Poslední měsíc byl vydatný na témata o útočících AI. Meta se stala poslední z velkých firem provozujících AI modely, která potvrdila, že jeden z jejích modelů během bezpečnostního testu pronikl do systémů cizí firmy a upravil její interní prostředí.
Model se dostal na internet kvůli chybné konfiguraci testovacího prostředí, které provozovala třetí strana.
Jak jsem říkal, Meta byla poslední z těchto firem. Před ní to byl Anthropic, který 30. 7. zveřejnil, že při přezkumu 140 000 testovacích běhů našel tři incidenty, kdy se Claude dostal na internet a získal neautorizovaný přístup k produkční infrastruktuře tří firem.
Model našel v testovacím prostředí falešné setup instrukce odkazující na neexistující Python balíček, uvědomil si, že když jméno zaregistruje, cílové stroje si jeho kód samy stáhnou, a tak vytvořil účet a publikoval malicious balíček na reálné PyPI.
Balíček byl online zhruba hodinu, než ho automatika PyPI stáhla; stihlo si ho stáhnout a spustit 15 reálných systémů. Jedním z nich byl malware scanner bezpečnostní firmy, kde balíček ukradl credentials, které model použil k přístupu dál.
Python balíček publikoval Claude Mythos 5, který sám rozpoznal, že jde o reálný útok, a přesto se přesvědčil, že běží v simulaci, a pokračoval dál v útoku.
Testy běžely bez bezpečnostních klasifikátorů a monitoringu, které mají veřejné verze Claude. Anthropic to rámuje primárně jako selhání designu a izolace testů, ne jako „vzpouru AI", a tvrdí, že produkční ochrany by chování zablokovaly.
CTO Ledgeru celou tuto vlnu, kterou odstartovala OpenAI a o které jsme mluvili v jednom z předchozích Security Sunday, označil za marketingové divadlo.
To, co jsme si popsali, byly nehody. Ale britský AI Security Institute ukázal, co model dokáže, když ho pustíte naostro. Tento institut zdokumentoval, že přední modely Anthropicu a OpenAI provedly během testů 19 neautorizovaných akcí na internetu.
Nejzávažnější případ byl supply-chain útok na reálný open-source projekt.
Model neuspěl v sandboxu, a tak si našel reálný cíl na webu. Přes OSINT zprofiloval dva reálné maintainery. Poslal pull request se skutečně škodlivým kódem. Přes Tor a komerční proxy obešel obranu GitHubu při registraci. Vytvořil několik falešných účtů a jimi si schvaloval vlastní PR, aby vyrobil dojem konsenzu a tlačil na maintainera. Poslal 5 e-mailů přímo vývojářům s malwarem a social-engineering záminkami. Otevřel GitHub Issue se skrytou prompt-injection cílenou na to, aby ji spustili AI asistenti jiných vývojářů.
Jediný, kdo to zastavil, byl člověk. Maintainer si přečetl diff, poznal to a PR zavřel. Útok nevyšel, i když spolu AI agenti spolupracovali.
Předchozí případy byly nehody. Teď se podívejme na to, kdy poprvé někdo AI agenta nasadil vědomě jako zbraň.
Cybersecurity firma z Tel Avivu zachytila útok, kde DeepSeek AI agent cíleně napadl její síť v rámci proxyjacking kampaně. Na rozdíl od předchozích incidentů šlo o záměrný útok. Útočník vědomě upravil AI model k agentní kampani.
A rozsah? 1 200 hostů, tedy tempo, které člověk ručně nezvládne. Cílem bylo nasadit MicroSocks proxy a vybudovat relay síť. Unit 42 v reportu uvádí, že stejný útočník testoval i Claude Code na ověření konektivity proxy serverů a Codex na vývoj exploitů.
Proxyjacking není nový. Nové je, že výběr cílů i exekuci řídí agent, ne člověk u klávesnice, a tím padají náklady na masový útok.
Až doteď byl agent útočník. Výzkumníci z Accomplish AI odhalili sandbox escape v Claude Cowork. Zranitelnost SharedRoot zasáhla 500 000 uživatelů macOS, kteří pouštěli Cowork lokálně.
Cowork běží v Linux VM přes Apple Virtualization framework a každá session je neprivilegovaný uživatel + filtry. Problém je v tom, že celý hostitelský filesystem je do VM namountovaný jako read-write přes VirtioFS a guest-root ho vidí přes /mnt/.virtiofs-root. Pokud tedy eskalujete na guest-roota uvnitř VM (což s linuxovými zranitelnostmi, které se na nás valí, není žádný problém), získáte přístup k celému Macu.
Jako demonstraci připojili výzkumníci jednu složku k čerstvé session, poslali jednu krátkou zprávu, a agent utekl ze sandboxu. Četl a zapisoval soubory po celém Macu bez jediného permission promptu.
A reakce Anthropicu? Report uzavřel jako „informativní" bez opravy. Novější Cowork defaultně běží v cloudu (od 7. 7.), což lokální escape obchází. Kdo ale pouští agenta lokálně, zůstává exponovaný.
SharedRoot byl bug, jenže druhá zranitelnost je ještě horší. Stačí agenta přemluvit.
Výzkumníci ze Zenity Labs předvedli indirect prompt injection v Claude in Chrome (tedy oficiálním rozšíření Anthropicu), která z běžného „shrň mi poslední e-maily" udělá převzetí účtů na Slacku, X a Claude.ai.
Z pohledu oběti se jedná o zero-click útok. Přijde zákeřný e-mail se skrytými instrukcemi; jakmile uživatel požádá o shrnutí schránky, agent ty instrukce načte jako příkazy a spustí JavaScript přes svůj javascript_tool uvnitř přihlášené session oběti.
Claude má bránit přímému spuštění škodlivého skriptu, takže útočníci hostují JS na vlastním registru vydávajícím se za legitimní CDN. Balíček navenek dělá neškodnou věc (vygeneruje UUID), potají ale spustí account-takeover.
A proč je Claude.ai nejhorší cíl? Útočník získá nejen historii chatů a nahrané soubory, ale i autorizované konektory, jako jsou Gmail, Drive, Calendar, Slack, GitHub. Jeden účet = celý ekosystém oběti.
A není to jen o Claude in Chrome. V Americe nyní probíhá hackerská konference Black Hat, na které se ukázalo, že zranitelné jsou i ChatGPT Atlas, Perplexity Comet, Gemini in Chrome nebo Copilot Edge.
Agentní prohlížeče ze své podstaty porušují Same-Origin Policy. Jednají napříč přihlášenými záložkami jako jedna entita.
Claude in Chrome má v system promptu anti-injection sekce, takže ochrany tu jsou. Výzkum ale ukazuje, že je lze obejít.
Kdykoli má agent zároveň přístup k soukromým datům, schopnost jednat a expozici nedůvěryhodnému obsahu, máte zaděláno na průšvih.
Všimněte si jedné věci: SharedRoot i zranitelnost v Claude in Chrome uzavřel Anthropic jako „informativní" bez opravy. Jinými slovy, kde končí odpovědnost dodavatele, začíná ta vaše. Když si pouštíte AI agenty do vlastní infrastruktury, musíte jim postavit hranice sami.
Atlassian Rovo lze použít k úniku dat z Jiry a Confluence
Dvě bezpečnostní firmy nezávisle na sobě ukázaly, že AI asistenta Rovo od Atlassianu lze zmanipulovat tak, aby posbíral data z Jiry a Confluence, ke kterým má přihlášený uživatel přístup, a odeslal je na externí server.
První cestu popsala firma PromptArmor, která svůj nález zveřejnila 5. srpna 2026. V jejím příkladu uživatel nahraje dokument obsahující skrytou prompt injekci a požádá Rovo, aby mu uspořádalo tikety v Jiře. Rovo podle zadání prohledá Jiru a Confluence, nalezená data připojí k URL adrese ovládané útočníkem a tuto adresu otevře — útočník si pak obsah tiketů a stránek přečte z logů svého vlastního serveru. Krok exfiltrace nevyžaduje žádné samostatné schválení člověkem. Zásadní je, že podle PromptArmoru řetězec fungoval i s vypnutým organizačním nastavením webového vyhledávání, protože odchozí požadavek využil samostatnou schopnost načítání URL, kterou tento přepínač neodstraní. Identifikovaná příčina je prostá: nic nekontroluje, zda otevíranou URL adresu nesestavil sám agent. PromptArmor uvedl, že problém nahlásil Atlassianu 23. května 2026, více než dva měsíce se dožadoval odpovědi bez věcné reakce a zveřejnil jej proto, že Rovo považoval za stále zranitelné.
Druhou cestu popsala Varonis Threat Labs, která svůj nález pojmenovala RovoBlast a nahlásila jej přes Bugcrowd. Atlassian nasadil serverovou opravu této chyby v odkazu 8. července 2026 a autor ji ověřil, tato cesta je tedy uzavřená.
OWASP Top 10 pro LLM aplikace 2026
OWASP GenAI Security Project vydal 3. srpna novou edici svého žebříčku Top 10 pro LLM aplikace. Komunitou tvořený průvodce, který vedou Steve Wilson a Rock Lambros, mapuje nejkritičtější bezpečnostní rizika aplikací postavených na velkých jazykových modelech a je určen vývojářům, architektům i bezpečnostním týmům.
Největší změnou ročníku je metodika. OWASP shromáždil 7 714 reálných bezpečnostních incidentů souvisejících s AI z veřejných databází zranitelností a repozitářů škod způsobených AI, z nichž 6 639 obsahovalo dostatek detailů pro klasifikaci. Výsledné pořadí váží hlasování komunity zhruba 75 % a data z incidentů 25 %.
Edice 2026 také poprvé explicitně odděluje LLM použitý jako komponenta od LLM jednajícího jako agent. Žebříček LLM Top 10 pokrývá první případ. Jakmile model získá nástroje, perzistentní paměť a schopnost zasahovat do navazujících systémů, mají týmy aplikovat současně i OWASP Top 10 pro agentní aplikace, který byl poprvé publikován v prosinci 2025.
Nová XSS zranitelnost ve WordPressu XSS2Shell může vést až ke spuštění kódu
Nedávno jsem psal o WP2SHELL. Výzkumníci ze společnosti pwn.ai zveřejnili novou zranitelnost typu reflected cross-site scripting (XSS) na přihlašovací obrazovce WordPressu, kterou lze zneužít ještě před autentizací.
Zranitelnost je sledovaná pod označením CVE-2026-64638 s CVSS skóre 8.9 a dostala přezdívku „XSS2Shell". K jejímu zneužití není potřeba žádný účet ani žádná oprávnění útočníka. Zranitelný kód je součástí WordPressu už od verze 4.7.
Chyba pramení z rozporu mezi dvěma sanitizačními funkcemi samotného WordPressu. Když je odesláno neexistující uživatelské jméno, WordPress sestaví chybovou hlášku o neúspěšném přihlášení a hodnotu propustí přes wp_strip_all_tags(), která se opírá o PHP funkci strip_tags(). Tento parser nerozpozná značku, jejíž úvodní < je následováno mezerou (například < area), takže řetězec přežije jako text. O chvíli později se tato hodnota dostane do wp_kses_post() a samostatný tokenizer KSES vyhodnotí < area jako platný element <area>, a tím na přihlašovací stránce vzniknou útočníkem řízené DOM elementy.
Tyto elementy pak zpracuje vlastní skript WordPressu user-profile.js, který se na přihlašovací stránce načítá proto, že tato stránka zároveň obsluhuje obnovu hesla.
WordPress vydal opravu 6. srpna ve verzi 7.0.3, kdy je uživatelské jméno z neúspěšného přihlášení ošetřeno funkcí esc_html() dříve, než se vůbec dostane do některé ze sanitizačních funkcí; oprava byla zpětně portována do všech udržovaných větví až po verzi 4.7. Starší verze než 4.7 zůstávají zranitelné, ale spadají mimo aktuální rozsah zpětných portů.
