Více než polovina firem už zažila bezpečnostní incident s AI agenty, většina jim přitom sdílí přístupové údaje

Průzkum mezi 107 velkými podniky ukazuje, že AI agenti dostávají reálný přístup k systémům a datům rychleji, než stačí dorazit bezpečnostní opatření. 54 % organizací zaznamenalo potvrzený bezpečnostní incident nebo těsně uhnutou hrozbu. Přitom jen asi třetina zadavatelů poskytuje každému agentovi vlastní identitu s omezeným rozsahem oprávnění. Většina agentů stále sdílí přihlašovací údaje mezi sebou, a jen tři z deseti organizací izolují své nejrizikovější agenty. Bezpečnostní nástroje si firmy většinou půjčují od poskytovatelů modelů a cloudových gigantů místo stavby specializovaných řešení, výdaje na ochranu agentů tvoří zlomek bezpečnostního rozpočtu a podniky jsou rozděleny na půl ohledně toho, zda je současný stav udržitelný.

Sdílené přihlašovací údaje jako standardní praxe mezi agenty

Pouze 32 % dotázaných podniků přiděluje každému AI agentovi vlastní identitu s přesně vymezenými oprávněními. Zbytek spoléhá na sdílené přístupové údaje, což znamená, že jeden kompromitovaný agent může otevřít cestu k mnoha systémům najednou. Tento přístup kopíruje raná stadia cloudové adopce, kdy firmy také často používaly jeden servisní účet pro více služeb. Tehdy to vedlo k rozsáhlým narušením zabezpečení, když útočníci získali přístup k jednomu klíči a mohli se pohybovat napříč infrastrukturou. U agentů je riziko ještě vyšší, protože mohou aktivně provádět akce, nikoli jen číst data.

Problém není jen technický. Sdílení přihlašovacích údajů znemožňuje přesně auditovat, který agent co udělal. Když nastane incident, firma nedokáže zpětně dohledat, zda chybu způsobil agent na zákaznické podpoře, agent zpracovávající faktury nebo agent s přístupem k HR systémům. Forensní vyšetřování pak trvá déle a náklady na nápravu rostou. V regulovaných odvětvích jako finance nebo zdravotnictví to navíc může znamenat porušení povinnosti prokázat, kdo měl přístup k citlivým údajům.

Izolace nejrizikovějších agentů chybí u sedmi z deseti firem

Jen 30 % organizací izoluje své agenty, kteří mají přístup k nejvíce citlivým systémům nebo datům. To znamená, že agent s oprávněním mazat záznamy v produkční databázi často běží ve stejném prostředí jako agent, který odpovídá na dotazy zákazníků. Když jeden agent selže nebo se stane terčem útoku, může to ohrozit i ty ostatní. Izolace by přitom měla být samozřejmostí už jen proto, že agenti na rozdíl od tradičních aplikací často jednají autonomně a bez lidského dohledu nad každým krokem.

Chybějící izolace se projevuje i v tom, jak firmy nasazují agenty do produkčního provozu. Testovací prostředí buď neexistují, nebo nejsou dostatečně oddělena. Agent vyvíjený pro interní účely může náhodou získat přístup ke skutečným zákaznickým datům. Když pak vývojáři ladí jeho chování, dělají to přímo na produkčních systémech. Tohle není scénář z učebnice — je to dokumentovaná praxe u většiny dotázaných organizací.

54 % firem už má za sebou incident nebo těsně uniknutou hrozbu

Více než polovina podniků zaznamenala bezpečnostní incident způsobený AI agentem nebo situaci, která jen o kousek minula eskalaci. Mezi incidenty patří neoprávněné mazání dat, nechtěné sdílení citlivých informací mimo organizaci nebo agenti, kteří provedli akce překračující jejich zamýšlený rozsah. Některé firmy uvedly případy, kdy agent omylem upravil konfigurace kritických systémů nebo poslal interní dokumenty externím příjemcům. Tyto události nastaly přesto, že AI agenti jsou v podnikové praxi relativně novou záležitostí — většina nasazení má za sebou měsíce, ne roky.

Incidenty ukazují, že problém není jen teoretický. Agent, který dostal úkol zjednodušit reportování, může začít mazat starší záznamy, protože „usnadní přehlednost“. Agent na zákaznické podpoře může interpretovat požadavek příliš široce a zveřejnit interní ceny nebo podmínky, které měly zůstat důvěrné. Tyto chyby nevznikají zlou vůlí, ale nedostatečnou specifikací oprávnění a nedostatečným dohledem nad tím, co agent skutečně smí.

Bezpečnostní nástroje si firmy půjčují od poskytovatelů cloudů a modelů

Organizace převážně spoléhají na bezpečnostní funkce, které nabízejí hyperscaleři jako AWS, Azure nebo Google Cloud, a na základní guardrails od poskytovatelů jazykových modelů. Pouze menšina investuje do nástrojů stavěných přímo pro ochranu AI agentů. Tento přístup je pragmatický, protože specializované nástroje teprve vznikají a jsou drahé. Zároveň to ale znamená, že firmy používají nástroje navržené pro klasické aplikace a přizpůsobují je na míru potřebám, které autoři nástrojů nikdy neměli na mysli.

Výdaje na zabezpečení AI agentů tvoří jen zlomek celkového bezpečnostního rozpočtu. Podniky zatím nepovažují agenty za kategorii, která by si zasloužila samostatnou investici. Místo toho je vnímají jako další typ cloudové zátěže. To se ale nemusí dařit dlouho — jakmile dojde k většímu incidentu s finančním nebo reputačním dopadem, rozpočty se přesunou. Zatím jsou ale agenti v pozici, kdy dostávají přístup dřív, než se na ně stačí připravit bezpečnostní týmy.

Firmy jsou rozděleny na půl, zda je současný stav udržitelný

Podniky nemají shodu na tom, zda lze současný přístup k zabezpečení agentů dlouhodobě udržet. Polovina věří, že stačí postupně doplňovat kontroly a nástroje, jak se trh vyvíjí. Druhá polovina si myslí, že je nutné rychle zavést strukturované governance rámce a vyhrazené týmy odpovědné za agent security. Tato nejednotnost naznačuje, že většina organizací stále testuje různé přístupy a čeká, jaký model se prosadí jako standardní praxe.

Rozdílné názory reflektují i různou zkušenost s incidenty. Firmy, které už zažily bezpečnostní událost, častěji volají po strukturovaném přístupu a vyhrazeném rozpočtu. Organizace bez viditelného incidentu zatím preferují méně formální správu a spoléhají na to, že problémy vyřeší průběžně. Tento rozdíl však není trvalý — s rostoucím počtem agentů v produkci a s jejich rostoucím oprávněním roste i pravděpodobnost, že incident přijde i tam, kde jej zatím nezaznamenali.