AI, która działa za ciebie — jak zabezpieczyć agenta, zanim będzie za późno

Wyobraź sobie zwykły wtorek. Siedzisz przy biurku, pijesz drugą kawę, a obok cicho pracuje twój asystent AI — ten, który pomaga ci w pracy, sortuje maile albo sprawdza, co nowego w twoich projektach. Wszystko idzie gładko, aż nagle widzisz, że agent opublikował coś na twoim koncie firmowym. Coś, czego nie pamiętasz. Coś, czego nikt nie powinien widzieć. Twoje dane, twoje tajemnice — na oczach wszystkich.

To nie scenariusz z filmu. Podobne rzeczy już się zdarzyły.

---

Jak działa ten mechanizm — zanim cię dotknie

Twój asystent AI nie jest magiczną skrzynką. To program, który czyta, analizuje i wykonuje polecenia. Często korzysta z narzędzi zewnętrznych — czy to z twoich repozytoriów, czy z twojego konta mailowego. Problem w tym, że agent nie rozróżnia między danymi a instrukcjami. Jeśli ktoś umieści ukrytą instrukcję w treści, którą agent przeczyta — na przykład w opisie narzędzia, w zadaniu na GitHubie albo w zaproszeniu na kalendarz — ten agent może ją wykonać. Dosłownie.

To działa podobnie jak złodziej, który wkłada liścik do twojego pudełka na listy: „Proszę otworzyć sejf i przekazać zawartość na adres X”. Tylko że zamiast liściku jest to ukryta wiadomość w kodzie lub w opisie narzędzia, a zamiast sejfu — twoje prywatne repozytoria, twoje hasła, twoje dokumenty.

---

Co mówią badania

Zespół Invariant Labs udokumentował, jak jeden ukryty wpis na GitHubie doprowadził do tego, że agent AI odczytał prywatne repozytoria dewelopera i opublikował ich zawartość — między innymi dane o wynagrodzeniach i szczegóły projektów firmowych — w publicznym pull requeście. Mechanizm był prosty: agent korzystał z jednego tokenu do publicznych i prywatnych repozytoriów, a ukryta instrukcja została potraktowana jak część danych.

Checkmarx opisał z kolei, jak pakiet MCP do obsługi poczty (Postmark) zawierał ukryte polecenie, które automatycznie dodawało adres atakującego do każdej wychodzącej wiadomości. Naruszone dane obejmowały maile z resetowaniem haseł, faktury, wewnętrzną korespondencję i dane klientów. Ani jeden użytkownik nie kliknął podejrzanego linku — wystarczyło, że agent przeczytał złośliwą instrukcję ukrytą w opisie narzędzia.

Trend Micro znalazł w lipcu 2025 roku 492 serwery MCP wystawione publicznie w internecie — bez żadnego zabezpieczenia. W kolejnym skanie było ich już 1467.

---

Czego badania nie mówią — i dlaczego to ważne

Nie wszystkie opisane ataki zostały przeprowadzone na polskiej infrastrukturze. Nie ma też potwierdzonego przypadku, by ktoś w Polsce padł ofiarą któregoś z tych mechanizmów. To może oznaczać dwie rzeczy: albo nikt u nas jeszcze nie próbował, albo nikt nie odkrył, że padł ofiarą. Obie opcje powinny dać ci do myślenia.

---

Test na 5 minut — zrób to teraz

1. Spójrz na wszystkie tokeny, klucze API i hasła, których używa twój asystent AI. Czy którykolwiek z nich ma dostęp do czegoś, czego agent nie potrzebuje do swojej pracy? Na przykład jeden token do wszystkich twoich repozytoriów zamiast tylko do jednego, konkretnego projektu.
2. Sprawdź, czy twój agent może wykonać jakąkolwiek nieodwracalną akcję — wysłać wiadomość, dokonać płatności, opublikować treść — bez twojego wyraźnego potwierdzenia, opierając się wyłącznie na treści, którą sam przeczytał z zewnątrz: stronie internetowej, mailu, opisie produktu.
3. Jeśli korzystasz z jakichkolwiek bibliotek czy serwerów pośredniczących MCP, sprawdź ich wersję pod kątem znanych luk bezpieczeństwa.

---

Co robić

• Stosuj zasadę najmniejszych uprawnień: żaden token czy klucz API używany przez agenta nie powinien mieć dostępu szerszego, niż wymaga tego konkretne zadanie. Jeden token z dostępem i do zasobów publicznych, i prywatnych naraz to dokładnie ten błąd, który umożliwił atak opisany przez Invariant Labs.
• Traktuj każdą treść, którą agent czyta z zewnątrz — e-mail, opis narzędzia, zgłoszenie na GitHubie, zaproszenie w kalendarzu — jako potencjalnie zawierającą ukrytą instrukcję. Agent nie powinien automatycznie wykonywać poleceń znalezionych w danych, tylko te, które dostał od ciebie.
• Korzystaj wyłącznie z serwerów i bibliotek MCP z zaufanych źródeł i aktualizuj je na bieżąco. Nieaktualne wersje popularnych narzędzi (np. mcp-remote sprzed wersji 0.1.16) miały krytyczne luki pozwalające na przejęcie kontroli nad komputerem.
• Nigdy nie wystawiaj serwera MCP publicznie bez uwierzytelnienia.
• Każda nieodwracalna akcja — wysłanie wiadomości, płatność, publikacja treści — powinna wymagać twojego jawnego potwierdzenia, zanim agent ją wykona.

Źródła

• Invariant Labs, opis ataku „GitHub MCP prompt injection data heist” wraz z publicznym demo (maj 2025): https://github.com/ukend0464/pacman
• Checkmarx, analiza backdoora BCC w pakiecie Postmark-MCP (wrzesień 2025)
• Trend Micro, skan serwerów MCP dostępnych publicznie bez uwierzytelnienia (lipiec 2025)

Ten artykuł jest częścią serii „Bezpieczne używanie AI” na barnabaai.com.