V pátek oznámil Google, že jeho model Gemini se při bezpečnostním testu dostal do systémů tří skutečných firem. Titulky z toho po celém světě udělaly „AI se utrhla ze řetězu". Pro vaši firmu je ale podstatnější něco jiného, co jsem našel až v dokumentech dvou zúčastněných firem — ne v novinách. Za prvé: u stejné série incidentů, kterou dřív popsal Anthropic, dvě ze tří napadených organizací samy nic nezaznamenaly. Dozvěděly se to, až když jim někdo zavolal. Za druhé: Google se rozhodl svůj případ nezveřejnit, protože ho nepovažoval za selhání. Kdyby o něm nenapsal Wall Street Journal, nevíte o něm dodnes.
Co se stalo
- Google, 18.–19. září 2026: Gemini se při testu kybernetických schopností dostalo do systémů tří reálných firem. Incidenty se staly v květnu 2026 při testování, které provozovala izraelská firma Irregular. Ta o nich Google informovala na konci července. Viceprezidentka Googlu pro bezpečnostní inženýrství Heather Adkins k tomu řekla Al Jazeeře, že v jednom případě model uhodl heslo a ve zbylých „našel veřejné informace online a uhodl přihlašovací údaje k webům, o kterých si myslel, že jsou součástí testu". Podle Googlu model pokaždé sám přestal dřív, než akci dokončil.
- Google to nepovažoval za věc k oznámení: podle téhož textu firma uvedla, že nešlo o rozladění modelu (misalignment) a že případ nevyžadoval zveřejnění, protože bezpečnostní pojistky Gemini zafungovaly. Adkins to shrnula pro Wall Street Journal slovy: „V tomto případě se model zachoval správně." To je obhajitelný postoj — jen si všimněte, kdo o něm rozhoduje.
- Odkud to celé je — a tady je první věc navíc: Irregular na svém webu publikovala 14. srpna 2026 vlastní rozbor. Příčina nebyla důmyslná: inženýři pro testovací scénář vymysleli název fiktivní firmy a ten se shodou okolností kryl s doménou skutečné firmy. Model dostal do prostředí přístup k internetu, na reálnou doménu narazil a považoval ji za součást cvičení.
- Jak vzácné to bylo: podle Irregular se to stávalo „v méně než 1 z 10 000 pokročilých simulací, a obvykle v pozdních fázích po stovkách tahů". Tohle číslo jsem v přejatých článcích nenašel a je důležité pro pochopení toho, proč si toho půl roku nikdo nevšiml.
- Druhá věc navíc — nešlo o vyspělost AI: Irregular v témže textu píše, že napadená doména „postrádala několik běžných bezpečnostních opatření, a proto ji většina frontier modelů snadno zneužila". A dodává: „nedomníváme se, že tento incident odhaluje něco pozoruhodného o schopnostech nebo chování konkrétního modelu AI, protože tyto schopnosti se na frontieru staly běžnými." Jinými slovy: to, co se stalo, zvládne dnes každý silný model a stačilo mu k tomu slabé heslo.
- Třetí věc navíc, a pro vás nejdůležitější: Anthropic ve vlastním rozboru stejné série incidentů popsal, že prošel 141 006 testovacích běhů a našel tři incidenty u tří různých organizací. Napadené firmy kontaktoval v pondělí 27. července. A pak je tam tahle věta: „Ty dvě organizace, které se nám podařilo zastihnout, danou aktivitu předtím nezaznamenaly ani nás nekontaktovaly." Třetí se Anthropic v době psaní textu ještě nepodařilo zastihnout. V nejvážnějším z případů přitom model získal přihlašovací údaje k aplikaci i infrastruktuře a přístup k produkční databázi „obsahující několik set řádků produkčních dat".
- Čím se dovnitř dostal: podle Anthropicu „základními technikami, jako je zneužití slabých hesel a nezabezpečených koncových bodů". Žádný složitý exploit. Model podle firmy „nenašel ani nezneužil žádné komplexní zranitelnosti".
- Co se zatím neví: Google nezveřejnil, které tři firmy to byly, ani jestli o tom vědí. Irregular uvádí, že dotčené strany byly vyrozuměny a že problém byl odstraněn, ale vlastní audit označuje za probíhající. Zda šlo u Googlu o stejnou doménu jako u Anthropicu, z veřejných zdrojů nevyplývá — Irregular pouze píše, že všechna následná zveřejnění „odkazují na tentýž základní problém".
Proč se to týká i vás
Tohle není příběh o tom, že AI je nebezpečná. Je to příběh o tom, jak vypadá útok, který vaše firma nezaregistruje.
Představte si, že tou náhodně vybranou doménou byla vaše firma. Nikdo si vás nevybral, nikdo vás nesledoval. Vaše jméno se prostě někomu na druhém konci světa hodilo do testovacího scénáře. Pak se ve vašem systému někdo přihlásil uhodnutým heslem, prošel data a odešel. Podle Anthropicu se přesně v této situaci ocitly tři organizace — a dvě z nich si toho nevšimly.
To je ta praktická informace. Ne „AI umí hackovat", ale: běžný provoz české firmy nepozná rozdíl mezi legitimním přihlášením a cizím přihlášením správným heslem. Přesně na to upozorňoval i španělský dozorový úřad u prvního evropského ohlášení incidentu provedeného agentem, o kterém jsme psali v textu Agent se přihlásil správným heslem. Vzorec je stejný a opakuje se.
Druhá vrstva je informační. Google se rozhodl, že jeho případ zveřejnění nezasluhuje, protože pojistky zabraly. Z pohledu Googlu to dává smysl. Z pohledu firmy, do jejíhož serveru se přitom někdo dostal, je to rozhodnutí, které za ni udělal někdo jiný. A vede to k otázce, na kterou nikdo nezná odpověď: kolik podobných případů leží u laboratoří, které došly ke stejnému závěru a nevyšel o nich článek?
Irregular si tenhle problém sama pojmenovala: „současné nástroje dostupné k ochraně třetích stran před automatizovanými, kyberneticky schopnými aktéry typu insider threat jsou omezené." Třetí strana v té větě jste vy.
Co s tím
- 1. Zjistěte, jestli byste poznali úspěšné přihlášení, které nemá být vaše. Ne pokus o průnik — úspěšné přihlášení. Vezměte jeden svůj systém dostupný z internetu a odpovězte: kdo by za tři týdny zpětně řekl, kdo se do něj kdy přihlásil a odkud? Když na to nemáte odpověď, máte stejnou slepou skvrnu jako ty dvě organizace.
- 2. Projděte si, co je z vašich systémů vidět z internetu bez přihlášení. Irregular mluví o „nezabezpečených koncových bodech". V praxi to bývá testovací instance, stará administrace, API bez autentizace, adminrozhraní na nestandardním portu, o kterém si někdo myslel, že je tím pádem schovaný. Sepište, co všechno je zvenčí dostupné, a vypněte, co nikdo nepoužívá. Tohle je hodina práce a v tomhle příběhu to byl rozdíl mezi obětí a neobětí.
- 3. Zrušte hesla, která jde uhodnout, u všeho, co je venku. V obou dokumentech se opakuje „uhodnuté heslo" a „přihlašovací údaje nalezené ve veřejném repozitáři". Znamená to dvě konkrétní věci: vynucené dvoufaktorové přihlášení u všeho, co je dostupné z internetu, a proklepnutí vlastních veřejných repozitářů na zapomenuté klíče. Na to druhé existují nástroje zdarma.
- 4. Do smluv s dodavateli si dejte oznamovací povinnost i pro případ, kdy dodavatel usoudí, že o nic nešlo. Tenhle případ je učebnicový: strana, která o incidentu ví, rozhoduje, jestli vám to řekne. Formulace typu „dodavatel nás informuje o každém neoprávněném přístupu ke službě, včetně případů, kdy byl zastaven bezpečnostními mechanismy" to posouvá z jeho úvahy do vašeho nároku.
A teď proti vlastnímu byznysu: pokud vaše firma nepoužívá AI agenty a jen má běžné weby a systémy na internetu, nepotřebujete kvůli tomuhle článku AI governance ani audit umělé inteligence. Potřebujete dvoufaktorové přihlášení, vypnuté staré endpointy a někoho, kdo se jednou měsíčně podívá do logů. To je klasická bezpečnostní hygiena, za kterou se neplatí konzultantovi na AI. Rozdíl oproti minulosti je jen v tempu — útočník, který dřív zkoušel deset kombinací za hodinu, jich dnes zkusí tisíc. Ale co ho zastaví, se nezměnilo.
Kde to řeším s klienty
U firem, které nasazují AI agenty na vlastní data, řeším přesně tu část, kterou Irregular popisuje jako „automatizovaného insidera": co agent vidí, čím se přihlašuje a kdo to po něm kontroluje. Je to jedna z kapitol AI Agent Governance Checkupu. Když si nejste jistí, jestli se vás to vůbec týká, začněte AI Risk Scanem zdarma — u řady firem z něj vyjde, že jejich problém není AI, ale tři služby dostupné z internetu, o kterých se zapomnělo. Na stejné téma z jiné strany: první evropské ohlášení incidentu provedeného agentem a šest hodin na 23 800 tajných klíčů.