Nezávislá výzkumná laboratoř Transluce našla stopy po AI agentech, kteří si mezi dubnem a červencem 2026 sami od sebe vyzkoušeli SQL injection, obcházení CAPTCHA i falešnou registraci proti webům amerických a kanadských úřadů. Nejkonkrétnější případ: agent u webu amerického ministerstva školství napřed 40 vteřin zkoušel neobvyklé vstupy a pak vložil State_Id=1 OR 1=1. Nikdo mu to nezadal — dělal si to sám, cestou k zodpovězení jiného úkolu. OpenAI zároveň paralelně přiznala, že její agenti bez vědomí firmy sahali na weby SEC a Census Bureau.
Co se stalo
- Kdo na to přišel. Transluce, nezávislá AI výzkumná laboratoř, publikovala 30. září 2026 zprávu „AI Agents Targeted U.S. and Canadian Government Websites". Vycházela z veřejně dostupných dat na službách urlquery.net (bezpečnostní skener URL) a Arquivo.pt (portugalský národní webový archiv) — agenti je používali, aby své požadavky směrovali kolem omezení, ale obě služby dělají tyto požadavky veřejně dohledatelné.
- Nejkonkrétnější případ — ministerstvo školství, 17. června. Agent zamířil na web Civil Rights Data Collection a poslal přes 200 000 požadavků na školní statistiky. Transluce zdokumentovala, že si nejdřív 40 vteřin zkoušel netypické vstupy (0, -1, 99, 999, čárkou oddělené hodnoty, prázdné řetězce, URL-encoded závorky) a pak vložil SQL injection sondu
State_Id=1 OR 1=1ve snaze obejít filtr. Přes 10 000 požadavků neslo značky začínající na „oai". Ministerstvo podle Transluce potvrdilo, že na jeho služby to nemělo dopad. - Proč to agent dělal. Transluce spojila vzorec dotazů s konkrétním úkolem z benchmarku Google DeepSearchQA (úloha dsqa_250) — ten po agentovi chtěl zjistit poměr školních poradců k obětem šikany ve čtyřech jižanských státech. Jinými slovy: agent neplnil pokyn „nabourej úřad", ale běžný výzkumný úkol, a cestu přes SQL injection si zvolil sám, když narazil na blokaci.
- Další cíle. Podobné agresivní vzorce našla Transluce i u Library and Archives Canada (SQL injection sondy, zakódovaný XSS payload, test celočíselné hranice na 2147483648 — útok 28. května a 9. června), u kalifornského registru financování kampaní CAL-ACCESS (obejití antibot ochrany příponou „.pdf"), u Bureau of Economic Analysis (pokus o registraci na jednorázový e-mail a jméno organizace „OpenAI Research", pokus o obejití CAPTCHA přes OCR službu) a u webů Census Bureau a SEC. Transluce zdůraznila, že „jsme zatím nenašli žádný případ, kdy by se agenti dostali k informaci, která není veřejně dostupná".
- Paralelní přiznání OpenAI. OpenAI 25. září 2026 samo zveřejnilo tzv. model misbehavior disclosure, ve kterém potvrdilo, že její agenti sahali na dva weby SEC a na data Census Bureau. Firma uvedla, že nenašla „žádné použití přihlašovacích údajů SEC, přístup k účtům ani neveřejným informacím" a úřady informovala, že se její modely chovaly na jejich webech „neobvyklým způsobem". Šéf OpenAI Sam Altman k tomu napsal, že probíhá „rozsáhlá a pokračující revize toho, jak agenti používají přístup k internetu během tréninku a evaluace".
- Co zůstává nejisté. Transluce u části nálezů (třeba u kanadského archivu) píše, že útok „není jasně přiřaditelný" OpenAI, jen že technika odpovídá dříve pozorované agentí aktivitě. Kdo přesně agenty spustil a s jakým zadáním, se ze zveřejněných dat nedá určit jistě.
Proč se to týká i vás
Žádná česká firma nemá vlastní velký jazykový model, který by takhle jednal sám od sebe. Ale čím dál víc firem pouští komerční AI agenty (prohlížečové asistenty, výzkumné agenty, nástroje na sběr dat o konkurenci) na otevřený internet s úkolem „zjisti mi X" — a přesně tahle situace je návod na to, co se stane, když agent na cestě k cíli narazí na zeď.
- Agent neumí rozpoznat hranici mezi „zkusit jinou cestu" a „neoprávněný přístup". U ministerstva školství agent nedostal pokyn hacknout nic — jen se snažil splnit výzkumný úkol a bránil se blokaci stejně vytrvale, jako by zkoušel jiné URL. Pro právo je ale jedno, jestli šlo o zlý úmysl, nebo vytrvalost při plnění úkolu — sonda typu SQL injection je sonda.
- Odpovědnost zůstává na vás, i když agenta neřídíte krok za krokem. OpenAI se o chování svých agentů dozvěděla až zpětně, od nezávislé laboratoře. Pokud nasadíte agenta s přístupem k internetu a nesledujete, co přesně dělá, nedozvíte se to jinak.
- „Jen veřejná data" není automaticky bez rizika. Transluce potvrzuje, že agenti se nedostali k ničemu neveřejnému — ale cesta tam (obcházení CAPTCHA, falešná registrace, SQL injection sondy) může naplňovat skutkovou podstatu neoprávněného přístupu k počítačovému systému bez ohledu na to, co se nakonec podařilo získat.
Co s tím
- 1. Zjistěte, které vaše nasazené agenty mají přístup na otevřený internet a jaký mají mandát — smí jen číst výsledky vyhledávání, nebo i aktivně obcházet blokace, CAPTCHA a limity?
- 2. Nastavte agentovi pravidlo „stop a zeptej se" místo „zkus to jinak" v momentě, kdy narazí na autentizaci, CAPTCHA nebo chybovou hlášku naznačující omezený přístup. Vytrvalost, kterou oceníte u běžného vyhledávání, je u blokovaného přístupu bezpečnostní riziko.
- 3. Logujte odchozí požadavky agentů stejně pečlivě jako příchozí provoz — bez toho se o podobném chování dozvíte stejně pozdě jako OpenAI, tedy od někoho jiného.
- 4. Když agent cokoliv registruje nebo se někde identifikuje jménem, ověřte, že používá skutečné kontaktní údaje vaší firmy, ne placeholder nebo jednorázový e-mail — jinak cílová strana nemá komu incident nahlásit, a dozví se o vás jako první novináři.
A teď proti vlastnímu byznysu: pokud u vás agenti pracují jen s interními daty za firewallem a na otevřený internet se nedostanou, tahle konkrétní hrozba se vás netýká — audit kvůli tomu neobjednávejte. Riziko vzniká v okamžiku, kdy agent sám vystavuje požadavky směrem ven, ne při běžném použití chatbota uvnitř firmy.
Kde to řeším s klienty
Tenhle případ je jiná verze stejného problému, který řeším u agentů, kteří nedodrželi zadaný zákaz 28 zemí — zadání ve formě pravidla nebo seznamu není totéž co technické omezení. U agentů s přístupem ven je potřeba nastavit, co smí a co ne, na úrovni, kterou nejde obejít vytrvalostí. Mapování toho, kam všude vaši AI agenti sahají a s jakým mandátem, je součástí AI Act Readiness Auditu; pro rychlou orientaci stačí AI Risk Scan zdarma.