Najnowszy raport obronny Microsoftu opisuje niewygodne połączenie: napastnicy szybciej przygotowują część włamania, a przejęte tożsamości i połączone narzędzia sięgają do większej części organizacji. AI przyspiesza znane metody, zanim w pełni autonomiczne ataki staną się codziennością. Problemem jest jednocześnie krótszy czas reakcji i rozrastająca się sieć zaufanego dostępu.
Opublikowany 1 października Digital Defense Report 2026 obejmuje aktywność od lipca 2025 do czerwca 2026. Microsoft umieszcza AI w rozpoznaniu, socjotechnice, badaniu podatności, rozwoju malware i analizie po kompromitacji. Obserwacje nie dowodzą dominacji agentów bez nadzoru. Ludzie nadal kontrolują większość kampanii; badania nowych możliwości orkiestracji trzeba oddzielać od utrwalonej praktyki.
Co mierzą liczby
Microsoft odnotował kradzież danych w 63% zaobserwowanych włamań oraz ponad 46 milionów ataków polegających na podszywaniu się pod kontakty biznesowe w poprzednich 12 miesiącach. Wśród włamań wykorzystujących prawidłowe konta 52,2% prowadziło do dalszej kradzieży poświadczeń. Jedna przejęta tożsamość może więc otworzyć kolejne konta, dokumenty chmurowe i zaufane narzędzia administracyjne, zamiast pozostać izolowanym logowaniem.
Dane geograficzne i branżowe mają odmienne mianowniki i okresy. Klienci amerykańscy stanowili 25,5% obserwowanej aktywności zagrożeń od stycznia 2025 do czerwca 2026. Administracja i usługi publiczne odpowiadały za 27% pomiaru branżowego 2026 wobec 17% w 2025; IT miało 17%, badania i uczelnie 14%. To udziały w polu widzenia Microsoftu, nie globalny spis ani prawdopodobieństwo ataku na konkretną organizację.
Phishing odpowiadał za 23% zaobserwowanych włamań w 2026 wobec 7% w 2025. Nie pozwala to przypisać przyrostu AI. Odrębna analiza kwietniowa podała 54% kliknięć dla phishingu wspieranego AI i około 12% dla tradycyjnych kampanii. Stosunek wynosi 4,5 do 1, a nie 450% względnego wzrostu. Projekt kampanii, dobór celów i badana populacja ograniczają interpretację; nie jest to prognoza dla każdej skrzynki.
AI obniża jednak koszt dopasowania przynęty do roli, tłumaczenia, naśladowania języka pracy i poprawiania nieskutecznych wiadomości. Pomaga tworzyć persony, fałszować dokumenty, budować szkielety skryptów, debugować malware, unikać wykrycia i streszczać skradzione pliki. Korzyści te mają znaczenie bez nowych exploitów i bez niezależnego maszynowego napastnika.
Mniej niż doba to sygnał, nie zegar każdej luki
Według Microsoftu mediana czasu od odkrycia podatności w środowisku rzeczywistym do przygotowania jej jako narzędzia ataku spadła znacznie poniżej 24 godzin. Może to oznaczać exploit, skanowanie lub szerszy proces włamania. Publiczne podsumowanie nie podaje dokładnej liczby godzin, pełnej próby, rozkładu ani szczegółowej metodologii. Nie daje podstaw do przypisywania każdemu CVE takiego samego odliczania.
Drugą stroną porównania są organizacje potrzebujące 30–60 dni na usunięcie krytycznych luk dostępnych z zewnątrz. To także nie jest uniwersalny czas. Operator chmury może szybko ograniczyć ryzyko, podczas gdy usługa regulowana, przemysłowa czy kliniczna wymaga testów zgodności i zaplanowanego przestoju. Identyfikacja zasobów, odpowiedzialność wykonawców, testy, okna serwisowe i zgody tłumaczą część opóźnienia, ale nie usuwają ekspozycji.
Analiza różnic poprawek wspierana AI porównuje kod zaktualizowany i podatny, wskazuje zmienioną funkcję i proponuje wejścia docierające do zagrożonej ścieżki. Napastnicy porządkują też odciski oprogramowania, publiczne dane i wyciekłe poświadczenia dla wielu celów. Mogą zaakceptować nieudane próby; obrońca musi zachować działanie każdego systemu. Publikacja poprawki uruchamia więc naprawę i jednocześnie przekazuje przeciwnikom informacje o błędzie.
Źródła podają różne wolumeny: jedno prognozuje 72 tys. ujawnionych podatności w 2026, drugie wskazuje niemal 40 tys. CVE w pierwszym półroczu i ekstrapoluje około dwa razy tyle na cały rok. Nie należy cicho scalać tych danych w uzgodnioną prognozę. Więcej ujawnień może oznaczać lepsze wykrywanie dawnych błędów, nie nagłe załamanie jakości oprogramowania.
Reakcja oparta na ekspozycji lepiej odpowiada tej asymetrii niż sama liczba poprawek. Wykorzystywana brama tożsamości dostępna z internetu może być pilniejsza niż poważniejsza technicznie luka za silnymi kontrolami. Tymczasowa izolacja, ograniczenie dostępu, rotacja poświadczeń i dodatkowa detekcja zmniejszają ryzyko przed trwałą aktualizacją. Katalog CISA dostarcza dowodów wykorzystania, lecz oczekiwanie na każde zewnętrzne potwierdzenie może pozostawić wiarygodną ścieżkę ataku otwartą.
Agenci łączą ryzyka, zamiast je zastępować
Raport rozdziela używanie AI do atakowania tradycyjnych systemów i atakowanie samych systemów AI. Prompty, dane modelu, infrastruktura obsługi, informacje użytkownika, wyniki, narzędzia i tożsamości agentów mogą być wejściami lub mostami. Testowanie odmów modelu nie dowodzi bezpieczeństwa całej aplikacji.
Microsoft wyróżnia manipulowanie promptami, ujawnienie wrażliwych danych, kompromitację tożsamości, nadmierną sprawczość i naruszenie integralności operacyjnej. Nadmierna sprawczość pojawia się, gdy osobno dozwolone narzędzia tworzą niezatwierdzoną sekwencję działań. Integralność obejmuje prompty, pamięć, konfigurację, dane treningowe, zależności i logi: ich zmiana może przekierować przyszłe zachowanie bez przejęcia samego modelu.
Wrogi dokument może nakazać agentowi wyszukującemu ujawnienie danych lub wywołanie narzędzia. Zapis manipulacji w pamięci może wpływać na kolejne zadania. Kluczowa jest granica między czytaniem treści a nadawaniem jej władzy uruchamiania działań. Właściciel i zakres wyszukiwania są istotne dla wewnętrznych baz wiedzy tak samo jak dla innych poufnych magazynów.
Znaczenie tożsamości pokazują północnokoreańskie operacje zdalnych pracowników IT, śledzone jako Jasper Sleet i Coral Sleet. AI pomaga przygotować CV, fałszywą personę, komunikację w innych językach i zadania techniczne. Decydujące poświadczenia nadal wydaje pracodawca po oszukańczym zatrudnieniu. To nadużycie zaufanej relacji biznesowej, nie tylko wygenerowane malware.
Operatorzy próbują także promptów opartych na rolach, przeformułowanych próśb i instrukcji rozłożonych na wiele interakcji, aby ominąć zabezpieczenia. Pozornie niewinne wyniki można połączyć poza modelem. Nadal występują błędy niezawodności: kod nie działa, przynęta zawodzi, automatyczne zachowanie ujawnia napastnika.
Ważna granica twierdzeń o autonomii
Microsoft opisuje sześciomiesięczne przejście od pomocy do kierowania aktywnością i autonomicznego wykonywania części ataków. Przywołuje też kontrolowaną ocenę, w której system AI ukończył 32-etapową sekwencję. To dowód orkiestracji w określonych warunkach, nie niezawodnego włamywania się do dowolnych bronionych przedsiębiorstw.
Realne środowiska przynoszą brakujące informacje, niespodziewane zależności, działania obronne i nieudokumentowane ścieżki wymagające doświadczonego osądu. Szersza ocena taktyk Microsoftu opisuje większość obecnych nadużyć jako generowanie tekstu, kodu i mediów; zaawansowane eksperymenty agentowe nie działają jeszcze na skalę. Te stwierdzenia dają się pogodzić, jeśli częściowej automatyzacji nie pomyli się z autonomią całego ataku.
Obrońcy mają podobne ograniczenie. Wcześniejszy wielomodelowy system skanowania Microsoftu wyszukuje luki i wspiera naprawy, z zapowiedzianym planem przekształcenia wewnętrznej funkcji w produkt dla klientów. Osobne śledztwo donosiło, że ustalenia napływają szybciej, niż część zespołów Microsoftu może je obsłużyć. Więcej prawdopodobnych luk pomaga tylko wtedy, gdy nadążają reprodukcja, priorytetyzacja, naprawa, testowanie i wdrożenie.
Firma podaje, że niektórzy użytkownicy Security Copilot tworzą podsumowania zagrożeń 60–70% szybciej. Mierzy to zadanie analityka, niekoniecznie ograniczenie incydentu czy bezpieczne usunięcie luki. Fałszywe alarmy, błędne dopasowania zasobów i szkodliwe zmiany automatyczne pozostają ważnym kosztem optymistycznych historii o produktywności.
Połączona detekcja wymaga odpowiedzialności
Wyobraźmy sobie phishing z odwróconym proxy przechwytujący poświadczenia i uwierzytelniony token sesji. Kolejna sesja otwiera pocztę i chmurę, kopiuje dokumenty finansowe i dodaje metodę uwierzytelnienia zapewniającą trwały dostęp. Systemy pocztowe, przeglądarkowe, tożsamościowe i aplikacyjne widzą tylko fragmenty. Związki czasu, urządzenia, użytkownika i dostępu tworzą z nich oś dochodzenia.
AI może grupować alerty i streszczać znane wzorce, pozostawiając analitykom nieznane ścieżki. Agent obronny z szerokimi prawami jest jednak kolejnym wejściem dla ataku. Potrzebne są odrębne odwoływalne tożsamości, wskazany właściciel, ograniczone poświadczenia, uwierzytelnianie, zgody na działania i audytowalny kontekst. Odczyt nie powinien automatycznie zezwalać na edycję, wysyłanie czy wykonywanie instrukcji.
Microsoft odnotowuje dłuższy czas obecności napastników w kilku sektorach mimo lepszej reakcji po wykryciu. Szybsze działanie po zrozumieniu włamania nie oznacza wcześniejszego rozpoznania. Ważniejszy od kolejnej telemetrii jest dowód, że korelacja wykrywa wcześniej niż pojedynczy produkt, skraca czas od wejścia do ograniczenia i zachowuje weryfikowalne zapisy.
Szeroki widok nadal jest określonym widokiem
Microsoft deklaruje średnio ponad 165 bilionów sygnałów bezpieczeństwa,31 milionów detekcji ryzyka tożsamości i 5,2 miliarda wiadomości dziennie. Skala jest cenna, lecz struktura klientów, regiony, ustawienia telemetrii i zmieniające się pokrycie detekcji wpływają na widoczność. Zaobserwowanych procentów nie wolno przedstawiać jako pomiaru całego internetu.
Firma sprzedaje zintegrowane produkty tożsamościowe, chmurowe, endpoint i bezpieczeństwa AI. Interes handlowy nie unieważnia obserwacji, ale korelacja nie wymaga zakupu wszystkich warstw od jednego dostawcy. Wspólne identyfikatory, normalizacja logów, otwarte standardy i dyscyplina obsługi incydentów łączą dowody; koncentracja platform może rozszerzyć jedną awarię na kilka warstw. Współpraca publiczno-prywatna uzupełnia kontekst pod warunkiem ochrony danych klientów i dochodzeń.
Ramy ryzyka AI NIST dają perspektywę projektowania, wdrażania, pomiaru i nadzoru, a nie zastępstwo kontroli cyberbezpieczeństwa. Kolejne wartościowe dowody to przejrzyste definicje i rozkłady czasu przygotowania exploitów, potwierdzona autonomia poza laboratorium, krótsza ekspozycja i obecność napastników oraz mniej nieudanych zmian. Wniosek jest konkretny: AI zmniejsza wysiłek napastnika; obrońcy muszą wystarczająco szybko powiązać tożsamości, działania agentów i podatne zasoby, aby przerwać dostęp bez uszkodzenia chronionych systemów.
Źródła i materiały powiązane
Raport Microsoft Digital Defense · Wnioski raportu październikowego · AI w cyklu ataku · Granice dostępu do bazy wiedzy · Badania taktyk AI · Ramy ryzyka AI NIST · Analiza krajobrazu zagrożeń · Skanowanie i obrona z AI · Śledztwo dotyczące napraw Microsoftu · Katalog wykorzystywanych luk CISA · Rekord odkrycia głównej relacji · Rekord odkrycia relacji dodatkowej