Útočník už nemusí hľadať zraniteľnosti jednu po druhej. Pomáha mu umelá inteligencia. Podľa správy ENISA (ENISA’s view on Cybersecurity in the Frontier AI Era) z júla 2026 dokážu útočníci zneužiť novo zverejnenú zraniteľnosť už do 15 minút od jej zverejnenia. V najrýchlejších prípadoch sa útočníci od prvého prieniku dostali k odcudzeniu dát už za 72 minút.
Otázka teda neznie, či je umelá inteligencia v kybernetickej bezpečnosti hrozbou alebo príležitosťou. Otázka znie, či obrana dokáže reagovať rovnako rýchlo ako útočník, ktorý slabé miesto objaví a hneď ho zneužije. Rozdiel medzi tradičným a AI akcelerovaným útokom totiž nie je v type zraniteľnosti, ale v čase medzi jej objavením a zneužitím.
Od zraniteľnosti k útoku za niekoľko minút
Čas medzi objavením zraniteľnosti a jej zneužitím sa za posledné roky skrátil z mesiacov na minúty. Holandský národný CSIRT (NCSC-NL) upozorňuje, že rýchlosť autonómnych AI agentov eliminuje dôležitú výhodu obrancov: možnosť objaviť zraniteľnosť potichu a opraviť ju skôr, než sa o nej dozvie útočník. Akonáhle je zraniteľnosť objavená, cestu k jej zneužitiu už nepoháňa človek. Je strojovo automatizovaná.
Ako upozorňuje ENISA, nejde o ďalší krátkodobý trend, ale o štrukturálnu zmenu tempa útoku a obrany.
Problémom pritom nie je iba rýchlejšie vyhľadávanie jednotlivých zraniteľností. CERT-EU poukazuje aj na schopnosť pokročilých AI modelov prepájať viacero zistení, pracovať s logikou aplikácie, konfiguráciami, prístupovými údajmi či API a vytvárať celé cesty zneužitia.
To, na čo bola ešte donedávna potrebná vysoká úroveň špecializácie a množstvo manuálnej práce, môže byť čoraz viac automatizované.
Dobre to ilustruje príklad, ktorý ENISA uvádza vo svojej správe. Jedna z organizácií zaznamenala približne 80 CVE za prvý kvartál 2025 a takmer 500 za rovnaké obdobie v roku 2026. Po nasadení nástrojov využívajúcich pokročilú AI sa objem zvýšil približne na 500 hlásení denne.
Úzkym miestom sa tak postupne prestáva stávať samotné hľadanie zraniteľností. Je ním schopnosť organizácií nálezy overiť, prioritizovať a dostatočne rýchlo na ne reagovať.
Hľadáte odpovede na otázky ohľadom kybernetickej bezpečnosti? Kontaktujte našich špecialistov
Hľadáte odpovede na otázky ohľadom kybernetickej bezpečnosti? Kontaktujte našich špecialistov
Môže obrana držať krok s automatizovanými útokmi?
Firmám dnes spravidla nechýbajú bezpečnostné nástroje ani upozornenia. Problémom je, ako rýchlo dokážu jednotlivé signály spojiť, vyhodnotiť a premeniť na konkrétnu reakciu.
Výskum Unit 42 citovaný ENISA ukazuje, že pri 75 % skúmaných narušení existovali v logoch informácie, ktoré mohli upozorniť na podozrivé správanie. Signály však boli roztrúsené medzi rôznymi nástrojmi a neboli včas využité.
Pri pomalšom útoku môže mať analytik čas jednotlivé udalosti preskúmať. Pri útoku postupujúcom v minútach sa z ľudského rozhodovania môže stať úzke miesto.
ENISA tento problém označuje ako Authority Gap. Technológia dokáže incident identifikovať a navrhnúť reakciu, ale organizácia potrebuje človeka, ktorý schváli napríklad izolovanie systému, zablokovanie účtu alebo obmedzenie služby.
S podobnými situáciami sa stretávame aj v Alanata. Samotná technická reakcia môže byť veľmi rýchla. Ak však každá intervencia čaká na manuálne potvrdenie, obrana stráca čas práve vo chvíli, keď ho má najmenej.
Obrana sa musí zrýchliť tam, kde človek nemusí rozhodovať
Odpoveďou však nie je úplné odstránenie človeka z bezpečnostných procesov.
Dôležité je rozlíšiť, ktoré reakcie možno bezpečne automatizovať a ktoré musia zostať pod ľudskou kontrolou.
ENISA odporúča posúvať bezpečnostnú prevádzku k reakcii v takmer reálnom čase a pri MTTD (Mean Time to Detect) a MTTR (Mean Time to Respond) smerovať k jednociferným hodnotám v minútach.
V praxi to znamená automatizovať najmä opakované a jednoznačné činnosti: zber a koreláciu udalostí, prvotnú triáž, vyhodnotenie telemetrie, prioritizáciu alebo reakcie s nízkym rizikom negatívneho dopadu.
Zároveň treba počítať s tým, že útočník už môže byť vo vnútri prostredia. ENISA preto odporúča prístup assume breach a ďalšie rozvíjanie princípov zero trust. V praxi to znamená napríklad segmentáciu siete, behaviorálnu analýzu a detekciu v reálnom čase.
Novou súčasťou útokovej plochy sa navyše stávajú samotné AI systémy. Organizácie preto musia myslieť aj na monitoring AI agentov, podnikových prehliadačov a ďalších prostredí, v ktorých autonómne systémy pracujú s aplikáciami, dátami a identitami.
Ako na túto zmenu reaguje Alanata SOC
Vývoj bezpečnostného monitoringu v Alanata sleduje rovnaký princíp: nestačí útok vidieť. Tam, kde je to bezpečné a jednoznačné, je potrebné naň vedieť aj automatizovane reagovať.
V minulosti bolo jedným z hlavných cieľov bezpečnostného monitoringu získať prehľad o tom, kto útočí, na ktoré systémy a akým spôsobom. Analytik následne udalosť vyhodnotil a pri potvrdenej hrozbe nasledovala reakcia.
S rastúcim objemom udalostí a skracovaním času útokov však takýto model naráža na prirodzené limity ľudskej kapacity.
Preto sme časť monitorovacích pravidiel postupne posunuli smerom k aktívnej ochrane prostredí, aktív a identít. Udalosť zachytená jednou bezpečnostnou technológiou tak môže poslúžiť ako vstup pre automatizovanú reakciu ďalších ochranných prvkov.
Predstavme si napríklad útok hrubou silou na webovú aplikáciu. Firewall alebo webový aplikačný firewall zaznamená sériu podozrivých pokusov. Udalosti sa odošlú do centrálneho log manažmentu a spracuje ich SIEM platforma. Po korelácii môže systém identifikovať zdroj útoku a informáciu automatizovane poskytnúť ďalším technológiám, ktoré dokážu útočníka zablokovať.
Z jednotlivých bezpečnostných produktov tak vzniká prepojený obranný systém. Technológie už nefungujú iba ako samostatné senzory, ale navzájom si odovzdávajú informácie potrebné na rýchlu reakciu.
Práve tu má význam aj širšia integrácia bezpečnostných a infraštruktúrnych služieb. Ak má bezpečnostný tím k dispozícii kontext zo sieťovej, IT alebo OT infraštruktúry, dokáže presnejšie posúdiť význam udalosti a zvoliť primeranú reakciu.
Kedy musí zostať v rozhodovaní človek?
Ak je dotknutým aktívom biznis kritická alebo citlivá služba, človek by mal byť do procesu remediácie zapojený vždy (tzv. human in the loop), bez ohľadu na to, ako istá je detekcia.
Rovnako to platí, ak zásah nie je jednoduché vrátiť späť alebo ak by ovplyvnil chod ďalších systémov. V praxi môže ísť o vysoko privilegované a jedinečné účty, aplikačné či systémové účty alebo o podporné, no pre prevádzku významné služby.
Pri potvrdenom bezpečnostnom incidente navyše nastupuje incident response tím. Jeho úlohou je určiť rozsah incidentu, zabrániť ďalšiemu šíreniu, odstrániť útočníka z prostredia a podporiť bezpečnú obnovu prevádzky.
Dokáže teda obrana držať krok s útočníkmi?
Áno. Ale nie vtedy, ak proti strojovej rýchlosti útoku postavíme výhradne manuálnu reakciu.
Detekcia, korelácia, triáž a časť reakcie musia pri moderných útokoch prebiehať v minútach, nie v hodinách. Tam, kde je reakcia jednoznačná a jej riziko kontrolované, musí nastúpiť automatizácia.
Naopak, pri kritických systémoch, citlivých dátach alebo rozhodnutiach s významným dopadom na prevádzku zostáva nenahraditeľný ľudský úsudok.
Kybernetická odolnosť preto nestojí na voľbe medzi človekom a strojom. Stojí na správnom rozdelení ich úloh: stroj reaguje tam, kde rozhoduje rýchlosť. Človek rozhoduje tam, kde záleží na kontexte, dôsledkoch a zodpovednosti.
Presne týmto smerom rozvíjame aj bezpečnostné služby Alanata. Hranica medzi tým, čo môže byť automatizované a čo musí zostať pod kontrolou experta, sa bude ďalej posúvať. Úlohou modernej bezpečnostnej prevádzky je vedieť ju posúvať bezpečne.
Otázka pre organizácie preto už neznie iba, či dokážu kybernetický útok odhaliť.
Dokážu naň reagovať skôr, než útočník dosiahne svoj cieľ?
Chcete vedieť viac o riešeniach pre kybernetickú a informačnú bezpečnosť, ktoré poskytujeme?
Chcete vedieť viac o riešeniach pre kybernetickú a informačnú bezpečnosť, ktoré poskytujeme?
Prečítajte si viac_
