Postřehy z bezpečnosti: AI jako pomocník, záškodník i dobrodruh

Rekordní podvod připravil hradeckou Správu nemovitostí o 46 milionů korun

Správa nemovitostí Hradec Králové se stala obětí jednoho z největších podvodů svého druhu v Česku. Podvodníci připravili městskou organizaci přibližně o 46 milionů korun, když zaměstnankyni přesvědčili, že finanční prostředky na účtech jsou v ohrožení. Vystupovali přitom jako policisté a pracovníci České národní banky a pomocí psychického nátlaku ji přiměli převést peníze na účty, které sami ovládali.

Podle dosavadních informací byly peníze odeslány v několika transakcích bez vědomí vedení organizace i města. Policie případ vyšetřuje jako podvod a uvedla, že jde o dosud nejvyšší škodu způsobenou v České republice podvodem založeným na legendě o falešném policistovi nebo bankéři. Město zároveň zahájilo interní audit, který má objasnit, jak mohlo dojít k obejití kontrolních mechanismů. Prověřovat se budou také bezpečnostní procesy ve všech městských příspěvkových organizacích.

Kauza už měla i personální dohru. Ředitelka Správy nemovitostí Jaroslava Bernhardová rezignovala a převzala manažerskou odpovědnost za vzniklou situaci. Dočasným vedením organizace byl pověřen ředitel Technických služeb Hradec Králové Tomáš Pospíšil. Případ je dalším důkazem, že největší hrozbou často nejsou technické zranitelnosti, ale sociální inženýrství. Útočníci využívají důvěru obětí, vytvářejí časový tlak a vyvolávají pocit naléhavosti, aby je přiměli jednat bez ověření informací.

Policie proto opakovaně upozorňuje, že její příslušníci ani zaměstnanci České národní banky nikdy nevyžadují převod peněz na „bezpečné účty“ ani podobným způsobem nemanipulují s financemi občanů či institucí.

Bit2Watt – aneb jak vypnout rozvodnou síť elektřiny

Datová centra, ve kterých jsou provozovány velké jazykové modely (souhrnně označované za umělou inteligenci), dnes představují značnou zátěž pro elektrickou síť již pouhým svým provozem. Ve velkém jsou zde provozovány servery vybavené mnoha čipy, které se označují zkratkou GPU. Původně byly vyvinuty pro vykreslování grafiky (odtud jejich název – Graphics Processing Unit) a vyznačují se architekturou optimalizovanou pro masivní paralelní zpracování úloh.

Stovky až tisíce jednotlivých výpočetních jednotek (jader) mohou provádět stejnou operaci na velkém množství dat současně. Tato vlastnost se ukázala jako klíčová při trénování a provozování jazykových modelů. Například neuronová síť při zpracování obrazu nebo textu provádí miliardy velmi podobných matematických operací, kdy vstupní data porovnává s obrovskou tabulkou vah a dochází při tom k násobení matic, vektorovým operacím atd., kde na samotném množství souběžně probíhajících operací zásadně závisí doba výpočtu. 

Typický server pro AI s několika výkonnými GPU může mít spotřebu elektřiny i několik kilowattů, celé AI datové centrum může mít pak odběr v řádu desítek až stovek megawattů. Velmi netradiční úhel pohledu na tuto skutečnost zaujali tři výzkumníci z čínské Zhejiang University ve své studii, aktuálně přijaté k prezentaci na CHES 2026, hardwarově-bezpečnostní konferenci organizované Mezinárodní asociací pro výzkum kryptografie IACR.

Autoři si kladou jednoduchou otázku: Lze čistě výpočetní činnosti GPU, tedy legitimní pracovní zátěž, zneužít k destabilizaci energetické infrastruktury?  A pokud půjdeme rovnou k závěru jejich snažení – odpověď je ANO (byť zatím v čistě teoretické rovině). Cloudový zákazník, využívající pouze běžný přístup ke GPU, tedy bez zneužití jakékoli zranitelnosti a bez neoprávněného průniku do systémů, může způsobit, že odběr energie datového centra bude kolísat dostatečně rychle na to, aby ohrozil stabilitu elektrické sítě, ke které je připojeno.

Princip spočívá v tom, že spotřeba energie GPU přímo závisí na právě prováděných výpočtech. Při plném vytížení jader spotřeba prudce vzroste, zatímco při přechodu do nečinnosti výrazně klesne. Pokud se mezi těmito dvěma stavy cíleně přepíná, vzniká řiditelné kolísání odběru elektrické energie. Výzkumníkům se podařilo dosáhnout změn s frekvencí přesahující 6 kHz,  tedy 6 000 změn úrovně odběru za sekundu. Studie popisuje dva způsoby, jak toho dosáhnout, a oba se liší mj. i tím, jak snadno jsou odhalitelné. První využívá speciálně vytvořenou výpočetní úlohu, kterou by ovšem poskytovatel cloudových služeb mohl být v budoucnu schopen detekovat a zabránit jejímu spuštění.

Druhý přístup, jehož odhalení je podstatně obtížnější, ukrývá požadované změny spotřeby do běžného procesu trénování modelu umělé inteligence, kde splývají s normálním průběhem výpočtů. Ani jedna z metod nevyžaduje žádné zvláštní oprávnění v přístupu k prostředkům, protože cloudový zákazník si vlastní výpočetní úlohy běžně řídí.

Jediné GPU samo o sobě podle autorů nepředstavuje žádné riziko, nebezpečí vzniká až při koordinovaném využití velkého množství zařízení. Studie modeluje scénář, ve kterém 1000 GPU dokonale synchronizovaně mění svůj odběr energie v malé elektrické síti, napájené z 90 % fotovoltaickými zdroji s bateriovými úložišti. V takto simulovaném případě se elektrická síť stává nestabilní, dochází k výraznému zvýšení harmonického zkreslení (THD, Total Harmonic Distortion) v charakteristice průběhu proudu a napětí a také k nadměrnému tepelnému zatížení přenosové soustavy. Ano, jde zde o extrémně nevýhodný scénář, ovšem i při aplikaci stejného modelu na simulaci evropské přenosové soustavy vedla takto vyvolaná lokální porucha k řetězové reakci, která způsobila odpojení přibližně 80 % celkové zátěže.

Je však třeba opakovaně zdůraznit zásadní skutečnost, že jde o výsledek jedné konkrétní simulace založené na velmi nepříznivých předpokladech, nikoli o předpověď skutečného chování elektrické sítě. Celý scénář navíc předpokládá, že se podaří dosáhnout téměř dokonalé synchronizace velkého počtu cloudových GPU, což sami autoři označují za dosud spíše nevyřešený problém. Žádný reálný systém nebyl v rámci výzkumu ovlivněn, vše se odehrávalo jen v laboratorních podmínkách.

Důvodem, proč však nelze výsledky považovat pouze za akademickou hru, je skutečnost, že fyzikální princip, na kterém jsou založeny, byl již dříve popsán a následně v realitě pozorován. V roce 2025 společnosti Microsoft, OpenAI a NVIDIA upozornily, že synchronizované změny odběru elektrické energie při rozsáhlém trénování modelů umělé inteligence mohou poškodit infrastrukturu elektrické sítě, pokud se jejich frekvence shoduje s kritickými frekvencemi distribuční soustavy. Na obdobné riziko upozornila při trénování modelu Llama 3 také společnost Meta. Elektrická síť v USA již navíc zažila podobnou situaci, byť způsobenou neúmyslně. V červenci 2024 vyvolala porucha v Severní Virginii v oblasti s vysokou koncentrací datových center náhlé odpojení přibližně 1 500 MW zátěže. Regulační orgány tehdy konstatovaly, že nedošlo k ohrožení stability soustavy, současně však zřídily pracovní skupinu, která má zkoumat rizika spojená s rychle rostoucím počtem energeticky náročných datových center.

Autoři studie dále upozorňují i na možný zpětný dopad poruch elektrické sítě na samotnou výpočetní infrastrukturu. Stejné elektrické namáhání, které destabilizuje síť, může způsobit přehřívání serverů a aktivaci jejich tepelných ochranných mechanismů. Výsledkem může být odstavení serverů z provozu, tedy vlastně útok typu Denial of Service (DoS) vyvolaný problémy v napájení.

Nejproblematičtější skutečností však je, že neexistuje žádná konkrétní hardwarová ani softwarová chyba, kterou by bylo možné jednoduše opravit, a problém tím vyřešit. Monitorovací systémy v rozvodných sítích vzorkují spotřebu energie příliš pomalu na to, aby dokázaly zachytit takto rychlé změny odběru. Problém vězí hluboko v samotné architektuře moderních systémů – velmi rychle se měnícím zatížení GPU v elektrických sítích s velkým množstvím střídačů elektrické energie u obnovitelných zdrojů. Datová centra a elektrickou infrastrukturu provozují odlišné organizace, používají různé monitorovací nástroje a každá strana odpovídá pouze za vlastní oblast.

Pokud se v budoucnu ukáže zde naznačený problém jako reálná hrozba, podle autorů studie budou nutná ochranná opatření jak na straně datových center, tak na straně elektrické sítě. Příslušná technická a režimová opatření na obou stranách prý již minimálně teoreticky existují, ale jejich vzájemné propojení a koordinace zatím zůstávají výzvou.

Dolphin X: nový infostealer používá AI k třídění obětí podle rizikovosti

Výzkumník z Varonis Threat Labs (analytik Daniel Kelley) identifikoval nový Windows infostealer a remote access trojan (RAT) s názvem Dolphin X. Malware je nabízen na kyberzločineckém fóru prodejcem vystupujícím pod přezdívkou „Kontraktnik“ jako univerzální all-in-one nástroj – kombinuje funkce infostealeru, RAT, HVNC (Hidden Virtual Network Computing) a DDoS botnetu. Operátorský panel podle inzerátu obsahuje 329 funkcí rozdělených do deseti kategorií, což z Dolphin X dělá jeden z komplexnějších nástrojů tohoto typu, se kterými se Varonis v poslední době setkal.

Remote build a mutation engine

Zajímavým architektonickým prvkem je způsob, jakým vzniká samotný agent. Operátorský panel je desktopová aplikace s konfiguračním průvodcem, ale binárka se nekompiluje lokálně – nastavení C2 adresy, instalační cesty, persistence a evasion metod se odešlou na backend ( backend.thedolphinx[.]top:8443), kde teprve dojde ke kompilaci. Tím prodejce zároveň získává kontrolu nad tím, jak výsledná binárka vypadá.

Na to navazuje volitelný mutation engine se třemi úrovněmi (dvě hlubší jsou zamčené za PRO plánem, engine je ve výchozím stavu vypnutý):

• nejnižší úroveň přepisuje PE timestampy, Rich header a section padding – tedy přesně ta místa, na která se často spoléhají křehká YARA pravidla a hash-based blocklisty,
• střední úroveň míchá import table, čímž se mění import hash mezi jednotlivými buildy,
• nejvyšší úroveň slibuje přepis control flow, substituci instrukcí a re-encryption vložených řetězců novým klíčem pro každý build.

Cílem je znesnadnit detekci založenou na statických signaturách a stabilních byte patternech.

Rozsah sběru dat a AI Profiler

Z pohledu obránců je klíčové číslo 300+, tolik aplikací spadá pod kategorii credential-looter. Do jednoho archivu dokáže Dolphin X posbírat přihlašovací údaje z devíti prohlížečů, více než 100 wallet extensions, 65 desktopových kryptopeněženek, 10 password managerů a 30 cloudových CLI nástrojů, k tomu SSH klíče, soubory .env a cloud tokeny. Na vývojářských strojích tak hrozí kompromitace polozapomenutých účtů s vysokým oprávněním a přístupem do cloudových konzolí, CI/CD pipeline i produkčních systémů.

Nejvýraznější (a nejnovější) funkcí je ale tzv. AI Profiler, umístěný v surveillance tabu panelu. Prodejce jej popisuje jako AI-based behaviorální profiler s app usage trackingem, risk scorem a denním souhrnem. V praxi jde o automatizovanou triage vrstvu – při stovkách či tisících infikovaných strojů by ruční prioritizace obětí byla prakticky nezvladatelná, takže AI Profiler analyzuje využívané aplikace, browsing aktivitu a nainstalovaný software a každé oběti přiřadí rizikové skóre.

Útočníci pak dostávají denní souhrny se seřazenými profily obětí, což jim umožňuje rychle najít vývojářské stanice, uživatele kryptoměn nebo přístupy do firemních cloudových prostředí. Varonis zařazuje Dolphin X do širšího trendu integrace AI do crimeware nástrojů, po boku dříve popsaných SpamGPT a Bluekit.

Dolphin X ukazuje, kam se posouvá trh s crimeware-as-a-service: kombinace širokých možností sběru přístupových údajů (včetně DevOps a cloud tokenů), server-side polymorfismu pro obcházení detekce a AI-driven prioritizace obětí dělá z tohoto nástroje relevantní hrozbu zejména pro firemní prostředí a vývojářské týmy.

Varonis shrnuje reakci bezpečnostních týmů do dvou hlavních bodů:

1. Minimalizovat dlouhodobě platné přístupové údaje na disku – zejména se vyhnout projektovým adresářům a lokálnímu credential store. Infostealery jsou navržené tak, aby v jednom průchodu sebraly vše, co najdou, takže v případě infikace lze cokoliv uložené lokálně považovat za vyzrazené.
2. Zaměřit detekci na chování, ne na signatury souborů – například explorer.exe běžící pod non-defaultní desktopovou session je silný indikátor HVNC session bez ohledu na to, jak je binárka zabalená nebo jaký má hash.

Modely OpenAI při testování prolomily sandbox a napadly Hugging Face

Společnost OpenAI zveřejnila podrobnosti o neobvyklém bezpečnostním incidentu, při kterém její modely GPT-5.6 Sol a dosud nevydaný výkonnější model během interního testování pronikly do infrastruktury společnosti Hugging Face. Modely byly testovány na schopnost vytvářet funkční exploity ze známých zranitelností pomocí platformy ExploitGym, vyvinuté akademiky z University of California, Arizona State University a Institutu Maxe Plancka. Každá z téměř 900 úloh obsahuje popis reálné zranitelnosti a izolované prostředí se zranitelnou aplikací. Úkolem modelu nebylo chybu objevit, ale vytvořit funkční exploit, kompromitovat simulovaný systém a získat takzvaný flag, podobně jako v soutěžích typu Capture the Flag (CTF). Pro účely experimentu běžely modely s výrazně omezenými bezpečnostními restrikcemi, aby bylo možné co nejpřesněji vyhodnotit jejich schopnosti při vývoji a řetězení útočných technik.

Namísto řešení jednotlivých úloh však modely vyhodnotily, že nejrychlejší cestou k lepšímu výsledku bude získat referenční data použitá při vyhodnocování ExploitGym. Prvním krokem byl únik z izolovaného sandboxu: modely identifikovaly a zneužily dosud neznámou zranitelnost v interně provozovaném cache proxy serveru třetí strany, který sloužil jako lokální repozitář softwarových balíčků a představoval jediný povolený komunikační kanál z testovacího prostředí. Následně provedly eskalaci oprávnění, pohybovaly se napříč interní sítí OpenAI a získaly přístup k serveru s přímým připojením k internetu.

Dalším cílem se stala platforma Hugging Face, protože modely usoudily, že právě zde mohou být uložena data související s ExploitGym. Vytvořily proto speciálně upravený dataset a nahrály jej na platformu. Jakmile jej infrastruktura Hugging Face začala zpracovávat, podařilo se zneužít dvě zranitelnosti umožňující spuštění kódu v systému. Agent tak získal cloudové přihlašovací údaje a následně se pohyboval v interních sítích. Podle analýzy Hugging Face využíval výpočetní kapacitu napadené infrastruktury k vytváření krátkodobých sandboxů, ve kterých prováděl jednotlivé úkoly. Během útoku vykonal více než 17 000 koordinovaných akcí a vlastní command-and-control infrastrukturu průběžně přesouval mezi veřejně dostupnými službami.

Incident nejprve zveřejnila společnost Hugging Face jako kompromitaci produkční infrastruktury dosud neznámým autonomním AI agentem. Až následná analýza logů v OpenAI ukázala, že za útokem stály její interně testované modely. OpenAI následně společnost Hugging Face kontaktovala a incident potvrdila. Incident představuje první veřejně zdokumentovaný útok, při kterém autonomní AI systém samostatně naplánoval a provedl celý útočný řetězec – od nalezení nové zranitelnosti přes únik ze sandboxu a laterální pohyb v síti až po kompromitaci infrastruktury třetí strany.

Ve zkratce

• V říjnu skončí Extended Security Update program pro Exchange 2016 a 2019
• Vyhledávač BING měl na prvních pozicích falešné Claude AI weby šířící malware 
• Falešný plugin pro Notepad++ šíří malware 
• Během dvou dnů bylo pro linuxové jádro zveřejněno 432 zranitelností 
• Chyba rozšíření Adobe pro Chrome umožňovala webům přístup k soukromým chatům ve WhatsAppu

Pro pobavení

O seriálu

Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a bezpečnostního týmu CESNET-CERTS sdružení CESNET, bezpečnostního týmu CDT-CERT provozovaného společností ČD - Telematika a bezpečnostních specialistů Jana Kopřivy ze společnosti Nettles Consulting a Moniky Kutějové ze sdružení TheCyberValkyries. Více o seriálu…