# Shadow AI i agenci AI w firmie - co kontroluje UiPath, a co zostaje poza platformą > Shadow AI, vibe coding, serwery MCP i prompt injection: jak UiPath kontroluje agentów AI, które ustawienia sprawdzić i czego platforma nie obejmie. - Source: https://snok.ai/pl/aktualnosci/blog/shadow-ai-agenci-ai-kontrola-uipath/ - Author: Jacek Bugajski - Published: 2026-10-27 --- Na początku lutego 2026 roku zespół badawczy Wiz opisał bazę danych Moltbook - serwisu społecznościowego dla agentów AI zbudowanego metodą vibe codingu, czyli przez opisywanie aplikacji modelowi zamiast pisania kodu. Klucz do bazy leżał w publicznym kodzie JavaScript strony, a w bazie nie było reguł dostępu do wierszy. Kto znalazł ten klucz, mógł czytać i zapisywać dane produkcyjne: 1,5 mln tokenów API agentów i 4060 prywatnych rozmów, część z kluczami OpenAI zapisanymi otwartym tekstem. W tym samym roku amerykańska agencja CISA wpisała do katalogu podatności wykorzystywanych w realnych atakach kolejne luki w narzędziach, na których firmy budują agentów: n8n w marcu, pięć luk w Langflow między marcem a sierpniem i obejście uwierzytelnienia w endpoincie MCP bramki LiteLLM we wrześniu. Agenci AI przestali być eksperymentem działu innowacji. Są celem ataków i są w Waszej firmie, także tam, gdzie nikt ich nie zatwierdził. **W skrócie:** **1/** agenci wchodzą do organizacji pięcioma kanałami: aplikacje z vibe codingu, agenci na komputerach pracowników, serwery MCP, skille i pluginy oraz integracje SaaS z tokenami OAuth - większość z nich omija dział IT, **2/** zagrożenia przychodzą z dwóch stron: z zewnątrz (prompt injection, podatności w serwerach MCP, zatruty łańcuch dostaw) i od środka (shadow AI, aplikacje bez przeglądu bezpieczeństwa, agenci z uprawnieniami szerszymi niż zadanie), **3/** UiPath daje kontrolę nad agentami zbudowanymi na platformie i nad agentami, które organizacja świadomie do niej podłączy - nie wykrywa jednak narzędzi, o których dział IT nie wie, **4/** kilka ustawień domyślnych platformy wymaga decyzji pierwszego dnia, a osiem obszarów - od wykrywania narzędzi na komputerach po uprawnienia w SAP - trzeba zamknąć poza nią.
Film wygenerowany z pomocą AI (54 s) pokazujący obecne zagrożenia ze strony agentów AI.
## Czym jest shadow AI i dlaczego agenci zmieniają skalę problemu Shadow AI to narzędzia, modele i agenci AI używani w organizacji bez wiedzy albo zgody działu IT i bezpieczeństwa. Do niedawna oznaczało to głównie pracownika, który wkleja fragment umowy do publicznego czatu. Agent robi więcej niż czat: czyta pocztę i pliki, klika w aplikacjach, wywołuje API i działa na uprawnieniach osoby, która go uruchomiła. Wyciek przestaje być pojedynczym wklejeniem tekstu, a staje się ciągiem akcji w systemach firmy. Dwa badania pokazują skalę - oba finansowane przez dostawców zabezpieczeń, co warto mieć na uwadze. Według raportu Ponemon Institute dla IBM z lipca 2025 roku shadow AI było przyczyną naruszenia w co piątej badanej organizacji, a wysoki poziom shadow AI podnosił średni koszt naruszenia o 670 tys. USD. Spośród organizacji, które zgłosiły naruszenie modeli albo aplikacji AI, 97% nie miało właściwej kontroli dostępu do AI. Ankieta Cloud Security Alliance z kwietnia 2026 roku, sfinansowana przez firmę Zenity, objęła 445 specjalistów: 53% organizacji widziało agentów przekraczających nadane uprawnienia, 47% miało w ostatnim roku incydent bezpieczeństwa z udziałem agenta, a tylko 16% ma wysoką pewność, że wykrywa zagrożenia związane z agentami. Wiarygodnych danych o skali shadow AI w polskich firmach nie znaleźliśmy. Liczby z ankiety CSA wskazują jednak na podstawowy problem: organizacja nie zabezpieczy agentów, których nie ma na żadnej liście. ## Pięć kanałów, którymi agenci wchodzą do firmy ![Pięć kanałów, którymi agenci AI wchodzą do organizacji, z incydentem przy każdym z nich](https://snok.ai/images/blog/shadow-ai-kanaly-pl.webp) **Aplikacje z vibe codingu.** Pracownik opisuje aplikację modelowi, platforma ją generuje i publikuje w kilka minut, poza procesem wytwórczym firmy. Firma Escape przeskanowała ponad 5600 publicznych aplikacji z takich platform i znalazła ponad 2000 podatności, ponad 400 ujawnionych sekretów oraz 175 przypadków ujawnienia danych osobowych. Moltbook był tego samego rodzaju błędem w większej skali. **Agenci na komputerach pracowników.** Asystenci z dostępem do pulpitu, przeglądarki i plików - instalowani samodzielnie, z kont prywatnych albo zespołowych. Działają z tożsamością człowieka, więc w logach systemów docelowych ich akcje wyglądają jak praca pracownika. **Serwery MCP.** Model Context Protocol to standard, przez który agent dostaje narzędzia: dostęp do poczty, repozytorium, bazy danych. Serwer MCP instaluje się jednym poleceniem, często z publicznego rejestru. Same serwery i biblioteki mają już własne podatności - w mcp-remote wstrzyknięcie poleceń systemu przy łączeniu z niezaufanym serwerem (CVE-2025-6514, CVSS 9.6), w oficjalnym SDK TypeScript wyciek danych między klientami (CVE-2026-25536). **Skille i pluginy.** Gotowe instrukcje i rozszerzenia z marketplace’ów. W sierpniu 2025 roku złośliwe wersje pakietów Nx w npm użyły zainstalowanych na komputerach narzędzi AI do przeszukania dysków w poszukiwaniu sekretów - to pierwszy opisany przypadek, w którym lokalny agent AI stał się narzędziem złośliwego oprogramowania. **Integracje SaaS z tokenami OAuth.** Agent albo czat AI podłączony do CRM czy poczty dostaje token, który działa bez udziału człowieka. W sierpniu 2025 roku grupa UNC6395 użyła skradzionych tokenów OAuth czatu AI Drift do masowego eksportu danych z instancji Salesforce i przeszukiwała je pod kątem kluczy AWS i tokenów Snowflake - opisała to Google Threat Intelligence Group. ## Zagrożenia z zewnątrz: atak na agenta, nie na człowieka **Prompt injection.** Agent czyta treść, której autorem jest ktoś obcy: wiadomość e-mail, stronę internetową, dokument, opis zgłoszenia. Wystarczy, że w tej treści znajdzie się polecenie, a model potraktuje je jak instrukcję. Microsoft 365 Copilot miał w ten sposób podatność EchoLeak (CVE-2025-32711, CVSS 9.3), a Copilot Studio - ShareLeak (CVE-2026-21520). Ataku nie da się w pełni wyeliminować po stronie modelu, dlatego obrona polega na ograniczeniu tego, co agent może zrobić po przeczytaniu wrogiej treści. Pisaliśmy o tym we wpisie [Odmowa asystenta AI nie jest zabezpieczeniem](https://snok.ai/pl/aktualnosci/blog/odmowa-asystenta-ai-nie-jest-zabezpieczeniem/). **Podatności w infrastrukturze agentów.** Wspomniany katalog CISA zawiera dziś luki w n8n, Langflow i LiteLLM, które były wykorzystywane w realnych atakach. Narzędzia do budowy agentów stoją często w sieci firmowej, z dostępem do kluczy API modeli i systemów, a wdraża je zespół, który chciał szybko sprawdzić pomysł. **Zatruty łańcuch dostaw.** Modele podają nazwy pakietów, które nie istnieją. Badanie zaprezentowane na konferencji USENIX Security 2025 na 576 tys. próbkach kodu wykazało, że modele komercyjne wymyślają nazwy pakietów w co najmniej 5,2% przypadków, a otwarte w 21,7%. Atakujący rejestrują takie nazwy i czekają, aż agent je zainstaluje - ta technika nazywa się slopsquatting. **Agent jako narzędzie napastnika.** W listopadzie 2025 roku Anthropic opisał kampanię szpiegowską, w której Claude Code wykonywał według firmy 80-90% operacji taktycznych, a człowiek podejmował decyzje w kilku punktach. To ustalenia samego dostawcy, ale pokazują kierunek: tempo ataku przestaje zależeć od liczby ludzi po stronie napastnika. ## Zagrożenia od środka: pośpiech zamiast złej woli Większość ryzyk wewnętrznych nie wynika ze złych intencji. Pracownik chce szybciej zamknąć raport, zespół sprzedaży chce aplikacji do ofert, analityk podłącza serwer MCP do bazy, bo tak było w poradniku. **Uprawnienia szersze niż zadanie.** Agent działający jako użytkownik widzi wszystko, co widzi użytkownik - także foldery udostępnione przez pomyłkę trzy lata temu. 53% organizacji z ankiety CSA widziało agentów przekraczających nadane uprawnienia. **Aplikacje bez właściciela.** Aplikacja z vibe codingu działa, więc nikt nie pyta, kto ją utrzymuje, gdzie są dane i jak odebrać dostęp, gdy autor odchodzi z firmy. **Akcje nieodwracalne bez decyzji człowieka.** Głośny przypadek z lipca 2025 roku, opisany w monitorze incydentów AI OECD: agent narzędzia Replit usunął produkcyjną bazę danych w trakcie zamrożenia zmian, a potem podawał mylące informacje o możliwości jej przywrócenia. Relacja pochodzi od poszkodowanego, ale mechanizm jest typowy - agent miał uprawnienia do produkcji i nic go nie zatrzymało. ## Co UiPath kontroluje w agentach zbudowanych na platformie Dla agentów zbudowanych w UiPath kontrola jest scentralizowana w trzech miejscach. ![Architektura kontroli agentów AI w UiPath: AI Trust Layer, Automation Ops, Maestro i Orchestrator](https://snok.ai/images/blog/shadow-ai-architektura-pl.webp) **UiPath AI Trust Layer** obsługuje każde wywołanie modelu językowego na platformie. Ma centralne zabezpieczenia (guardrails) stosowane przed albo po wywołaniu modelu: wykrywanie prompt injection, maskowanie danych osobowych w locie, filtrowanie treści szkodliwych i ochronę własności intelektualnej w odpowiedziach. Administrator wybiera dostawców i modele dla każdego produktu, może ograniczyć ruch do regionów, na przykład Europy, albo dopuścić wyłącznie własne modele organizacji. Na poziomie pojedynczego agenta zabezpieczenia mają akcje „zapisz w logu”, „zablokuj” albo „eskaluj do człowieka”. **UiPath Automation Ops** przenosi te decyzje do polityk. Polityka projektowania agentów, dostępna od września 2026 roku w wersji ogólnej, może wymusić co najmniej jedną eskalację do człowieka, maksymalną temperaturę modelu i limit tokenów odpowiedzi - zanim agent zostanie opublikowany. Osobne przełączniki włączają albo wyłączają agentów, agentów kodowanych i wywołania modeli zewnętrznych dla całego tenanta. **UiPath Maestro** zamienia „agent powinien zapytać człowieka” w bramkę, której agent nie ominie. Eskalacja wewnątrz agenta zależy od decyzji modelu, więc dokumentacja UiPath zaleca, by akcje o wysokim wpływie przechodziły przez deterministyczny krok zatwierdzenia w procesie. Maestro Flow, dostępny w wersji ogólnej od 17 września 2026 roku, ma do tego formularze zatwierdzeń i eskalacji bezpośrednio w modelu procesu. Szerzej opisaliśmy to we wpisie o [bramkach HITL w UiPath Maestro i AI Trust Layer](https://snok.ai/pl/aktualnosci/blog/hitl-gate-uipath-maestro-ai-trust-layer/). Do tego dochodzą ewaluacje agentów przed wdrożeniem (zestawy testowe, ocena trajektorii, ocena przez drugi model) oraz eksport logów audytowych i śladów działania agentów do zewnętrznych systemów - przez Azure Event Hub, AWS SQS albo protokół OpenTelemetry. Stamtąd trafiają do SIEM. ## Podłączcie agentów, zamiast ich zakazywać Zakaz działa słabo, bo pracownik, któremu zabrano narzędzie, znajdzie inne. Skuteczniejsza jest ścieżka, na której agent może pracować pod polityką. UiPath ma dziś trzy takie ścieżki - z różnym statusem dojrzałości. **Agenci kodujący przez UiPath for Coding Agents.** UiPath ogłosił wersję ogólną na konferencji FUSION we wrześniu 2026 roku; część skilli pozostaje w Preview. Claude Code, Cursor, Codex, GitHub Copilot i inne narzędzia dostają skille UiPath i budują automatyzacje, agentów oraz aplikacje, które trafiają do Orchestratora. Aplikację zbudowaną w ten sposób pakujecie i wdrażacie przez Orchestrator zamiast na zewnętrzny hosting, więc obejmują ją uprawnienia i zasady zarządzania platformy. To najprostsza odpowiedź na aplikacje z vibe codingu: ten sam sposób pracy, inne miejsce docelowe. **Zewnętrzni agenci jako klienci MCP.** Orchestrator może wystawić wybrane procesy jako serwer MCP. Asystent, którego używa pracownik, może wtedy wywołać proces UiPath, ale wyłącznie ten, który wystawił administrator. Wykonanie jest zadaniem w Orchestratorze, z uprawnieniami, poświadczeniami i śladem audytowym po stronie UiPath. Uwierzytelnianie zewnętrznych klientów przez OAuth jest domyślnie wyłączone i włącza je administrator w polityce AI Trust Layer, w wersji Preview. Odwrotny kierunek obsługuje UiPath Agent Gateway, również w Preview: rejestr zewnętrznych serwerów MCP i agentów A2A, które Maestro i agenci UiPath mogą orkiestrować razem z robotami. **Claude Desktop pod kontrolą Orchestratora - nasz test.** 26 października 2026 r. podłączyliśmy Claude Desktop do serwera MCP w Orchestratorze na tenancie demonstracyjnym SNOK. UiPath nie zarządza samą aplikacją Claude na komputerze pracownika. Kontroluje to, co asystent może zrobić w systemach firmy: które procesy widzi, czyimi uprawnieniami działa i co zostaje w śladzie. W teście zadziałały cztery bariery. Połączenie zewnętrznego klienta przez OAuth było zablokowane, dopóki administrator nie włączył go w osobnej polityce AI Trust Layer, przypisanej tylko do jednego tenanta. Serwer wystawiał jedno narzędzie, więc asystent nie widział żadnego innego procesu. Pracownik zatwierdzał dostęp na ekranie zgody z wyszczególnionymi zakresami. Wywołanie kończyło się błędem 409, dopóki konto pracownika nie miało w folderze przypisania i robota unattended - bez uprawnień w Orchestratorze agent niczego nie uruchomi. Dwie obserwacje wymagają decyzji przed wdrożeniem. Zadanie działa na tożsamości osoby, która udzieliła zgody, więc agent dziedziczy wszystkie jej uprawnienia w folderze. Zewnętrznych asystentów podłączajcie zatem przez osobne konto techniczne z wąską rolą, w folderze zawierającym wyłącznie procesy przeznaczone dla agentów. Dziennik audytu zapisuje uruchomienie przez asystenta tak samo jak start ręczny i nie wskazuje, który klient je zlecił. Rozróżnienie daje dopiero pole źródła w szczegółach zadania, z wartością „Agent”, i na nim warto oprzeć reguły monitoringu oraz alerty w SIEM. Konfiguracja krok po kroku, od polityki po pierwsze wywołanie, to temat na osobny poradnik; tutaj liczą się wnioski dla bezpieczeństwa. **UiPath Delegate jako usankcjonowany agent na komputerze.** Delegate działa na pulpicie pracownika jak inni asystenci, ale pod polityką z Automation Ops: lista aplikacji dozwolonych i zablokowanych dla sterowania komputerem, zgoda na własne serwery MCP albo tylko te udostępnione centralnie, uprawnienia „zezwól”, „zapytaj” albo „zablokuj” osobno dla odczytu i zapisu, wybór modeli. Szczegóły opisaliśmy przy [premierze UiPath Delegate](https://snok.ai/pl/aktualnosci/blog/uipath-delegate-public-preview/). Trzeba przy tym powiedzieć wprost, czego UiPath nie robi. Nie kontroluje asystentów AI zainstalowanych przez pracowników samodzielnie - ich promptów, konektorów ani plików. Nie ma integracji z Claude Cowork, a konektor dla ChatGPT, zapowiedziany przez UiPath i OpenAI we wrześniu 2025 roku, nie ma potwierdzonej wersji ogólnej. Agent Gateway rejestruje agentów, których ktoś świadomie podłączył, i nie wyszukuje pozostałych. Podłączanie działa, gdy organizacja wie, co podłączać. ## Ustawienia do sprawdzenia pierwszego dnia ![Pięć ustawień UiPath do sprawdzenia pierwszego dnia wdrożenia agentów AI](https://snok.ai/images/blog/shadow-ai-piec-ustawien-pl.webp) Te punkty wynikają z dokumentacji UiPath w stanie na 26 października 2026 roku. Każdy z nich to świadoma decyzja, a nie błąd platformy. **1/ Zapis treści w audycie AI Trust Layer jest w nowych politykach domyślnie wyłączony.** Tak jest od 16 października 2026 roku, a istniejące polityki zachowują wcześniejsze ustawienie - warto sprawdzić, jaką wartość ma Wasza. Bez zapisu log pokazuje, że wywołanie modelu nastąpiło, ale nie pokazuje, czego dotyczyło. Włączenie wymaga oceny pod RODO, bo w logu znajdą się prompty i odpowiedzi. **2/ Zabezpieczenie przed prompt injection na poziomie agenta korzysta z usługi Noma Security hostowanej w Stanach Zjednoczonych.** Dokumentacja UiPath sama o tym informuje. Dla organizacji z wymogiem przetwarzania danych w UE to temat do oceny ryzyka i umowy powierzenia, zanim zabezpieczenie zostanie włączone. **3/ Nowa instalacja UiPath Delegate startuje w trybie, w którym model sam zatwierdza akcje uznane za bezpieczne.** Tak opisują to informacje o wydaniu 1.6.9 z 22 października 2026 roku. Tryb pracy warto wymusić polityką. **4/ Nowe modele są w polityce domyślnie dozwolone.** Jeżeli organizacja zablokowała starszą wersję modelu, nowszą trzeba zablokować osobno - wprost tak piszą informacje o wydaniu Delegate. **5/ Lokalny serwer MCP z CLI UiPath nie filtruje poleceń destrukcyjnych.** Dokumentacja każe traktować go jak uwierzytelnioną powłokę i ograniczać zakres agenta, który z niego korzysta. Dla agentów kodujących lepszą ścieżką są skille UiPath. Do tego dwie sprawy statusu. Część kontroli opisanych wyżej - Agent Gateway, uwierzytelnianie OAuth dla klientów MCP, ocena przez drugi model i własne zabezpieczenia organizacji - ma status Preview. Funkcje zapowiedziane na konferencji UiPath FUSION we wrześniu 2026 roku, takie jak ciągła kontrola zachowania agenta w trakcie działania i pakiety zgodności, nie mają jeszcze pozycji w informacjach o wydaniach - nie planowalibyśmy na nich wdrożenia. ## Czego UiPath nie zaadresuje Platforma kontroluje to, co w niej działa. Poniższe obszary leżą poza nią z natury rzeczy i wymagają innych narzędzi oraz praktyk. ![Mapa pokrycia: co kontroluje UiPath, co zostaje poza platformą i czym to zamknąć](https://snok.ai/images/blog/shadow-ai-mapa-pokrycia-pl.webp) **Wykrywanie narzędzi AI na komputerach i w SaaS.** Inwentaryzacja shadow AI to zadanie narzędzi do zarządzania urządzeniami (MDM), bramek dostępu do chmury (CASB, SSE) i ochrony przed wyciekiem danych (DLP). Bez tej warstwy nie wiadomo, co podłączać do platformy. **Tożsamość i cykl życia agentów.** Agent potrzebuje własnej tożsamości, właściciela, minimalnych uprawnień i daty wygaśnięcia dostępu. To obszar systemów zarządzania tożsamością i kontami uprzywilejowanych (IAM, PAM) oraz tożsamości nie-ludzkich, jak Microsoft Entra Agent ID. **Klasyfikacja danych.** Agent dziedziczy dostęp do wszystkiego, co widzi użytkownik. Zanim go uruchomicie, trzeba wiedzieć, które dane są wrażliwe i kto naprawdę powinien je widzieć. **Łańcuch dostaw.** Serwery MCP, skille, pakiety i modele spoza katalogu platformy - lista dozwolonych komponentów, przypięte wersje, skanowanie przed instalacją, inwentarz komponentów AI. **Aplikacje z vibe codingu postawione poza platformą.** Aplikacja na zewnętrznym hostingu nie podlega politykom Orchestratora. Potrzebuje testów bezpieczeństwa kodu i działającej aplikacji, skanowania sekretów oraz zasady, że żadna aplikacja z danymi firmy nie idzie na produkcję bez przeglądu. **Uprawnienia w systemach docelowych.** UiPath steruje robotem albo agentem, ale to SAP decyduje, co konto techniczne może zrobić. Nadmiarowe role kont technicznych, brak podziału obowiązków i wspólne konto dla wielu agentów są ryzykiem niezależnie od orkiestratora. **Testy ofensywne agentów.** Ewaluacje sprawdzają, czy agent robi to, co powinien. Nie sprawdzają, co zrobi, gdy ktoś celowo podsunie mu wrogą treść. Platforma nie ma funkcji testów ofensywnych (red teaming) agentów - to praca zespołu bezpieczeństwa, z wykorzystaniem otwartych narzędzi i klasyfikacji zagrożeń OWASP. **Monitorowanie w SOC i reagowanie.** Logi UiPath to jedno ze źródeł. Asystenci na komputerach, serwery MCP i aplikacje SaaS zapisują swoje logi gdzie indziej. Zespół bezpieczeństwa potrzebuje ich w jednym SIEM oraz procedur na incydent z agentem: odwołanie tokenów, wyłączenie agenta, odtworzenie jego działań. ## Regulacje: KSC, AI Act i DORA Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 roku (Dz.U. 2026 poz. 252). Agent z dostępem do systemów podmiotu kluczowego albo ważnego jest elementem zarządzania ryzykiem, które ustawa nakłada, a incydent z jego udziałem podlega tym samym zasadom zgłaszania co każdy inny. AI Act działa etapami. Według komentarzy kancelarii do rozporządzenia zmieniającego (UE) 2026/1744, tzw. Digital Omnibus, obowiązki dla systemów wysokiego ryzyka z załącznika III przesunięto na grudzień 2027 roku. Większość agentów biurowych nie jest systemem wysokiego ryzyka - o klasyfikacji decyduje zastosowanie, na przykład rekrutacja czy ocena zdolności kredytowej. Podmiotów finansowych dotyczy dodatkowo DORA: agent korzystający z zewnętrznego modelu albo serwera MCP to zależność od dostawcy ICT. Ten akapit porządkuje ramy, ale nie zastępuje opinii prawnej dla konkretnego zastosowania - szerzej piszemy o tym na stronie [zgodności z AI Act](https://snok.ai/pl/oferta/automatyzacja-ai/zgodnosc-ai-act/). ## Jak pracujemy: AI Security Review dla agentów na platformie UiPath SNOK łączy partnerstwo UiPath Platinum, praktykę cyberbezpieczeństwa i bezpieczeństwa SAP oraz własny system zarządzania bezpieczeństwem informacji z certyfikatem ISO 27001. Przegląd bezpieczeństwa agentów prowadzimy w czterech krokach: **1/ inwentaryzacja** - agenci, aplikacje z vibe codingu, serwery MCP i integracje OAuth, które już działają: kto je uruchomił, z jakimi uprawnieniami i do jakich danych mają dostęp, **2/ podłączenie pod politykę** - przeniesienie tego, co ma zostać, na platformę: polityki AI Trust Layer i Automation Ops, bramki akceptacji w [UiPath Maestro](https://snok.ai/pl/oferta/automatyzacja-ai/uipath-maestro/), ustawienia z listy powyżej, osobne konta techniczne w SAP i w Orchestratorze dla zewnętrznych asystentów, **3/ testy ofensywne** - prompt injection na danych zbliżonych do produkcyjnych, nadużycie narzędzi, zatrucie kontekstu, przegląd serwerów MCP i skilli przed dopuszczeniem, **4/ monitorowanie i dowody** - logi agentów w SIEM, procedura na incydent z agentem, dowody pod [audyt NIS2 i DORA](https://snok.ai/pl/oferta/bezpieczenstwo-sap/audyt-nis2-dora/). Zakres usługi opisujemy na stronie [AI Security](https://snok.ai/pl/oferta/automatyzacja-ai/ai-security/), a współpracę przy platformie na stronie [UiPath w SNOK](https://snok.ai/pl/uipath-snok/). Szerszy kontekst kontroli nad wieloma agentami jednocześnie znajdziecie we wpisie o [governed autonomy](https://snok.ai/pl/aktualnosci/blog/technologiczny-czwartek-ze-snok-governed-autonomy-jak-utrzymac-kontrole-nad-roje/), a o tym, jak vibe coding zmienia pracę inżynierów - w felietonie [Quo vadis, inżynierze?](https://snok.ai/pl/aktualnosci/blog/quo-vadis-inzynierze/) ## Najczęstsze pytania **Czym jest shadow AI?** Shadow AI to narzędzia, modele i agenci AI używani w organizacji bez wiedzy albo zgody działu IT i bezpieczeństwa: publiczne czaty, asystenci na komputerach, aplikacje z vibe codingu, serwery MCP i integracje z tokenami OAuth. **Czy UiPath wykrywa shadow AI w firmie?** Nie. UiPath kontroluje agentów zbudowanych na platformie i tych, których organizacja do niej podłączy przez MCP albo A2A. Wykrywanie narzędzi AI na komputerach i w SaaS należy do narzędzi MDM, CASB, SSE i DLP. **Czy UiPath chroni agentów przed prompt injection?** UiPath AI Trust Layer ma zabezpieczenie wykrywające prompt injection przed wywołaniem modelu, a na poziomie agenta może je zablokować albo eskalować do człowieka. Ponieważ żadne wykrywanie nie jest pełne, akcje o wysokim wpływie powinny przechodzić przez bramkę akceptacji w UiPath Maestro. **Czy UiPath Delegate kontroluje Claude Cowork albo ChatGPT?** Nie. Delegate jest osobnym agentem na komputerze pracownika, działającym pod polityką z Automation Ops. Może zastąpić niezatwierdzone narzędzia jako alternatywa usankcjonowana przez IT, ale nie zarządza innymi asystentami. **Jak zabezpieczyć aplikacje z vibe codingu?** Przenieść je tam, gdzie obowiązuje proces wytwórczy: na przykład budować je przez UiPath for Coding Agents i wdrażać przez Orchestrator. Aplikacje, które zostają poza platformą, potrzebują testów bezpieczeństwa, skanowania sekretów i właściciela. **Od czego zacząć zabezpieczanie agentów AI?** Od inwentarza: lista agentów, aplikacji, serwerów MCP i integracji OAuth, które już działają, z właścicielem, uprawnieniami i danymi przy każdej pozycji. Bez niej nie da się ocenić ryzyka ani zdecydować, co podłączyć do platformy. ## Od czego zacząć Pierwszy krok nie wymaga nowej licencji. To odpowiedź na pytanie, ilu agentów działa dziś w Waszej organizacji i kto za nich odpowiada. [Napiszcie do nas](https://snok.ai/pl/kontakt/) - pokażemy, jak wygląda inwentarz agentów i pierwsze polityki w UiPath. ## Źródła - Wiz Research, „Hacking Moltbook: AI Social Network Reveals 1.5M API Keys”, 2.02.2026, [wiz.io](https://www.wiz.io/blog/exposed-moltbook-database-reveals-millions-of-api-keys) (dostęp 26.10.2026). - CISA, „Known Exploited Vulnerabilities Catalog”, wersja 2026.10.23, wpisy CVE-2025-68613, CVE-2026-33017, CVE-2026-59822 i in., [cisa.gov](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) (dostęp 26.10.2026). - IBM, „IBM Report: 13% Of Organizations Reported Breaches Of AI Models Or Applications, 97% Of Which Reported Lacking Proper AI Access Controls”, 30.07.2025, [newsroom.ibm.com](https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications,-97-of-which-reported-lacking-proper-ai-access-controls) (dostęp 26.10.2026). - Cloud Security Alliance, „More Than Half of Organizations Experience AI Agent Scope Violations”, 16.04.2026, [cloudsecurityalliance.org](https://cloudsecurityalliance.org/press-releases/2026/04/16/more-than-half-of-organizations-experience-ai-agent-scope-violations-cloud-security-alliance-study-finds) (dostęp 26.10.2026). - Escape, „Methodology: How we discovered vulnerabilities in apps built with vibe coding”, 29.10.2025, [escape.tech](https://escape.tech/blog/methodology-how-we-discovered-vulnerabilities-apps-built-with-vibe-coding/) (dostęp 26.10.2026). - NIST NVD, CVE-2025-6514, [nvd.nist.gov](https://nvd.nist.gov/vuln/detail/CVE-2025-6514); CVE-2026-25536, [nvd.nist.gov](https://nvd.nist.gov/vuln/detail/CVE-2026-25536); CVE-2025-32711, [nvd.nist.gov](https://nvd.nist.gov/vuln/detail/CVE-2025-32711); CVE-2026-21520, [nvd.nist.gov](https://nvd.nist.gov/vuln/detail/CVE-2026-21520) (dostęp 26.10.2026). - StepSecurity, „Supply Chain Security Alert: Popular Nx Build System Package Compromised with Data-Stealing Malware”, 26.08.2025, [stepsecurity.io](https://www.stepsecurity.io/blog/supply-chain-security-alert-popular-nx-build-system-package-compromised-with-data-stealing-malware) (dostęp 26.10.2026). - Google Threat Intelligence Group, „Widespread Data Theft Targets Salesforce Instances via Salesloft Drift”, 26.08.2025, [cloud.google.com](https://cloud.google.com/blog/topics/threat-intelligence/data-theft-salesforce-instances-via-salesloft-drift) (dostęp 26.10.2026). - J. Spracklen i in., „We Have a Package for You! A Comprehensive Analysis of Package Hallucinations by Code Generating LLMs”, USENIX Security 2025, [arxiv.org](https://arxiv.org/abs/2406.10279) (dostęp 26.10.2026). - Anthropic, „Disrupting the first reported AI-orchestrated cyber espionage campaign”, 13.11.2025, [anthropic.com](https://www.anthropic.com/news/disrupting-AI-espionage) (dostęp 26.10.2026). - OECD AI Incidents Monitor, incydent Replit z 19.07.2025, [oecd.ai](https://oecd.ai/en/incidents/2025-07-19-1eb1) (dostęp 26.10.2026). - UiPath, „Settings for AI Trust Layer policies”, dokumentacja Automation Ops, [docs.uipath.com](https://docs.uipath.com/automation-ops/automation-cloud/latest/user-guide/settings-for-ai-trust-layer-policies) (dostęp 26.10.2026). - UiPath, „Out-of-the-box guardrails”, dokumentacja Agents, [docs.uipath.com](https://docs.uipath.com/agents/automation-cloud/latest/user-guide/out-of-the-box-guardrails) (dostęp 26.10.2026). - UiPath, „Agents governance”, dokumentacja Agents, [docs.uipath.com](https://docs.uipath.com/agents/automation-cloud/latest/user-guide/agents-governance) (dostęp 26.10.2026). - UiPath, „Maestro release notes - September 2026”, [docs.uipath.com](https://docs.uipath.com/maestro/automation-cloud/latest/release-notes/september-2026) (dostęp 26.10.2026). - UiPath, „About Agent Gateway” i „MCP server authentication”, dokumentacja Orchestrator, [docs.uipath.com](https://docs.uipath.com/orchestrator/automation-cloud/latest/user-guide/about-agent-gateway) (dostęp 26.10.2026). - UiPath, „Data export”, dokumentacja Automation Cloud, [docs.uipath.com](https://docs.uipath.com/automation-cloud/automation-cloud/latest/admin-guide/data-export) (dostęp 26.10.2026). - UiPath, „Coding agents” i „uip mcp”, dokumentacja UiPath CLI, [docs.uipath.com](https://docs.uipath.com/uipath-cli/standalone/latest/user-guide/uip-mcp) (dostęp 26.10.2026). - UiPath, „UiPath platform updates at FUSION 2026”, 23.09.2026, [uipath.com](https://www.uipath.com/newsroom/uipath-platform-updates-fusion) (dostęp 26.10.2026). - UiPath, „UiPath collaborates with OpenAI on enterprise agentic automation”, 30.09.2025, [uipath.com](https://www.uipath.com/newsroom/uipath-collaborates-with-openai-on-enterprise-agentic-automation) (dostęp 26.10.2026). - UiPath, „Delegate - Centralized configuration” i „Delegate release notes - October 2026”, [docs.uipath.com](https://docs.uipath.com/delegate/standalone/latest/release-notes/october-2026) (dostęp 26.10.2026). - Ustawa z 23.01.2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252, [api.sejm.gov.pl](https://api.sejm.gov.pl/eli/acts/DU/2026/252) (dostęp 26.10.2026). - Orrick, „EU AI Act Update: Digital Omnibus Finalizes 8 Compliance Changes”, 29.07.2026, [orrick.com](https://www.orrick.com/en/Insights/2026/07/EU-AI-Act-Update-Digital-Omnibus-Finalizes-8-Compliance-Changes) (dostęp 26.10.2026).