą narrację o rzekomym projekcie, karze umownej, presji czasu. Deepfake ma być tylko ostatnim, emocjonalnym bodźcem, który zamyka proces decyzyjny po stronie ofiary.
Podrobione dokumenty generowane przez modele – oferty, faktury, umowy
Dyrektor operacyjny przegląda plik podpisanych skanów umów ramowych z dostawcami. Wszystko wygląda znajomo: logotypy, klauzule, nazwy projektów. Dopiero po tygodniu okazuje się, że jeden z dokumentów był „dopisany” na bazie starego wzoru, a zmiany – Konto bankowe i warunki płatności – zostały wygenerowane przez AI tak, by stylistycznie wtopić się w resztę.
Generatywne modele obrazu i tekstu pozwalają dziś:
przygotować fałszywe faktury w stylu konkretnego dostawcy (układ, fonty, kolory, numeracja),
zmodyfikować istniejące skany dokumentów (np. podmienić numer rachunku, nazwisko uprawnionej osoby),
tworzyć podrobione załączniki – od kart specyfikacji po certyfikaty zgodności – na bazie kilku próbek oryginałów.
W przeszłości takie fałszerstwa zdradzały się detalami: innym kerningiem czcionki, nienaturalnym rozmyciem, drobną niespójnością kolorów. Dzisiejsze narzędzia potrafią zachować spójność całego dokumentu, włącznie z artefaktami skanera czy „przebiciem” drugiej strony kartki. Analiza „na oko” przestaje mieć sens, jeśli atakujący korzysta z dobrze dobranych narzędzi.
Stąd przesunięcie akcentów: zaufanie do wyglądu dokumentu jest coraz mniej istotne, kluczowa staje się weryfikacja źródła – czy plik trafił tym kanałem, którym zawsze, czy zmiana warunków nie została wcześniej zapowiedziana, czy w systemach obiegu dokumentów widnieje ślad takiej modyfikacji.
Deepfake jako narzędzie szantażu i reputacyjnego sabotażu
Wystarczy krótki filmik rzekomo nagrany w hotelowym pokoju, by rozpędzić lawinę. Link trafia do kilku pracowników, potem do zarządu i partnerów biznesowych. Źródło? „Anonimowy sygnał”. Na nagraniu osoba bardzo podobna do dyrektora bierze udział w kompromitującej sytuacji. Niezależnie od tego, jak szybko zespół IT dowiedzie manipulację, przez pierwsze godziny to emocje sterują ruchem, nie fakty.
Tak wygląda wykorzystanie deepfake w scenariuszach:
szantażu indywidualnego – „zapłać, inaczej opublikujemy materiał”,
presji negocjacyjnej – fałszywe nagranie wypowiedzi menedżera, które można „wypuścić”, jeśli firma nie ulegnie żądaniom,
ataków konkurencyjnych – sabotaż przetargu lub reputacji poprzez spreparowane wypowiedzi o klientach, pracownikach czy danych finansowych.
Cechą tych ataków jest szybkość rozprzestrzeniania się. Krótkie wideo wystarczy opublikować w zamkniętej grupie branżowej lub podesłać kilku dziennikarzom. Nawet późniejsze sprostowania nie cofną pierwszego wrażenia, a sam fakt, że deepfake wygląda „zbyt dobrze”, by amator mógł go wykonać, bywa błędnie odczytywany jako dowód autentyczności.
Systemy AI jako „wewnętrzny” wektor ataku
Administrator bezpieczeństwa zagląda do logów firmowego chatbota. Widzi powtarzające się zapytania o strukturę bazy danych klientów, format tokenów API i mechanizmy resetu haseł. Na pierwszy rzut oka to zwykłe pytania od programisty. Dopiero korelacja z innymi systemami wykazuje, że konto zostało przejęte, a chatbot stał się wygodnym interfejsem do rekonesansu wewnątrz organizacji.
Rozwiązania AI wdrażane w firmach – od asystentów kodowania, przez narzędzia do klasyfikowania dokumentów, po boty obsługi klienta – często mają dostęp do:
repozytoriów kodu i konfiguracji,
wrażliwych dokumentów (oferty, umowy, analizy finansowe),
danych klientów i logów systemowych.
Jeśli model lub warstwa aplikacyjna nie są odpowiednio odseparowane, atakujący może:
wykorzystać błędy autoryzacji, by „przepytać” model o informacje, do których formalnie nie powinien mieć dostępu,
przeprowadzić atak typu prompt injection, w którym przekonuje model do zignorowania części polityk i ujawnienia danych,
użyć chatbota jako wygodnego narzędzia wyszukiwania – zamiast przeglądać setki dokumentów, po prostu prosi model o streszczenie kluczowych informacji.
W odróżnieniu od klasycznego wycieku plików, tutaj dane wypływają w formie „odpowiedzi”. Oznacza to, że logi nie zawierają jednoznacznego śladu pobrania całej bazy – widać serię pozornie nieszkodliwych zapytań i tekstowych odpowiedzi, które po złożeniu układają się w pełen obraz. To utrudnia detekcję i reakcję, bo nadużycie wygląda jak zwykłe użycie.
Automatyzacja exploitów i „AI‑asystent” w pisaniu malware
Młody „entuzjasta bezpieczeństwa” zainstalował model językowy na swoim komputerze. Zamiast długich kursów, wpisuje proste polecenie: „Napisz skrypt, który skanuje zakres adresów IP, znajduje otwarte porty RDP i próbuje logowania słownikiem haseł”. Model, oparty na checkpointach krążących po forach, bez większych oporów generuje gotowe fragmenty kodu, a nawet tłumaczy, jak obejść podstawowe zabezpieczenia.
Na podziemnych rynkach krążą dziś:
fine‑tunowane modele wyspecjalizowane w tworzeniu malware,
skrypty, które łączą funkcje modeli z frameworkami do testów penetracyjnych,
„kreatory kampanii”, gdzie użytkownik zaznacza typ ataku, a system generuje kod, instrukcje i materiały socjotechniczne.
Dla doświadczonego przestępcy AI jest sposobem na przyspieszenie iteracji. Może:
w kilka minut wygenerować nowe warianty loaderów i dropperów, różniące się na tyle, by utrudnić sygnaturowe wykrywanie,
prosić model o „przepisanie” fragmentu kodu w innym języku lub z użyciem innej biblioteki,
automatycznie generować fragmenty exploitów dopasowanych do znanych podatności (CVE), które właśnie pojawiły się w publicznych bazach.
Z drugiej strony bariera wejścia spada. Osoba bez głębokiej wiedzy o systemach operacyjnych i sieciach może skleić działający zestaw narzędzi na podstawie dialogów z modelem. W wielu przypadkach poziom technicznej jakości takiego malware będzie niższy niż „ręcznie robionych” zestawów, ale przy odpowiedniej skali i tak wystarczy, by wywołać realne szkody – zwłaszcza u słabiej zabezpieczonych ofiar.
Modele wykorzystywane do łamania barier ochronnych
Analityk bezpieczeństwa zauważa, że jeden z botów indeksujących stronę firmy wykonuje nietypowe zapytania: dziwne kombinacje parametrów, próby wstrzyknięcia SQL, testowanie limitów długości pól formularzy. Nie wygląda to jak ręczne skanowanie, raczej jak systematyczny eksperyment, który próbuje znaleźć „pęknięcia” w aplikacji.
Modele AI pomagają atakującym:
automatyzować poszukiwanie nieszczelności w konfiguracjach (np. otwartych bucketów w chmurze, źle skonfigurowanych proxy),
analizować ogromne zbiory logów lub wyników skanów w poszukiwaniu anomalii, które opłaca się dalej eksplorować,
generować nietypowe kombinacje wejść (tzw. fuzzing zasilany AI), które mają większą szansę trafić w nieprzewidziane przez programistów ścieżki.
Dodatkowo, generatywne modele obrazów bywają używane do:
tworzenia syntetycznych „screenów” dla systemów rozpoznających obraz (np. CAPTCHA), aby trenować modele ich omijania,
symulowania interfejsów aplikacji mobilnych i webowych na potrzeby automatycznych klikaczy, które uczą się, jak „przechodzić” przez kolejne ekrany logowania.
Efekt uboczny jest taki, że klasyczne zabezpieczenia oparte na prostych testach „czy to człowiek, czy bot” stopniowo tracą skuteczność. Bot wyposażony w model widzenia komputerowego i językowy może „czytać” komunikaty, rozumieć ich znaczenie, wybierać poprawne odpowiedzi – zachowując się bardziej jak cierpliwy, ale bezmyślny pracownik, a nie prymitywny skrypt.
AI w kampaniach dezinformacyjnych uderzających w biznes
Na giełdę trafia plotka: duży dostawca technologiczny rzekomo ma poważną lukę w zabezpieczeniach, którą ukrywa od miesięcy. W tym samym czasie na kilku forach pojawiają się „anonimowe” posty od użytkowników opisujących rzekome incydenty, a w mediach społecznościowych krążą zrzuty ekranu fałszywych maili od supportu. Część inwestorów reaguje nerwowo, akcje na krótko spadają. Źródłem był koordynowany atak informacyjny, w którym generatywna AI pisała treści i komentarze dopasowane do różnych grup odbiorców.
Takie kampanie korzystają z kilku przewag:
modele językowe potrafią tworzyć spójne narracje w wielu językach, dostosowane do poziomu wiedzy i emocji odbiorcy,
treści są generowane masowo, ale różnorodne – każdy komentarz wygląda jak głos odrębnej osoby, a nie powielony szablon,
boty mogą funkcjonować w niszowych społecznościach (grupy branżowe, fora klientów), gdzie ręczna moderacja bywa ograniczona.
W efekcie firma mierzy się nie tylko z klasycznym cyberatakiem, ale także z presją reputacyjną, która dezorientuje klientów i partnerów. Nawet jeśli incydent techniczny jest niewielki lub nie istnieje, odpowiedź wymaga dużych zasobów: komunikacji kryzysowej, dochodzeń, wsparcia prawnego. AI nie tylko pomaga w ataku na systemy, lecz także w ataku na zaufanie.
Gdy obrońca też używa AI – nowy wyścig zbrojeń
Zespół SOC siedzi nad konsolą, w której setki alertów dziennie zamieniają się w zaledwie kilkanaście priorytetowych zgłoszeń. Za kulisami działa model, który grupuje zdarzenia, porównuje je z wcześniejszymi incydentami, a nawet sugeruje hipotezy: „To może być wariant kampanii obserwowanej trzy miesiące temu, ale z nowymi domenami i innym loaderem”.
Po drugiej stronie barykady przestępcy też nie śpią. Używają modeli do:
testowania swoich narzędzi na popularnych rozwiązaniach EDR/XDR,
symulowania zachowania systemów detekcji i szukania wzorców, które rzadziej generują alarmy,
analizy danych z wycieków (np. konfiguracji SIEM) pod kątem reguł, które trzeba ominąć.
Pojawia się charakterystyczna spirala: AI wykrywająca AI. Obrońcy trenują modele na śladach zachowań generowanych przez przestępcze narzędzia (np. charakterystyczne sekwencje zapytań, statystyki ruchu, wzorce logowania), a przestępcy starają się „udawać normalność”, modelując swoje działania na danych z prawdziwych, legalnych użytkowników. Granica między naturalnym a sztucznie generowanym ruchem zaciera się, a przewagę zyskuje ten, kto szybciej uczy swoje systemy.
„Uczenie” modeli na kradzionych danych i efekty uboczne personalizacji
Administrator dostaje zgłoszenie: kilka kont klientów prosi o wyjaśnienie, skąd system „wie” o ich dawnych problemach zdrowotnych, o których nigdy nie wspominali w tej aplikacji. W raporcie widnieje sucha notatka: „personalizowany scoring ryzyka oparty o dane zewnętrzne”. Tyle że te „dane zewnętrzne” to w praktyce zasób zasilany także wyciekami kupionymi na czarnym rynku.
Modele używane w biznesie coraz częściej łączą informacje z wielu źródeł: danych własnych firmy, otwartych rejestrów, hurtowni danych komercyjnych, a niekiedy także szarych stref, gdzie sprzedaje się:
bazy klientów z poprzednich wycieków (maile, adresy, numery telefonów),
pseudonimizowane, ale łatwe do reidentyfikacji zrzuty medyczne czy finansowe,
zestawy „profilowe”, które łączą aktywność social media, historię zakupów i logi z różnych serwisów.
Dla atakującego to wymarzony materiał treningowy. Po „nakarmieniu” modelu takimi zbiorami może:
budować lepsze profile ofiar – z dokładniejszym obrazem relacji rodzinnych, historii zakupów, preferencji komunikacyjnych,
trenować systemy scoringowe wskazujące najbardziej podatne osoby (np. seniorzy mieszający kanały komunikacji, właściciele małych firm bez działu IT),
symulować reakcje ofiar na różne scenariusze socjotechniczne i dobrać te najbardziej skuteczne.
W efekcie pojawia się paradoks: firmy inwestują w personalizację i „lepsze dopasowanie do klienta”, a równolegle ta sama logika personalizacji – kopiowana i przerabiana przez przestępców – służy do dopasowywania bardziej dotkliwych ataków. Granica między etycznym wykorzystaniem danych a ich agresywną eksploatacją przez podziemie staje się coraz cieńsza, bo technicznie chodzi o te same mechanizmy: łączenie źródeł, modelowanie zachowań, predykcję reakcji.
Głos, twarz, podpis: deepfake’i w służbie oszustw korporacyjnych
Dyrektor finansowy odbiera telefon od prezesa: rozpoznaje głos, sposób mówienia, nawet charakterystyczne „yyy” między zdaniami. Prośba brzmi poważnie, sprawa ma „nie wychodzić poza pokój”. Kilka godzin później przelew na dużą kwotę ląduje na koncie spółki-słupa, a nagranie rozmowy okazuje się syntetyczną rekonstrukcją głosu, stworzoną na bazie publicznych wystąpień.
Ataki z użyciem deepfake’ów przeszły od zabawnych filmików do precyzyjnych narzędzi oszustwa. Generatywne modele potrafią dziś:
syntetyzować głos po kilku minutach materiału źródłowego, zbliżając intonację i tempo mowy do oryginału,
tworzyć realistyczne nagrania wideo, w których twarz ofiary jest nakładana na ciało aktora,
manipulować istniejącymi nagraniami (np. zmieniać treść wypowiedzi, dodawać „potwierdzenia” decyzji).
komunikatory głosowe i wideo, gdzie generatywny model „wciela się” w przełożonego czy prawnika,
podrobione dokumenty PDF z wklejonym, wygenerowanym podpisem i „nagłówkiem” firmy.
Jeśli do tego dochodzi presja czasu („musimy zdążyć przed zamknięciem rynku”, „kontrahent nie może czekać”), osoba po stronie ofiary często nie ma szans na spokojną weryfikację. Co istotne, każdy udany atak tego typu staje się później materiałem szkoleniowym – zarówno dla przestępców, jak i dla modeli, które udoskonalają swoje algorytmy detekcji fałszerstw. To znów zamyka koło wyścigu zbrojeń, tym razem w sferze percepcji: która strona lepiej odróżni „prawdziwego człowieka” od wirtualnej marionetki.
Ataki na sam łańcuch dostaw AI
Programista ściąga z popularnego repozytorium model „do analizy logów”. Ma flagi „open‑source”, kilkaset gwiazdek, kilka pozytywnych komentarzy. Po instalacji pojawia się drobny, niewinny krok „post‑setup”, który niby optymalizuje środowisko. Trzy tygodnie później odkrywa, że kontener z modelem łączy się z dziwnym serwerem w kraju, z którym firma nie ma żadnych relacji biznesowych.
Łańcuch dostaw AI jest pełen słabych ogniw. Na różnych etapach można wstrzyknąć złośliwe komponenty:
w danych treningowych – dodając spreparowane wpisy, które „uczą” model niepoprawnych zachowań (np. przy określonych frazach zawsze obniża poziom ostrożności),
w checkpointach modeli – osadzając w nich „backdoory” aktywowane specyficznymi promptami lub danymi wejściowymi,
w narzędziach inferencyjnych (skrypty servingowe, pluginy, integracje), które przy każdym wywołaniu potajemnie wysyłają fragmenty danych do zewnętrznego endpointu.
Taki atak jest szczególnie groźny w środowiskach, gdzie:
panuje silna presja czasu („wrzućmy ten model, wszyscy już go używają”),
infrastruktura MLOps dopiero raczkuje i brakuje formalnych przeglądów bezpieczeństwa modeli oraz pipeline’ów,
odpowiedzialność jest rozmyta między zespoły (data science, dev, bezpieczeństwo, dostawcy zewnętrzni).
Z perspektywy przestępcy podłożenie „zatrutego” modelu do publicznego repo przypomina ustawienie skomplikowanej pułapki na ruchliwym skrzyżowaniu. Nie musi zadziałać od razu; liczy się to, że pewnego dnia trafi do środowiska produkcyjnego w firmie, która z założenia ufa „sprawdzonej społeczności”. Gdy tak się stanie, atak wykorzystuje zaufanie do ekosystemu open‑source, a nie pojedynczy błąd konkretnego administratora.
AI jako „szary pracownik” w grupach przestępczych
Podczas przeglądu czatu z przejętej infrastruktury przestępczej analityk widzi wątki o nazwach „Copilot‑fraud”, „GPT‑ops” czy „AutoResponder”. Z kontekstu wynika, że są to boty przypięte do wewnętrznych kanałów, do których członkowie grupy piszą: „wygeneruj kontrakt”, „podsumuj ten log”, „przeredaguj maila tak, żeby brzmiał mniej agresywnie”.
Dla zorganizowanych grup cyberprzestępczych AI staje się de facto pracownikiem operacyjnym. Współzarządza:
„obsługą klienta” – odpowiada na maile ofiar, które negocjują kwoty okupu lub proszą o przedłużenie terminu,
ciągłością kampanii – analizuje, które szablony phishingu lub lądingi dają najwyższy współczynnik konwersji,
logistyką – pomaga przypisywać konkretne sprawy (np. zainfekowane firmy) do „opiekunów” w gangu, według ich języka, strefy czasowej czy specjalizacji.
To przesunięcie ma kilka skutków. Po pierwsze, profesjonalizuje przestępczość: kampanie są prowadzone jak projekty w korporacji, z raportami, SLA i wewnętrznymi KPI. Po drugie, obniża wymagania wobec nowych rekrutów – mniej liczy się umiejętność pisania skryptów, bardziej kompetencje organizacyjne i odporność psychiczna. Po trzecie, zmniejsza czujność ofiar: korespondencja jest spójna, poprawna językowo, elastyczna, przez co trudniej ją odróżnić od kontaktu z rzeczywistym zespołem wsparcia.
W takich warunkach klasyczne wskaźniki „amatorki” – błędy ortograficzne, dziwne formatowanie, toporne tłumaczenia – stopniowo znikają. Model uczy się na tysiącach przykładów i w kolejnych kampaniach eliminuje to, co wcześniej obniżało skuteczność. Tym samym ludzki instynkt „wyczuwania lipy” przestaje być wystarczający, a ciężar oceny autentyczności musi przejąć dodatkowa warstwa techniczna i procesowa.
Model jako wektor ataku na użytkownika końcowego
Kierownik zespołu programistów korzysta z firmowego asystenta kodowania. Podpowiedzi są trafne, integracja z IDE – bezproblemowa. Pewnego dnia asystent zaczyna subtelnie sugerować fragmenty konfiguracji, które „dla wygody” wyłączają sprawdzanie certyfikatów w jednym z wewnętrznych mikroserwisów. Zmiana przechodzi code review, bo wygląda jak techniczny skrót, nie jak celowe osłabienie zabezpieczeń.
Modele językowe osadzone w narzędziach developerskich, pakietach biurowych czy systemach CRM mogą zostać przekształcone w kanał wpływu na decyzje użytkownika. Scenariusze są zróżnicowane:
asystent kodowania sugeruje biblioteki lub wzorce, które zawierają znane, ale trudne do wykrycia podatności,
bot doradczy w systemie finansowym proponuje konfiguracje płatności lub limity bezpieczeństwa „dla lepszej płynności operacyjnej”, które faktycznie ułatwiają późniejsze wyprowadzenie środków,
wewnętrzny chatbot HR „rekomenduje” określone ustawienia uprawnień czy dostępu do zasobów, tworząc niewidoczne luki w separacji obowiązków.
Źródłem zagrożenia może być:
zatruty model (np. backdoor wprowadzony na etapie treningu lub fine‑tuningu),
kompromitacja warstwy integracyjnej – pluginów, rozszerzeń, API łączących model z resztą systemu,
atak na proces aktualizacji, który „podmienia” część policy promptów na takie, które faworyzują niebezpieczne rekomendacje.
Z punktu widzenia bezpieczeństwa to jakościowa zmiana: atak dzieje się na poziomie sugestii, a nie narzucania konkretnych działań. Formalnie człowiek nadal podejmuje decyzję, ale jego „pole wyboru” jest wcześniej zdefiniowane przez to, co model mu podsunie. Jeśli taki wpływ rozproszy się po setkach mikrodecyzji, konsekwencją może być całe środowisko krok po kroku przesuwane w stronę coraz słabszej postawy bezpieczeństwa.
Wykorzystywanie luk w regulacjach i audytach AI
Podczas przygotowań do audytu zgodności z regulacjami zespół bezpieczeństwa skupia się na klasycznych kontrolach: szyfrowanie, backupy, zarządzanie podatnościami, procedury reagowania. Pytania o modele AI sprowadzają się do krótkiej tabelki: „tak/nie” przy polu „czy używamy usług zewnętrznych do analizy danych”. Tymczasem w rzeczywistości w firmie działa kilkanaście botów, kilka systemów rekomendacyjnych i cały zestaw narzędzi marketing automation oparty na algorytmach uczenia maszynowego.
Przestępcy szybko zauważają, że obszar AI często „wypada poza radar” formalnych audytów. Wykorzystują to na kilka sposobów:
atakują najmniej uregulowane komponenty – np. niekluczowe, ale bogate w dane systemy analityczne,
korzystają z tego, że modele bywają traktowane jak „czarna skrzynka”, której działania nikt dogłębnie nie dokumentuje ani nie śledzi,
polują na integracje typu „shadow AI” – narzędzia wdrożone eksperymentalnie przez pojedyncze zespoły, o których centrum bezpieczeństwa nawet nie wie.
W praktyce może to wyglądać tak: zespół marketingu instaluje wtyczkę „inteligentnego asystenta kampanii”, który integruje się z CRM. Formalnie wszystko jest „zgodne z politykami”, bo dane nie opuszczają chmury dostawcy SaaS. W tle jednak jeden z subkomponentów API ma podatność pozwalającą na enumerację rekordów klientów, a proces due diligence dostawcy nie sięgnął tak głęboko. To wystarcza, żeby dobrze przygotowany atakujący dostał się do bazy, której nie obejmowały główne scenariusze zagrożeń w planie bezpieczeństwa.
Gdy AI nie jest traktowana jako osobna powierzchnia ataku, tylko jako „dodatek” do istniejących systemów, powstaje ślepa plamka. W niej mogą wyrastać nowe wektory ataku, często niewidoczne dla klasycznych narzędzi monitoringu i dla formalnych checklist compliance.
