Jedna osoba zleca atak, a kilkanaście agentów AI przez wiele godzin samodzielnie przegląda witryny, szuka błędów i próbuje zdobyć dostęp do serwerów. To już nie scenariusz z laboratorium. Badacze ujawnili panele, z których przestępcy kierowali rzeczywistymi kampaniami przeciwko sklepom i aplikacjom internetowym. Część włamań udało się niezależnie potwierdzić. Najważniejszy wniosek nie brzmi jednak „AI nauczyła się hakować”, tylko: dotychczasowe zaniedbania bezpieczeństwa można dziś wykorzystywać dużo bardziej konsekwentnie, niemal bez udziału człowieka.

19 października 2026 r. firma badawcza NorForge opublikowała raport „Inside Cairn” dotyczący otwartych paneli zarządzania agentami AI. Równolegle Reuters zweryfikował część materiału i skontaktował się z organizacjami, których infrastruktura znalazła się w dokumentacji ataków. Oba źródła pokazują coś istotnego: nie tylko automatyczne skanowanie, które znamy od lat, ale długotrwałe działania, w których program dostosowuje następne kroki do tego, co właśnie odkrył.

Ponad 20 otwartych paneli. Ponad 1100 zadań w jednym klastrze

Cairn to platforma do prowadzenia wieloetapowych zadań przez agentów AI. Można określić cel, punkt startowy i zestaw dostępnych narzędzi, a system planuje kolejne czynności na podstawie wyników poprzednich. Sama technologia nie musi służyć do przestępstw. Tego rodzaju mechanizmy mogą być wykorzystywane również w legalnych, autoryzowanych testach bezpieczeństwa. W badanej kampanii operatorzy użyli ich jednak do prób włamania na cudze witryny.

WebsiteGarage / Usługi

Sprawdź nasze usługi.

Badacze znaleźli ponad 20 publicznie dostępnych paneli, które ocenili jako prawdopodobnie powiązane ze złośliwą działalnością. W najaktywniejszym klastrze, złożonym z 14 paneli, widocznych było ponad 1100 projektów ataków. Obserwowano przede wszystkim cele związane z e-commerce, płatnościami i innymi usługami działającymi publicznie w internecie.

Trzeba rozdzielić kilka liczb, które łatwo zamienić w efektowny, ale nieprecyzyjny nagłówek. 1100 projektów nie oznacza 1100 udanych włamań. Według ustaleń Reutersa najaktywniejszy operator podjął próby przeciwko ponad 1200 witrynom, a dokumentacja wskazywała ponad 100 naruszeń. Badacze niezależnie sprawdzili część skutków, lecz nie każdy status „cel osiągnięty” wpisany przez agenta został potwierdzony zewnętrznie.

NorForge oszacowało skuteczność widocznych kampanii na około 10%. To przybliżenie oparte na obserwowanych zadaniach, których cele i definicje sukcesu nie były jednakowe. Nie jest to wskaźnik skuteczności wszystkich agentów AI ani dowód, że każde dziesiąte losowo wybrane przedsiębiorstwo zostanie przejęte.

Co właściwie robił agent? Nie tylko próbował jednego hasła

Klasyczny, prosty skaner wysyła przygotowaną serię zapytań, porównuje odpowiedzi z regułami i kończy pracę. Agenci obserwowani w tym dochodzeniu wykonywali znacznie dłuższe sekwencje. Po nieudanej próbie potrafili zbierać dodatkowe informacje, szukać powiązanych systemów, zmieniać kierunek analizy i sprawdzać kolejne hipotezy. Ich działania przypominały pracę człowieka prowadzącego test penetracyjny, tyle że mogły trwać godzinami bez kolejnych instrukcji operatora.

W najaktywniejszej grupie zadania zakończone osiągnięciem założonego celu trwały średnio niecałe 23 godziny. Według NorForge na jeden projekt przypadało przeciętnie około 140 zapisanych ustaleń i kroków pośrednich. To nie była seria kilku sekund intensywnego ruchu, lecz uporczywe sprawdzanie kolejnych możliwości.

Jeden z udokumentowanych przypadków dotyczył firmy sprzedającej części. Po wykryciu możliwości nieautoryzowanego działania badacze sprawdzili, czy pod wskazanym adresem rzeczywiście pozostawiono mechanizm umożliwiający wgrywanie plików na serwer. Potwierdzili jego obecność. W innym studium przypadku sprawdzili możliwość wykonywania poleceń na serwerze internetowym. To już dowody rzeczywistego naruszenia, a nie jedynie deklaracja modelu.

Nie oznacza to jednak, że agenci za każdym razem wykradali dane klientów. Reuters ustalił, że nie udało się określić pełnej skali nieautoryzowanego pobierania informacji. Część organizacji potwierdziła incydenty lub działania naprawcze, ale zakres szkód był różny i nie zawsze znany.

Najbardziej niepokojąca jest cena i możliwość równoległej pracy

Przeprowadzenie wielogodzinnej analizy wielu witryn wymagało kiedyś ludzi, czasu i sporej wiedzy. Agent nie sprawia, że atak staje się magicznie skuteczny. Sprawia, że jedna osoba może tanio uruchamiać znacznie więcej prób i cierpliwie kontynuować te, które wcześniej uznałaby za nieopłacalne.

NorForge szacuje przeciętny koszt uruchomienia zadania w najaktywniejszym klastrze na około 5 dolarów, przy dużej niepewności tego wyliczenia. Reuters przytacza szacunek około 50 dolarów na skuteczne włamanie, również oparty na modelowaniu kosztów, a nie na fakturach operatora. W żadnym z tych przypadków nie chodzi o ustaloną cenę „przejęcia dowolnej strony”.

Ważniejszy jest kierunek zmiany: koszt ponawiania prób i analizowania kolejnych serwisów wyraźnie spada. Dla administratorów oznacza to, że atak może być długotrwały, wieloetapowy i jednocześnie niezbyt głośny. Nie wystarczy reagować wyłącznie na ogromne skoki liczby żądań.

A przestępcy? Zostawili własne panele bez zabezpieczeń

Jest w tym dochodzeniu niemal absurdalny szczegół. Ludzie, którzy automatyzowali włamania do cudzych systemów, pozostawili część własnych paneli sterowania dostępną publicznie. To właśnie dzięki temu badacze zobaczyli cele, historię pracy agentów, wyniki prób, a czasem również sekrety znalezione podczas działań.

Podczas analizy ujawnionych danych badacze znaleźli setki różnych danych uwierzytelniających. Automatyczny skaner potwierdził ważność około 11% sprawdzonych sekretów. To nie jest jednak odsetek udanych włamań. Pokazuje inny problem: nieodpowiednio zabezpieczone narzędzie agentowe może ujawnić zarówno informacje operatora, jak i tajemnice jego ofiar.

Podobne zaniedbania znaleziono także w panelach prawdopodobnie związanych z legalnymi testami penetracyjnymi. Dlatego ten raport jest przestrogą również dla firm korzystających z własnych agentów: narzędzie do sprawdzania bezpieczeństwa samo nie może stać się publicznym katalogiem haseł, tokenów i wyników audytu.

Co z tego wynika dla WordPressa i małego sklepu?

Przede wszystkim warto uniknąć błędnego wniosku, że „AI odkryła nową dziurę we wszystkich WordPressach”. Raport nie dotyczy jednej podatności WordPressa. Dokumentuje kampanie prowadzone przeciwko różnym aplikacjom, serwerom i technologiom, w tym infrastrukturze e-commerce. Źródłem ryzyka były konkretne błędy w konfiguracji, aplikacjach, uprawnieniach i mechanizmach obsługi danych.

Witryna firmowa z formularzem kontaktowym, sklep WooCommerce czy własna aplikacja nie stają się podatne dlatego, że powstały na określonej platformie. Stają się podatne wtedy, gdy istnieje droga do nieautoryzowanego działania, a nikt jej nie zamyka. Agent AI może jedynie znaleźć ją szybciej albo wracać do niej dłużej.

Dlatego sensowna obrona nie polega na kupowaniu kolejnej wtyczki z napisem „AI Security”. Polega na uporządkowaniu rzeczy, które mają znaczenie również bez AI: aktualizacji, dostępu administracyjnego, zabezpieczeń aplikacji, backupów, logów i procedury reagowania na incydent.

Sześć rzeczy, które warto sprawdzić, zanim ktoś znajdzie je za Ciebie

  • 1. Aktualizacje i znane luki. Zrób przegląd WordPressa, motywu, wtyczek, PHP i integracji. Sprawdź, które komponenty są faktycznie używane i czy ich autorzy nadal je utrzymują. Krytyczne podatności wymagają reakcji także poza regularnym harmonogramem.
  • 2. Dostęp do paneli i API. Usuń niepotrzebne konta, ogranicz role administratorów, stosuj uwierzytelnianie wieloskładnikowe tam, gdzie jest dostępne, i sprawdzaj połączenia z zewnętrznymi systemami. Osobno potraktuj tokeny i klucze API, zwłaszcza pozostawione w starych projektach.
  • 3. Kopie zapasowe, które da się odtworzyć. Backup poza serwerem produkcyjnym i test przywracania są ważniejsze niż sama liczba archiwów. W sklepie sprawdź dodatkowo, ile zamówień i zmian danych możesz utracić przy odtworzeniu poprzedniego stanu.
  • 4. WAF oraz ograniczanie automatycznych żądań. Reguły ochronne, kontrola dostępu do panelu i rozsądny rate limiting pomagają odcinać część podejrzanego ruchu. Nie zastępują jednak usunięcia podatności ani nie gwarantują wykrycia powolnego, wieloetapowego ataku.
  • 5. Logi i monitoring. Obserwuj nieoczekiwane zmiany plików, nowe konta uprzywilejowane, nietypowe połączenia i odchylenia w żądaniach do wrażliwych funkcji. Sam alert o niedostępności witryny nie wykryje włamania, które nie zakłóciło pracy strony.
  • 6. Plan reakcji. Ustal, kto ma dostęp do hostingu, DNS, kopii zapasowych i logów, kto może wstrzymać podejrzaną integrację oraz kto decyduje o przywróceniu produkcji. W kryzysie nie powinno się dopiero szukać hasła do serwera.

Regularna opieka to coś innego niż ratowanie strony po włamaniu

Na tym właśnie polega różnica między utrzymaniem a doraźną naprawą. Jeżeli WordPress działa normalnie, najwięcej sensu ma ograniczanie ryzyka: kontrolowane aktualizacje, monitoring, sprawdzanie kopii i reagowanie na krytyczne luki. W WebsiteGarage taki zakres obejmuje WP Care, czyli WordPress Wartung i stałą opiekę techniczną nad stroną. Nie chodzi o bezrefleksyjne klikanie „Aktualizuj”, ale o pilnowanie, żeby strona nadal działała prawidłowo po zmianach.

Warto też znać granicę tej usługi. WP Care obejmuje wykrycie problemu, wstępną analizę, ograniczenie zagrożenia i bezpieczne odtworzenie z działającego backupu, kiedy jest to właściwa droga. Pełna analiza powłamaniowa, rozległe czyszczenie i rekonstrukcja serwera nie są automatycznie częścią zwykłego abonamentu. Te prace mają osobny zakres.

Jeśli problem już wystąpił, potrzebujesz czegoś innego. Niedziałający panel, konflikt po aktualizacji, błędy PHP czy uszkodzona funkcja to zadania dla usługi WordPress Fix, skoncentrowanej na diagnostyce i naprawie konkretnego problemu. Natomiast złośliwe przekierowania, nieznani administratorzy, zmodyfikowane pliki lub potwierdzony malware to scenariusz dla WordPress Recovery, czyli odzyskiwania strony po incydencie.

Sklep internetowy wymaga dodatkowego spojrzenia na zamówienia, płatności, sesje klientów i zewnętrzne integracje. Dlatego opieka nad WooCommerce to osobny zakres, rozwijany jako Woo Care, a nie automatyczny dodatek do standardowego WP Care. Jeśli nie wiesz, czy potrzebujesz naprawy, odzyskiwania czy dalszej opieki, opisz sytuację w WebsiteGarage. Najpierw trzeba zrozumieć objawy i skalę problemu, dopiero później dobierać usługę.

A jeśli podejrzewasz, że strona została przejęta?

Przy podejrzeniu włamania najgorszym ruchem bywa chaotyczne usuwanie plików i instalowanie pięciu skanerów jeden po drugim. Można w ten sposób zatrzeć ślady potrzebne do ustalenia, co właściwie się wydarzyło. Priorytety zależą od sytuacji, ale ogólna kolejność wygląda następująco:

  • Ogranicz dalsze szkody. Jeśli to uzasadnione, tymczasowo wyłącz podatną funkcję lub ogranicz dostęp do aplikacji. W sklepie zaplanuj także konsekwencje dla zamówień i płatności.
  • Zabezpiecz materiał do analizy. Zachowaj odpowiednie logi, kopie i informacje o wykrytych zmianach, zanim je usuniesz. Jeśli mogło dojść do naruszenia danych osobowych, ocenę obowiązków prawnych trzeba przeprowadzić osobno.
  • Sprawdź zakres dostępu napastnika. Nie ograniczaj się do WordPressa. Zależnie od ustaleń zweryfikuj konta, bazę danych, hosting, zaplanowane zadania, wtyczki, pliki oraz powiązane usługi.
  • Usuń drogę wejścia i pozostałości. Sam update może zamknąć lukę, ale nie usuwa kont, backdoorów czy sekretów skopiowanych podczas włamania. Wymagane mogą być również rotacja danych dostępowych i odtworzenie z zaufanego źródła.
  • Przetestuj stronę przed powrotem do normalnej pracy. Sprawdź formularze, logowanie, przekierowania i najważniejsze procesy. W WooCommerce zweryfikuj również checkout, statusy zamówień i integracje płatnicze.

Nie każda infekcja wymaga przebudowy całej witryny. Nie każdą też da się odpowiedzialnie usunąć w pół godziny. Decyzja o zakresie działań powinna wynikać z tego, co faktycznie zostało naruszone, a nie z automatycznego obiecywania „100% czystości” po jednym skanowaniu.

AI nie wymyśliła większości tych problemów. Zmieniła tempo ich wykorzystywania

W opisywanym dochodzeniu nie odkryto nowej uniwersalnej techniki włamania na każdą stronę. Ataki wciąż opierały się na błędach dostępu, niewłaściwym przetwarzaniu danych, niebezpiecznych funkcjach i innych znanych klasach problemów. Nowością jest skala i cierpliwość automatyzacji. Człowiek może uruchomić wiele zadań, a agent przez godziny szuka kolejnych okazji, nawet gdy pierwsza próba nie przynosi rezultatu.

To nie powód, żeby uznać WordPressa albo cały internet za stracony. To powód, żeby przestać traktować bezpieczeństwo strony jako jednorazowe zadanie odhaczone w dniu publikacji. Strona to działający system, który ma użytkowników, dane, połączenia i zależności. A działające systemy potrzebują utrzymania oraz planu naprawy wtedy, gdy coś pójdzie nie tak.

Źródła i granice ustaleń

Stan informacji na 19 października 2026 r. Liczba projektów w panelach, raportowane przez agentów osiągnięcie celów, faktycznie zweryfikowane przejęcia i udowodniona utrata danych to różne kategorie. Nie należy ich utożsamiać.