Názory k článku Postřehy z bezpečnosti: AI jako pomocník, záškodník i dobrodruh

Skutečně je autorem těch dvou filmových políček Randall Munroe a vydal je pod licencí CC BY-NC 2.5?

Myslím, že by bylo užitečné, kdyby (asi po vyšetření) bylo o případu hradecké Správy nemovitostí zveřejněno víc informací. Napadá mne k tomu totiž několik otázek:

• Byla zaměstnankyně, která měla právo převádět peníze z podnikového účtu, proškolena ohledně bezpečnostních hrozeb týkajících se bankovních účtů? Každému, kdo nějaké takové školení absolvoval, by se měla v hlavě rozblikat výrazná červená kontrolka, když mu volá někdo údajně z banky, České národní banky nebo od Policie ohledně bankovního účtu; a ještě víc, když říká něco o chráněném účtu.
• Poskytuje banka možnost nastavení limitů na množství peněz převedených jedním člověkem za nějaký čas (za den, za týden)? Poskytuje možnost limitu výše jedné platby (asi ano)? Poskytuje možnost kombinovaných limitů, aby bylo možné převádět více menších částek, ale ne méně vyšších částek? Ve všech případech tak, aby převody přes tyto limity podléhaly kontrasignaci?
• Pokud banka ty limity poskytuje, byly nastavené?
• Proč tyto operace neodhalily interní kontrolní mechanismy banky?

Chápu, že pokud někdo o tomto typu útoku nikdy neslyšel, může mu podlehnout. (Pokud si někdo myslí, že jemu se nic takového stát nemůže, je na nejlepší cestě, aby nějakému podvodu podlehl.) Ale dneska by už snad každý, kdo má přístup k cizím penězům na bankovním účtu, měl o tomto typu útoků vědět.

Nastavení správných limitů může být obtížné, aby to neblokovalo běžný provoz – ale převést 46 milionů bez kontrasignace v časovém úseku pravděpodobně o dost menším, než jeden den, to je divné. Samozřejmě pokud se neobcházela kontrasignace, to také teoreticky může být problém.

Aniž bych znal větší podrobnosti, tak na několik těch dotazů se lze odpověď poměrně snadno dovtípit.
Vzhledem k tomu, že šlo Správu nemovitostí, tak ty limity musely být poměrně velkorysé - platby třeba za stavební práce mohou být klidně v milionech. Tomu nejspíš odpovídala i míra pozornosti, jakou takovým převodům všichni věnovali...
Takže ani pro banku nejspíš nešlo o nijak podezřelé transakce - rozhodně ne natolik, aby se někde rozezvučel alarm. Ani kumulovaný limit by zřejmě nepomohl - dá se předpokládat, že stejná pracovnice posílá různé větší částky všude možně...
Takže reálně zbývají dvě otázky:
1. byla ta pracovnice pořádně proškolená?
2. Kdo jí ty transakce schválil a jak?

Osobně bych si tipl:
1. Nebyla.
2. Schvaloval nějaký dovolenkový zástup a ve větším objemu transakcí mu to nebylo podezřelé.

Platba za stavební práce by měla podléhat kontrasignaci a měla by být na základě faktur. Vzhledem k tomu, že všude je zmiňována jen „pracovnice“, nemyslím si, že by ty platby potvrzoval někdo druhý.

Předpokládám (jen na základě zkušeností s jinými organizacemi), že platby zadává účetní, a hromadně předá ke schválení/kon­trasignaci. Ten druhý už faktury fyzicky nevidí a má k disposici v podstatě jen ty údaje, které jsou v tom příkazu napsané... (Respektive: nepřekvapilo by mne to.)

27. 7. 2026, 12:01 editováno autorem komentáře

Což je pak kontrola trochu k ničemu. Nicméně i u toho příkazu obvykle bývají třeba údaje identifikující přijatou fakturu, což v tomto případě asi nebylo.

Navíc všude se píše o obejití kontrolních procesů, takže buď tam žádná kontrasignace technicky vyžadována nebyla; nebo bylo zvykem tam sdílet možnost autentizace, pokud se používal nějaký prostředek, který to umožňuje.

Neviem ako je to v Cesku ale na Slovensku maju obce ucet v NBS (Narodna Banka Slovenska) a odtial si len prevadzaju male ciastky na ucet v komercnej banke na potrebny chodu miestneho uradu. Prevod z NBS moze urobit len starosta, pripadne poverena osoba a vzdy sa musi uvadzat presny ucel.

P.S. Nechapem ako mozu dovolit zarabat komercne banky na peniazoch obcanov co zaplatili dane.

Keby si vedel co stoji prevadzka toho bankoveho systemu v NBS asi by si radsej platil tomu komercnemu subjektu.

Ale NBS ma priblizne rovnake naklady ci nieco robi alebo nerobi, takze je lepsie ak nieco robi :-)

Tohle ale nebyl místní úřad (Magistrát), ale Správa nemovitostí, alias byťák (a taky provozují bazén, koupaliště, aquacentrum...).

Nejšťavnatější je OpenAI × Hugging Face: interní eval s vypnutými klasifikátory na zjištění stropu schopností, ne model utržený ze řetězu. Místo necelých 900 CTF úloh se přeorientoval na rychlejší cíl – ukrást odpovědi k ExploitGymu, učebnicový specification gaming s reálným zero-day a 17 000 akcemi. Nejlepší detail: Hugging Face odhalil neznámého agenta dřív, než OpenAI došlo, že je to jejich model – incident způsobila AI, odhalila ho AI, vyšetřovala ho taky AI. Z drobností mě pobavila fake Claude AI reklama v Bingu šířící malware – článek o pomocníkovi, záškodníkovi i dobrodruhovi tak dostal na konec podvodníka v jejím kostýmu. : ) Celkově z toho plyne nepříjemná symetrie: útok i obrana teď škálují podobným tempem, jen s jinou křivkou učení.

27. 7. 2026, 09:56 editováno autorem komentáře

konayashi maru

tedy 6 000 změn úrovně odběru za sekundu

Hmmm, vzpomínám si na můj milovaný AT case v němž jsem se dopracoval až k AMDčku. Miloval jsem jej, protože dokázal překlenout výpadek napájení plně vytíženého stroje v trvání přes 2 sekundy.

A proč to píšu? Protože houpání odběru 6 kHz by u správně koncipovaného zdroje měly přece překlenout kondenzátory.

Taky se mi jednou povedlo běžící počítač vytáhnout ze zásuvky a zapojit do jiné :-)

Tenkrát ty zdroje taky musely požrat špičku po zapnutí velkého CRT monitoru ve stejné dvojzásuvce. Takže ty kondíky dodávaly deset-dvacet wattů klidového odběru počítače klidně pár sekund.
(Mně se podařilo vypojit a zapojit prodlužku k PC + CRT. Vyrazilo to pojistky, ale dostal jsem šanci to PC ještě i vypnout vypínačem.)

Ale i ty kondenzátory je třeba dobít. To dobíjení asi není taková špička, ale pořád tam nějaké kolísání sítě bude.

Navíc, kolik měl ten PC spotřebu, když vydržel 2s jen z kondenzátorů? Jakou kapacitu bys potřeboval dnes pro ty výpočetní uzly?

ATX zdroj má hold-up time 17ms při 100% zátěži.
15ms se překlene z kondenzátorů, pak je shozen POWER_GOOD signál a generuje se NMI.
OS má pak 1ms na úklid před úplnou ztrátou napětí.

ATX 3.1 má hold-up už jen 12ms,
UPS musí do 10ms rozpoznat výpadek a spustit měnič.