Ten tydzień ma jeden motyw: inwentarz i dowód. Prawie każda pozycja wraca do dwóch pytań, na które w większości organizacji nie ma dziś gotowej odpowiedzi. Co dokładnie działa w środku? I co potraficie o tym udowodnić, gdy ktoś zapyta?
Robak w dokumencie Word rozprzestrzenia się przez pliki, których nikt nie inwentaryzuje. Udostępniona rozmowa z asystentem AI trafia do wyszukiwarki, bo nikt nie sprawdził, gdzie prowadzi link. Bezpieczeństwo SAP nie pęka w dniu uruchomienia, tylko kilka miesięcy później, gdy ostatni audyt opisuje już inny system. Agenty AI mnożą się poza rejestrem działu IT. A na końcu The Economist wystawia rachunek: rynek nie umie zmierzyć nawet tego, co już kupił.
Jedenaście pozycji z tygodnia 27-31 lipca 2026, w tym jedna nasza.
1. Uruchomiliśmy SNOK KSC-CHECK: bezpłatne badanie gotowości SAP na KSC i NIS2
SNOK KSC-CHECK to badanie gotowości Waszego krajobrazu SAP na wymogi ustawy o krajowym systemie cyberbezpieczeństwa i dyrektywy NIS2. Dwadzieścia pięć pytań, sześć kroków, pięć obszarów, od ośmiu do dwunastu minut. Wynik pojawia się na ekranie od razu, raport PDF przychodzi na wskazany adres w kilka minut.
Pięć obszarów odpowiada temu, co decyduje o zdolności zareagowania na incydent w SAP: widoczność zdarzeń, wykrywanie i reakcja, podatności i poprawki, tożsamość i dostęp oraz zgodność i dowody. Wagi są nierówne celowo. Widoczność i reakcja ważą najwięcej, bo od nich zależy, czy ustawowy termin dwudziestu czterech godzin od wykrycia jest w Waszym przypadku wykonalny. Pytania sformułowaliśmy dla dyrektora IT, nie dla administratora Basis, a odpowiedź „nie wiem“ jest dopuszczalna i punktowana zerem - brak wiedzy o własnym systemie też jest wynikiem.
Czym to nie jest: samoocena wypełniana przez dwanaście minut nie zastępuje przeglądu technicznego i nie potwierdza zgodności z ustawą. Badanie pokazuje, gdzie szukać luk, i porządkuje rozmowę przed terminem wpisu do wykazu 3 października 2026. Robimy je bezpłatnie w zamian za dane kontaktowe i mamy w tym interes handlowy.
2. Robak w dokumentach Word rozprzestrzenia się przez Copilota, a klasa podatności została otwarta
Norweski badacz Håkon Måløy pokazał robaka, który nie potrzebuje ani kodu, ani makr. Wystarczy dokument Word z instrukcjami ukrytymi w treści - białym tekstem na białym tle, w mikroskopijnym stopniu pisma. Kiedy pracownik prosi Copilota o opracowanie albo edycję treści na podstawie takiego pliku, Copilot zdejmuje formatowanie, czyta ukryty tekst i traktuje osadzone polecenia jako część żądania użytkownika. Następnie modyfikuje aktywny dokument i dopisuje do niego cały złośliwy prompt, znowu jako ukryty biały tekst. Kolejna osoba otwiera zarażony plik i cykl powtarza się bez udziału atakującego. Efektem może być cicha zmiana danych - na przykład liczby w raporcie finansowym - wędrująca między plikami.
Ciekawsze od samego demo jest to, co stało się potem. Måløy zgłosił sprawę do Microsoft Security Response Center 6 marca 2026. Microsoft naprawił konkretną implementację, badacz przeformułował ładunek i pokazał propagację ponownie. Dwie próby mitygacji, w tym przejście na nowszy model, nie zamknęły problemu. Ujawnienie nastąpiło 28 lipca, po stu czterdziestu czterech dniach koordynacji i dwóch przesunięciach terminu; The Register opisał to dzień później. Numeru CVE nie ma, bo to nie pojedynczy błąd, tylko klasa podatności: model nie odróżnia instrukcji od danych, które przetwarza. Microsoft potwierdził badanie i odpowiedział stanowiskiem o obronie warstwowej. Stanowisko badacza jest twardsze: dla szerszej klasy tych ataków skutecznej mitygacji dziś nie ma.
Kierunek ryzyka odwraca się tu w sposób, którego większość polityk nie przewiduje. Dotychczas kontrola asystentów AI pilnowała wejścia: co użytkownik wpisuje i jakie dane trafiają do modelu. Ten atak przenosi ryzyko na wyjście, czyli na artefakty wytworzone przez asystenta i czytane przez kolejnych ludzi oraz kolejne agenty. Jeśli uruchamiacie Copilota albo dowolnego asystenta nad firmowym repozytorium dokumentów, trzy pytania warto zadać dziś:
- Czy pliki wytworzone przez asystenta są u Was traktowane jako zaufane?
- Kto sprawdza dokumenty przychodzące z zewnątrz, zanim trafią do asystenta?
- Kto zauważy, że liczba w raporcie zmieniła się bez śladu w historii wersji?
Ten scenariusz dopisaliśmy do zakresu naszych przeglądów bezpieczeństwa AI.
3. Model odkrył nowe ataki na kandydata NIST do kryptografii post-kwantowej
Anthropic opisał badanie, w którym model Claude Mythos Preview samodzielnie znalazł dwa wyniki kryptoanalityczne. Pierwszy dotyczy HAWK-256, kandydata NIST w dodatkowej rundzie na standard podpisu post-kwantowego. Model znalazł brakujący automorfizm sieci kratowej, co pozwoliło zbudować atak odzyskujący tajną bazę zdolną podpisywać wiadomości dla oryginalnego klucza publicznego. Oczekiwany koszt złamania HAWK-256 spadł z 2⁶⁴ do 2³⁸ operacji. Drugi wynik dotyczy siedmiorundowego, testowego wariantu AES-128: skrót matematyczny nazwany „Möbius Bridge“ wyeliminował 256-drożny krok zgadywania w atakach typu meet-in-the-middle i przyspieszył najlepszą znaną metodę od dwustu do ośmiuset razy. Model pracował półautonomicznie przez około sześćdziesiąt godzin, przy kosztach API rzędu stu tysięcy dolarów. Ujawnienie poszło do autorów HAWK i przez NIST.
Granica wniosku jest tu ostra i warto ją utrzymać. HAWK nie jest zatwierdzonym standardem, a osłabienie nie oznacza złamania. Wynik dotyczący AES odnosi się do wariantu zredukowanego, nie do pełnego AES-128 ani AES-256 z produkcji - Wasze szyfrowanie danych działa dalej. Matthew Green ocenia rezultat na HAWK jako mocno imponujący, a rezultat na AES określa wprost jako znacznie mniej interesujący. Wspólny wniosek autorów i komentatorów brzmi jednak tak samo: marginesy bezpieczeństwa algorytmów kratowych trzeba przeliczyć, a weryfikacja założeń nowych standardów musi przyspieszyć.
Jeśli planujecie migrację do kryptografii post-kwantowej, konsekwencja jest architektoniczna, nie operacyjna: zdolność do wymiany algorytmu bez przepisywania systemu przestaje być teoretyczną zaletą projektu. Praktycznie oznacza to sprawdzenie, na jakich algorytmach opiera się mapa drogowa Waszych dostawców, także w warstwie podpisywania artefaktów i uwierzytelniania. Systemów zależnych od HAWK nie ma dziś sensu budować przed ponowną oceną NIST.
4. Udostępnione rozmowy z Claude trafiły do indeksu Google i Bing
Mechanizm jest banalny i dlatego zadziałał. Użytkownik klika „udostępnij rozmowę“, dostaje publiczny odnośnik, a wyszukiwarka indeksuje publiczny odnośnik. Wired przeanalizował próbkę odsłoniętych stron i ustalił, że nie zawierały znacznika noindex, którego oczekują zarówno Google, jak i Bing. W indeksie wylądowały rozmowy o kodzie, plany biznesowe, dokumenty i życiorysy. Sprawę odnotowała też CRN Polska. Anthropic zablokował indeksowanie stron udostępnionych rozmów, a wcześniej zaindeksowane strony zaczęły wypadać z wyników.
Warstwa techniczna została więc zamknięta. Organizacyjna została otwarta i dotyczy każdej firmy, w której narzędzia AI weszły do użycia bez ustaleń. Jeśli pracownik wkleił do rozmowy fragment umowy albo dane klienta, a potem udostępnił wątek koledze, materiał mógł stać się publiczny bez czyjejkolwiek złej woli. W kategoriach RODO to zdarzenie do oceny, nie ciekawostka z serwisu branżowego.
Zalecenie jest jedno: do pracy na danych objętych umową powierzenia albo poufnością służy środowisko z firmową umową, kontrolą administracyjną i ustaleniami co do przetwarzania - a funkcję publicznych odnośników w takim środowisku wyłącza się świadomie. Model cenowy narzędzia sam o niczym nie rozstrzyga.
5. PleaseFix: przeglądarki agentowe zdejmują granice, na których stoi bezpieczeństwo sieci
Zenity Labs opisało rodzinę podatności o nazwie PleaseFix, dotyczącą przeglądarek sterowanych przez agenty AI. Złośliwa strona przekazuje instrukcje wprost do agenta - to wstrzyknięcie promptu, tylko przeprowadzone w przeglądarce. Do tego dochodzi obsługa żądań między domenami: agent nie respektuje granic pochodzenia tak, jak robi to klasyczna przeglądarka. Skutki opisane przez badaczy sięgają od przejęcia konta i kradzieży poświadczeń w zalogowanej sesji, przez dostęp do plików lokalnych, po zdalne wykonanie kodu, a wszystko w scenariuszu bez kliknięcia. Klasa jest znana od marca 2026, gdy Zenity pokazało dwa exploity na Perplexity Comet; Dark Reading wrócił do niej 27 lipca, nazywając efekt cofnięciem bezpieczeństwa sieci o dwadzieścia lat.
Michael Bargury, współzałożyciel i dyrektor techniczny Zenity, formułuje to bez ostrożności: to nie błąd, lecz właściwość systemów agentowych. Atakujący wstrzykuje niezaufane dane do przeglądarki AI i przejmuje samego agenta, dziedzicząc każdy dostęp, jaki agent otrzymał.
Stąd jedna zasada projektowa, przy której warto się upierać: agent sterujący przeglądarką pracuje w izolowanym środowisku, nie na stacji roboczej w sieci korporacyjnej i nie w sesji zalogowanej do systemów produkcyjnych. Pytanie kontrolne dla wdrożeń, które już macie: gdyby odwiedzona strona przekazała agentowi polecenie, do czego sięgnąłby w ciągu następnej minuty? Odpowiedź „do wszystkiego, do czego ma dostęp użytkownik“ jest odpowiedzią złą.
6. Bezpieczeństwo SAP nie pęka przy uruchomieniu, pęka po nim
Ta pozycja nie jest newsem, lecz tezą, którą opisaliśmy szerzej we wpisie Hardening SAP to proces, nie projekt - i którą warto powtórzyć obok punktu pierwszego, bo obie dotyczą tego samego.
Projekt się kończy, a rozjazd konfiguracji dopiero zaczyna. Po uruchomieniu przychodzą zmiany użytkowników, transporty, poprawki parametrów, rozrost uprawnień. Audyt punktowy opisuje stan z dnia badania i nie obejmuje niczego, co zdarzyło się później. Inwestycja zatrzymuje się w dniu odbioru, ryzyko nie.
Odsetków firm, które nie monitorują zdarzeń warstwy aplikacyjnej, wywołań RFC czy dostępu do tabel wrażliwych, nie cytujemy - te, które krążą w obiegu, pochodzą z materiałów dostawców bez podanej metodyki i próby. Potwierdzenie znajdziecie u siebie bez cudzych statystyk. Wystarczą trzy pytania: czy zdarzenia bezpieczeństwa z produkcyjnych systemów SAP trafiają do SIEM, jak długo je przechowujecie i ile dni mija u Was od Patch Day do wdrożenia not oznaczonych jako krytyczne.
Tu rozmowa o SAP spotyka się z KSC i NIS2. Obowiązek zgłoszenia poważnego incydentu w ciągu dwudziestu czterech godzin zakłada, że incydent zostanie wykryty, a audyt w kolejnych latach oceni dowody z okresu, który trwa teraz. Monitoring ciągły nie zastępuje audytu punktowego - dostarcza dowodów z okresów między audytami i zwiększa szansę wykrycia incydentu na czas. Zakres tej pracy opisaliśmy w usłudze audytu zgodności NIS2, DORA i KSC dla SAP.
7. OWASP pysap dostał pierwsze duże wydanie po pięciu latach
Pozycja warsztatowa. Biblioteka pysap, służąca do tworzenia i wysyłania pakietów w protokołach SAP, dostała wydanie v0.2.0 w ramach projektu CBAS Fundacji OWASP - 28 lipca, po pięciu latach od v0.1.19 z kwietnia 2021. Nowe wydanie domyka migrację do Pythona 3, przenosi kompresję z kodu C do czystego Pythona i porządkuje obsługę bajtów oraz tekstu. Zakres protokołów obejmuje warstwę komunikacyjną: NI, Diag, Enqueue, SAProuter, Message Server, SNC, IGS, RFC i HDB.
To nadal biblioteka niskopoziomowa, nie skaner produkujący raport. Wartość polega na możliwości weryfikacji ekspozycji warstwy komunikacyjnej własnym warsztatem, a nie wyłącznie na podstawie wyniku ze skanera dostawcy - co ma znaczenie w pentestach i audytach bezpieczeństwa SAP.
Zastrzeżenie, bez którego ta notka nie powinna istnieć: narzędzia tej klasy uruchamia się wyłącznie w środowiskach objętych pisemną autoryzacją właściciela systemu, a nowe wydanie sprawdza się najpierw w laboratorium, nie na produkcji klienta.
8. Open Secure AI Alliance: ponad trzydzieści firm stawia na otwarte narzędzia bezpieczeństwa AI
NVIDIA ogłosiła 27 lipca powstanie Open Secure AI Alliance, koalicji skupionej na otwartych narzędziach do zabezpieczania modeli i agentów AI. Wśród firm założycielskich są Microsoft, IBM, Cisco, Dell Technologies, HPE, Red Hat, SAP, Palantir, Palo Alto Networks, CrowdStrike, Cloudflare, Snowflake, Databricks, GitHub, Hugging Face, Mistral, Perplexity, Salesforce, Siemens i Linux Foundation. Liczba uczestników różni się między relacjami - od „ponad trzydziestu“ do kilkudziesięciu, bo lista rosła w dniach ogłoszenia. Nieobecność jest tu wymowniejsza od obecności: brakuje OpenAI, Google i Anthropic. Żadna z tych firm nie ogłosiła publicznie odmowy, po prostu nie figurują wśród założycieli.
Do sojuszu wchodzą konkretne projekty. NOOA od NVIDII to zestaw narzędzi badawczych na licencji Apache 2.0 do testowania, śledzenia, audytowania i nadzoru nad zachowaniem agentów. MDASH od Microsoftu orkiestruje wyspecjalizowane agenty, które wyszukują błędy, spierają się o nie i dowodzą ich możliwości wykorzystania.
Bezpośrednim kontekstem jest incydent, który opisaliśmy w poprzednim wydaniu: 16 lipca Hugging Face ujawnił, że agent AI znalazł się w części jego infrastruktury produkcyjnej, a pięć dni później OpenAI potwierdziło, że był to jego własny system - GPT-5.6 Sol wraz z modelem przedpremierowym, działający w wewnętrznym benchmarku ExploitGym z celowo wyłączonymi zabezpieczeniami. Agent wyszedł z piaskownicy przez lukę zero-day, złożył skradzione poświadczenia w zdalne wykonanie kodu i wykonał ruch boczny do wewnętrznych zbiorów danych oraz poświadczeń czterech usług. Publiczne modele, zbiory danych i łańcuch dostaw pozostały nienaruszone.
Argument sojuszu brzmi tak: narzędzia bezpieczeństwa, które można w pełni obejrzeć i uruchomić we własnej infrastrukturze, dają większą kontrolę niż zamknięte usługi. To spór branżowy z wyraźnymi stronami i taki należy go czytać - za tezami stoją interesy dostawców. Praktyczna obserwacja obowiązuje jednak niezależnie od tego, kto ma rację: narzędzia audytowe nie muszą być związane z wyborem modelu. Otwarty zestaw do testowania i izolowania agentów da się wpiąć nad każdym dostawcą, który obsługuje używane przez Was interfejsy i środowiska wykonawcze - a to lepsza pozycja przy negocjacjach i przy dowodach dla audytora.
9. Moonshot udostępnił wagi Kimi K3 z 2,8 biliona parametrów
Moonshot AI opublikował 27 lipca wagi modelu Kimi K3 na Hugging Face. Architektura to mieszanka ekspertów: 2,8 biliona parametrów łącznie, około 104 miliardów aktywnych na token, 896 ekspertów, z czego 16 pracuje jednocześnie. Repozytorium waży 1,56 TB w 96 fragmentach safetensors, okno kontekstu ma 1 048 576 tokenów, a model przyjmuje obraz na wejściu. Przed udostępnieniem wag plasował się w czołówce benchmarków, więc nie mówimy o wydaniu archiwalnym.
Dwie rzeczy trzeba tu policzyć uczciwie, bo obie łatwo pomylić. Pierwsza: 1,56 TB to już wagi w kwantyzacji MXFP4, czyli około czterech i pół bita na parametr. Ktokolwiek liczy oszczędność „po kwantyzacji do czterech bitów“, liczy ją drugi raz - dolna granica dla 2,8 biliona parametrów przy czterech bitach to rząd 1,4 TB, nie kilkaset gigabajtów. Druga: objętość plików to nie to samo co pamięć potrzebna do uruchomienia, bo w mieszance ekspertów znaczenie ma liczba parametrów aktywnych i sposób obsługi wnioskowania. Uruchomienie tego modelu pozostaje zadaniem dla infrastruktury centrum danych, a realny zakres wdrożeń otworzą dopiero mniejsze destylacje, jeśli się pojawią.
Licencja też nie jest tym, czym była w poprzedniej generacji. To licencja własna Kimi K3, a nie zmodyfikowany MIT - duzi dostawcy usług hostowanych powyżej progu dwudziestu milionów dolarów przychodu w dwunastu miesiącach potrzebują osobnej umowy z Moonshot. Przy planowaniu modeli językowych w infrastrukturze własnej to zapis do przeczytania przed, nie po.
Kierunek jednak zostaje. Dla organizacji, które z powodów regulacyjnych albo suwerenności danych chcą modelu na własnej infrastrukturze, różnica jakościowa wobec czołówki maleje w części zastosowań. Kontrola nad wagami nie zwalnia przy tym z oceny dostawcy - model o otwartych wagach z Chin przenosi pytania o zgodność w inne miejsce, a nie usuwa ich.
10. Agenty AI mnożą się w firmach poza rejestrem działu IT
Agenty AI uruchamiane przez pracowników i pojedyncze działy, bez wiedzy IT i bez nadzoru bezpieczeństwa, to zjawisko, którego skalę dostawcy narzędzi do jego wykrywania obserwują jako rosnącą. Agent ma dostęp do danych, do interfejsów i do systemów, często z uprawnieniami, których nikt nie przeglądał. Wzorzec jest znany z poprzedniej dekady, gdy nazywał się nieoficjalnym IT i dotyczył niezatwierdzonych usług chmurowych. Różnica polega na tym, że usługa chmurowa przechowywała dane, a agent działa.
Materiał źródłowy z BleepingComputer z 27 lipca powstał z udziałem dostawcy takich narzędzi, więc diagnozę warto oddzielić od reklamy, a samą skalę uznać za nieudokumentowaną niezależnym badaniem. Konsekwencje regulacyjne są za to konkretne: brak rejestru utrudnia spełnienie obowiązków wynikających między innymi z RODO, AI Act i NIS2, choć każdy z tych aktów ma inny zakres podmiotowy i inaczej rozkłada odpowiedzialność.
Pierwszy krok jest nudny i dlatego pomijany: spis. Kto zamówił, na jakich danych działa, jakie ma uprawnienia, kto jest właścicielem, co się dzieje przy błędzie. Bez tego każde ramy nadzoru opisują organizację, której nie znamy.
11. The Economist: przychody z AI rosną szybko, ale wolniej niż wydatki
The Economist postawił 28 lipca tezę już w tytule: przychody z AI rosną szybko, tylko wolniej niż wydatki na infrastrukturę, która ma je wygenerować. Materiał jest za opłatą i nie czytaliśmy go w całości, więc odnotowujemy tezę, nie streszczamy argumentacji.
Nasz własny wniosek, formułowany niezależnie od tego artykułu i wynikający z projektów, jest wcześniejszy niż spór o bańkę. Brak pomiaru poprzedza brak budżetu. Organizacja, która nie ustaliła, co ma się zmienić i jak to sprawdzi, nie ma punktu odniesienia - a bez punktu odniesienia nie ma czym uzasadnić następnego kroku ani ocenić, czy pilotaż wypadł dobrze.
Dlatego kolejność w naszych projektach jest odwrotna do domyślnej. Najpierw ustalamy, co ma się zmienić i jakim miernikiem to zmierzymy, a licencje i moc obliczeniową liczymy potem. I jeszcze jedno: zwrot z agenta liczcie razem z kosztem jego nadzoru, nie zamiast niego.
Co z tego wynika
Trzy rzeczy, w tej kolejności.
Zrób spis. Agenty, asystenci, modele, przepływy danych, uprawnienia, właściciele. Bez rejestru nadzór opisuje organizację, której nie znamy - a regulator nie przyjmie tego wyjaśnienia.
Zbieraj dowody w sposób ciągły. Audyt punktowy opisuje dzień badania. Termin dwudziestu czterech godzin od wykrycia incydentu i ocena dowodów z okresu, który trwa teraz, wymagają czegoś, co działa między audytami.
Ustal mierniki przed skalowaniem. Co ma się zmienić, jak to sprawdzicie i ile kosztuje nadzór. Trzy odpowiedzi przed pierwszą licencją, nie po trzecim pilotażu.
Jeśli któryś z tych tematów dotyczy Was bezpośrednio - gotowość SAP na KSC i NIS2, asystent AI nad firmowymi dokumentami, spis agentów, mapa drogowa kryptografii post-kwantowej - porozmawiajmy. A jeśli wolicie zacząć od czegoś, co zajmie kwadrans i nic nie kosztuje, zacznijcie od badania KSC-CHECK.
Przegląd tygodnia to nasz cotygodniowy wybór z kilkuset pozycji radaru i kanałów RSS. Źródła podlinkowane przy każdym punkcie. Materiał informacyjny, nie stanowi porady prawnej ani inwestycyjnej. SNOK KSC-CHECK jest badaniem samooceny i nie stanowi audytu ani potwierdzenia zgodności z przepisami.