Cyberbezpieczeństwo napędzane AI: nowa fala ochrony firm 

„Cyberbezpieczeństwo AI" to nie osobny produkt i nie osobna kategoria incydentów. To te same zasady ochrony, które już stosujesz, zastosowane do ataków, których skala, szybkość i koszt po stronie przeciwnika zmieniły się, bo ktoś użył modelu językowego. Najważniejszy wniosek z kilkunastu źródeł: te ataki nadal zostawiają ślady, a większość firm tych śladów nie wykorzystuje.

Co właściwie oznacza „cyberbezpieczeństwo AI"?

To określenie ma w branży dwa znaczenia. Pierwsze: AI jako dźwignia ataku - model skraca czas przygotowania phishingu i obniża koszt ataku o rząd wielkości. W tym znaczeniu nie kupujesz nic, to strona przeciwnika. Drugie: AI jako element obrony - analiza zachowania użytkownika, korelacja zdarzeń w logach, rozpoznawanie sfabrykowanego wideo albo głosu.

Moje stanowisko jest trzecie: incydent wywołany przez AI nie jest osobną kategorią zdarzeń. Nie ma „ataku na AI", który wymaga osobnego zestawu narzędzi. Jest phishing, jest przejęcie konta, jest nieautoryzowany przelew - a sygnały są te same, kiedy napisał je człowiek, a kiedy napisał je model. AI zmienia skalę ataku, nie zmienia kategorii zdarzenia.

Co AI zmieniło po stronie ataku

Badanie przywołane przez DeepStrike wskazuje, że ponad 80% zidentyfikowanych wiadomości phishingowych z końca 2024 i początku 2025 roku miało formę asystowaną przez AI; źródło pierwotne nie jest nazwane, więc to orientacja, a nie pomiar. Kampanie phishingowe z AI mają być o 24% skuteczniejsze od klasycznych, a automatyzacja modelami obniża koszt ataku o ponad 95% (atrybut: Harvard Business Review).

Verizon wskazuje, że 60% naruszeń bezpieczeństwa ma źródło w błędzie ludzkim, a średni koszt włamania phishingowego w organizacji to 4,88 mln USD (Data Breach Report 2024). Przy obniżeniu kosztu ataku o ponad 95% przestaje chodzić o duże firmy. Chodzi o wszystkie.

Incydent Microsoft: załącznik, który udawał raport

Microsoft opisał 24 września 2025 roku incydent z 18 sierpnia, wykryty z przejętego konta małej firmy. Przynętą był plik „23mb - PDF- 6 pages.svg" udający sześciostronicowy PDF. W środku: fałszywy „Business Performance Dashboard" niewidoczny dla człowieka, bo elementy miały przezroczystość zerową. Terminy typu przychód czy ryzyko sklejono w atrybut ukrytego elementu tekstowego w SVG, a payload odtwarzał się przez JavaScript.

Safe Links z weryfikacją w momencie kliknięcia, automatyczne czyszczenie poczty w czasie zera, ochrona chmurowa blokująca większość nowych i nieznanych wariantów oraz wymuszanie uwierzytelniania odpornego na phishing przez Conditional Access w Entra ID.

Trzy detale pokazują, ile „pomocy" daje AI napastnikowi: adres nadawcy pokrywał się z adresem odbiorcy, właściwi odbiorcy zostali ukryci w polu BCC, a na stronie znalazło się fałszywe CAPTCHA, które budowało zaufanie i opóźniało reakcję. Wszystko wykryto z konta małej firmy, nie z dużego SOC.

Poczta w Twoim tonie i głos, który udaje prezesa

Napastnik zbiera publiczne wpisy prezesa i materiały prasowe, wrzuca je do modelu, a model generuje wiadomość w jego stylu z prośbą do CFO o pilny przelew do nowego dostawcy, powołując się na nazwę prawdziwego projektu. W 2025 roku FBI ostrzegało przed kampanią, w której syntetyczne komunikaty głosowe podszywały się pod wyższych urzędników Stanów Zjednoczonych. Do tego sklonowane numery obsługi klienta i deepfake wideo do obchodzenia weryfikacji tożsamości przy onboardingu finansowym. Ta sama technologia trafia przy tym do zwykłych skrzynek - opisałem to szerzej przy automatycznym przetwarzaniu maili

W Hong Kongu w 2024 roku pracownik finansowy korporacji przekazał 25 mln USD po wideokonferencji, na której uczestnicy - w tym rzekomy CFO - byli w całości sfabrykowani. Kwotę potwierdzają trzy źródła.

Ekonomia ataku według Group-IB, raport z marca 2025 roku: deepfake wideo na zlecenie kosztuje od 5 do 50 USD zależnie od jakości wykonania. Dark LLM, czyli modele sprzedawane przez własne platformy, kosztują od 30 do 200 USD miesięcznie, z co najmniej trzema aktywnymi dostawcami. Szkody z incydentów deepfake w II kwartale 2025 roku sięgnęły 350 mln USD, ale to liczba z raportu firmy Resemble.ai, czyli dostawcy narzędzia.

Dla polskiego czytelnika punkt odniesienia daje raport KPMG z 2023 roku: 66% firm w Polsce odnotowało przynajmniej jeden incydent naruszenia bezpieczeństwa, a 34% zauważyło wzrost intensywności prób cyberataków. To dane sprzed fali generatywnego AI, czyli punkt wyjścia, nie dzisiejszy atak.

Granica, o której trzeba mówić wprost

Trzy niezależne źródła zgadzają się w jednym punkcie: w pełni autonomiczna przestępczość napędzana przez AI jeszcze nie istnieje. Nie zaobserwowano samodzielnie działającego złośliwego oprogramowania napędzanego przez agentów. AI przyspiesza i skaluje ataki, ale nie zastępuje atakujących: grupy trenują modele, żeby mutować malware tak, aby każda kopia miała inną sygnaturę.

Nie oznacza to, że można odetchnąć. W podziemiach pojawia się platforma call center oparta na SIP z własnym modelem językowym, która analizuje rozmowy oszustów na żywo i podpowiada operatorom perswazyjne odpowiedzi. Źródło opisuje to wprost: AI działa jako trener w czasie rzeczywistym, a nie jako zamiennik człowieka.

Widoczność obrony jest ograniczona, bo znaczna część tej infrastruktury jest samodzielnie hostowana i zaprojektowana tak, żeby nie zostawiać śladu. Twoje statystyki zawsze pokażą mniej niż rzeczywistość.

Co mimo wszystko działa w obronie

Sygnały niezależne od tego, kto napisał kod

Microsoft stawia to dość mocno: sygnały detekcji są w dużej mierze niezależne od tego, czy kod ataku napisał człowiek, czy model. Zdanie będące kluczem całej historii: zagrożenia wzmocnione przez AI ewoluują, ale nie są niewykrywalne.

Cztery wymiary, w których system bezpieczeństwa patrzy na atak niezależnie od narzędzia: infrastruktura ataku (domena, hosting), taktyka i technika (przekierowania, bramy CAPTCHA), strategia podszywania oraz kontekst wiadomości i wzorce dostawy. Ten ostatni wymiar zadziałałby sam w opisanym incydencie: e-mail na własny adres, odbiorcy w BCC.

Druga warstwa to artefakty: kod obfuskowany przez model zostawia ślad. W analizowanym przypadku wyróżniono pięć wskaźników: nadmiernie opisowe nazewnictwo, zbyt modularna struktura kodu, generyczne komentarze, szablonowe zaciemnianie oraz nietypowe użycie sekcji CDATA. Sztuczne artefakty same stają się sygnałami wykrywania - Security Copilot orzekł o kodzie z tego przypadku, że jest syntetyczny.

Po stronie korelacji źródła wskazują dwie klasy narzędzi. UEBA, czyli analiza zachowania użytkowników, flaguje nietypowe akcje: logowanie z nowej lokalizacji, seria nieudanych prób, masowy dostęp do danych. SIEM zbiera i koreluje zdarzenia bezpieczeństwa z całej infrastruktury, a XDR to szersza wersja tego pomysłu, obejmująca też stacje robocze i pocztę. Liczy się korelacja, nie pojedynczy alert.

Gdzie obrona nie wystarczy: zaufanie na żywo

Najpoważniejszy rozwój to nie deepfake w nagraniu, tylko deepfake na żywo: wideo przesyłane w czasie rzeczywistym, w którym syntetyczna osoba mówi i reaguje naturalnie w trakcie spotkania. Klasyczne strategie wykrywania oszustw mają trudności, gdy zaufanie zostaje ustanowione wizualnie i słuchowo na żywo. To warstwa, w której technologia przegrywa, bo nie chodzi o rozpoznanie obrazu, tylko o moment zatrzymania transakcji.

Detektory istnieją i mają kilka kategorii: narzędzia do wideo, do głosu, modele wpinane w Teams, Zoom, Meet czy Webex. Żaden pojedynczy produkt nie łapie każdego typu manipulacji, więc wdrożenia wymagają podejścia warstwowego. Ale uczciwie: benchmarków skuteczności tych narzędzi w moich źródłach nie ma. Jeśli usłyszysz „wykrywamy 99% deepfake'ów", zapytaj o wskaźnik fałszywych alarmów - zbyt czułe narzędzie generuje zmęczenie alarmami.

Rynek jest wczesny. Tekst z października 2024 roku zauważa, że większość firm nie włącza detekcji deepfake do swojej architektury i zwykle szuka rozwiązań dopiero po ataku. Ten sam autor wspomina, że roczne kontrakty na takie narzędzia sięgają w górę 250 tys. USD - to górna krawędź rynku, nie typowa cena.

Procedura bije detektor

Szkolenia też muszą się zmienić. Jeśli ktoś Ci powie, że Twoi ludzie mają szukać literówek, to masz poradę sprzed 2016 roku. Uczaj rozpoznawania red flagów opartych na kontekście, ścieżce eskalacji i sceptycyzmu wobec próśb opartych na pilności i autorytecie. Sygnały z źródeł: ruchy ust niesynchronizowane z mową, nienaturalna intonacja, nietypowa pilność, prośba o przelew wyłącznie przez wideo albo głos.

Ale najmocniejsze źródła mówią o czymś innym. Ustal hasła słowne dla telefonów o wysokim ryzyku, wymagaj podwójnej akceptacji transakcji i oddzwaniaj na numery znane przy każdej pilnej prośbie. W jednym z opisanych przypadków próba nie przeszła, bo pracownik polegał na wiedzy prywatnej, której deepfake nie umiał odtworzyć. W drugim atak się powiódł nie dlatego, że technologia była nie do wykrycia, tylko dlatego, że nie było procedury weryfikacji transakcji zatwierdzanej przez wideo.

Czy 2FA wciąż wystarczy?

Microsoft od dawna podkreśla, że uwierzytelnianie wielofaktorowe potrafi powstrzymać nawet 99% ataków polegających na przejęciu konta. Problem leży w słowie „potrafi", bo kod SMS albo powiadomienie push można przechwycić, a hasło zastąpić podszywem po kliknięciu. Verizon DBIR 2025 podaje, że aż 88% ataków na aplikacje webowe opiera się na skradzionych danych uwierzytelniających.

Odpowiedzią jest klucz sprzętowy FIDO2: otwarty standard uwierzytelniania oparty na silnej kryptografii, wspierany przez największych dostawców systemów operacyjnych i przeglądarek. W odróżnieniu od haseł, uwierzytelniaczy RFID czy kodów SMS nie ujawnia żadnych danych uwierzytelniających i działa wyłącznie w prawidłowej domenie, więc fałszywa strona nie dostanie niczego do wykorzystania. Klucze z włączoną weryfikacją użytkownika, czyli PIN-em lub biometrią, spełniają najwyższy poziom AAL3 wg NIST SP 800-63B.

Uwaga o źródle: opis FIDO2 pochodzi z wpisu sponsorowanego na sekurak.pl, więc traktuję go jako zdanie zainteresowanej strony. Pod tekstem znalazłem komentarz, że RFID jako element uwierzytelniania jest błędem, bo identyfikator można skopiować. Zgadzam się: karta ma sens tam, gdzie kontrola dostępu już istnieje, ale jako jedyne co stoi między napastnikiem a Twoim rachunkiem - słabo.

Co realnie wdrożyć w firmie

Kolejność dla średniej firmy wygląda tak. Po pierwsze, uwierzytelnianie odporne na phishing dla kont z realną władzą: administracja domeny, poczta, finanse, płatności. Polityka siły uwierzytelniania w Conditional Access pozwala wymusić FIDO2 dla pracowników i użytkowników zewnętrznych na krytycznych aplikacjach.

Po drugie, konfiguracja poczty: Safe Links z weryfikacją w momencie kliknięcia, automatyczne czyszczenie zagrożonych wiadomości w czasie zera, SmartScreen w przeglądarce firmowej i uwierzytelnianie nadawcy przez SPF, DKIM i DMARC. Wskazówki konfiguracyjne Microsoftu traktuję tu jak dokumentację produktu, nie jak marketing.

Po trzecie, EDR, czyli Endpoint Detection and Response: narzędzie do wykrywania podejrzanych działań na stacjach roboczych i serwerach. Atakujący często korzystają z legalnych narzędzi systemowych, skryptów, makr albo działają etapami, więc dla klasycznego antywirusa taka aktywność nie musi wyglądać podejrzanie. Próg użyteczności podaję z ostrożnością: w organizacji liczącej kilkanaście do kilkuset urządzeń EDR zwykle zaczyna uzasadniać swoją obecność. Warunek ważniejszy niż cena: kto to będzie obsługiwał? Cen w złotówkach nie podam, bo w moich źródłach ich nie ma Cen w złotówkach nie podam, bo w moich źródłach ich nie ma.

Po czwarte, krótka, spisana i przetestowana procedura: hasło słowne, podwójna akceptacja przelewu, oddzwanianie na numery znane, jedna ścieżka eskalacji zamiast dziesięciu. Po piąte, szkolenie o kontekście, a nie o literówkach.

Shadow AI: narzędzia poza twoją procedurą

Shadow AI oznacza korzystanie ze sztucznej inteligencji poza zatwierdzonymi procedurami firmy: prywatne chatboty, wtyczki, generatory kodu, boty spotkaniowe, agenci działający poza IT. Jest druga strona problemu i jest mniej sexy, przez co łatwiej ją pominąć. Często to ta sama pomyłka, o której pisałem przy porównaniu automatyzacji z AI.

Dane podaję z adnotacją: źródło nie wskazuje raportu, instytucji ani metodologii. Zestaw podaje 54% pracujących w Polsce wykorzystujących AI do pracy, z czego 90% sięga po narzędzia publicznie dostępne, a ponad połowa nie mówi o tym głośno pracodawcy. To orientacja o skali zjawiska, nie pomiar. Ten sam rachunek, tylko w drugiej skali, opisałem przy prostym rachunku ROI

Sedno jest niezależne od procentów: w razie wycieku danych klientów obowiązki prawne i odpowiedzialność organizacji pozostają takie same, niezależnie od źródła incydentu. Nikt nie zapyta, czy dane wyciekły przez Twojego dostawcę, czy przez pracownika, który wkleił je do prywatnego czatu.

Cztery kroki: polityka użycia, uproszczenie zatwierdzania tak, żeby legalne narzędzie było wygodniejsze niż nielegalne, bezpieczne środowisko do eksperymentów oraz współpraca z platformami zamiast obchodzenia ich. Do tego audyt: zapytaj działy, z jakich chatbotów, generatorów kodu, wtyczek i botów korzystają, a potem przeanalizuj logi sieciowe, serwery proxy i przepływ danych. Bo shadow AI nie zniknie dzięki zakazom, znika dzięki wygodnej alternatywie.

Co musisz wiedzieć o NIS2 w Polsce

Dyrektywa NIS2, formalnie dyrektywa (UE) 2022/2555, ustanawia jednolite ramy prawne w celu utrzymania cyberbezpieczeństwa w 18 sektorach krytycznych w całej Unii Europejskiej. Państwa członkowe miały czas na transpozycję do 17 października 2024 roku, a NIS 1 został uchylony z dniem 18 października 2024 roku. Zasięg jest szerszy, niż rzadko podaje się w marketingu.

Polska weszła w to nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa, uchwaloną 23 stycznia 2026 roku (Dz.U. 2026 poz. 252) i obowiązującą od 3 kwietnia 2026 roku. Pierwszy twardy termin to 3 października 2026 roku: samorejestracja online w wykazie KSC. Ustawa dzieli podmioty na dwa progi według wielkości i sektora. Wdrożenie systemu zarządzania to 12 miesięcy od objęcia podmiotu ustawą, a podmioty z wyższego progu dodatkowo przechodzą audyt bezpieczeństwa w ciągu 24 miesięcy.

Skala zaskakuje: szacunki Ministerstwa Cyfryzacji, przytoczone przez pośrednika, mówią o około 38 tysiącach podmiotów, w tym 11 tysiącach firm prywatnych. Kryterium wejścia to wielkość firmy, najczęściej zatrudnienie powyżej 50 osób, oraz sektor. Polskiego progu obrotu nie podaję, bo w moich źródłach występuje on bez kwoty.

Kary, które realnie grożą

Mam tu najmniej wątpliwości, bo kwoty zgadzają się w kilku źródłach. Pamiątajmy, że część nowych sankcji pieniężnych może być nakładana dopiero po upływie dwóch lat od wejścia ustawy w życie.

Kto odpowiada	Kwota	Podstawa
Podmiot z wyższego progu, w sektorze krytycznym	do 10 mln EUR albo 2% łącznego rocznego światowego obrotu	Dyrektywa NIS2; kwota potwierdzona w czterech niezależnych źródłach
Podmiot z niższego progu, w sektorze krytycznym	do 7 mln EUR albo 1,4% łącznego rocznego światowego obrotu	Dyrektywa NIS2; podaje to dwa z czterech źródeł, więc poziom traktuj ostrożniej
Kara ekstraordynaryjna w Polsce	do 100 mln zł	Gdy naruszenie wywoła bezpośrednie, poważne zagrożenie dla bezpieczeństwa państwa, porządku publicznego albo życia i zdrowia ludzi
Kierownik podmiotu osobiście	do 300% miesięcznego wynagrodzenia	Nowelizacja KSC; powierzenie obowiązków CISO-owi czy firmie zewnętrznej nie zdejmuje odpowiedzialności z kierownictwa

Poza pieniędzmi organy nadzoru mogą nakładać nakazy naprawcze i ostrzeżenia, czasowo zawiesić certyfikację usług, a w skrajnych przypadkach zakazać osobom odpowiedzialnym pełnienia funkcji kierowniczych. Komisja Europejska zwraca uwagę na odpowiedzialność najwyższego kierownictwa, czyli formalne przeniesienie odpowiedzialności z IT na zarząd.

Poziom egzekwowania za sam brak zgłoszenia do wykazu był zaskakująco niski: przez pierwsze dwa miesiące wpisało się 200 z 11 000 firm, czyli mniej niż 2%. Nie czytaj tego jako zachęty do zignorowania terminu 3 października. Czytaj jako informację, że administracja na razie idzie łagodnie.

UODO i AI Act: gdzie kończy się cyberbezpieczeństwo

UODO zapowiedziało webinarium na 30 września 2026 roku z udziałem prezesa Urzędu Mirosława Wróblewskiego oraz pani Pameli Krzypkowskiej z KRiBSI, poświęcone kompetencjom reagowania na naruszenia prywatności przez AI - w przykładzie podanym przez źródło są to deepfake'i. Dla administratorów danych tematami są piaskownice regulacyjne i listy pytań inicjalnych dr. hab. Dominika Lubasza z Uniwersytetu Łódzkiego.

Co istotne: w moich źródłach nie ma kwot kar za złamanie RODO ani AI Act, nie ma terminów AI Act i nie ma numerów artykułów ustawy KSC. Nie podam ich z pamięci, bo przy szybko zmieniających się przepisach to najszybsza droga do błędu, który potem kosztuje więcej niż brak odpowiedzi.

NIS2 a realne ryzyko z AI: gdzie są proporcje

Warto powiedzieć coś niewygodnego: NIS2 w moim zestawie źródeł nie jest ustawą o deepfake. Ona dotyczy zarządzania ryzykiem, ciągłości działania, szkoleń i terminowego zgłaszania incydentów - pierwsze ostrzeżenie w ciągu 24 godzin, pełna ocena w ciągu 72 godzin. To porządne ramy, ale nie odpowiadają na pytanie, co robić, gdy zadzwoni syntetyczny prezes z prośbą o przelew.

Dlatego rozdzieliłbym dwie kolejności. Papierową robotę robisz dlatego, że jest termin i są kary. Procedurę weryfikacji wdrażasz dlatego, że statystyka jest niewygodna niezależnie od klastra regulacyjnego: 66% polskich firm odnotowało incydent, 34% zauważyło wzrost prób. Koszt pierwszej jest policzalny, koszt drugiej widać dopiero wtedy, gdy jest za późno.

Czego nie da się kupić

Tę sekcję piszę jako granicę, bo marketing bez granic w tej branży jest normą.

Nie kupisz pojedynczego detektora deepfake, który domyka temat, ani benchmarków skuteczności - tych nie mam i nie zamierzam cytować liczb, których nie zweryfikowałem. Nie kupisz pewności, że model nie wygeneruje wideo Twojego CEO, bo to zdarza się za 5 do 50 USD. Nie kupisz gotowej odpowiedzi na incydent: organizacje bez scenariusza reagowania improwizują, a na to napastnik liczy.

Możesz natomiast kupić sprzęt, który działa: klucze FIDO2, konfigurację bezpieczeństwa poczty, licencje z ochroną chmurową oraz - co najważniejsze - czyjś czas na napisanie i przetestowanie procedury.

Plan na 30 dni, który da się wykonać samemu

Pierwszy tydzień: inwentaryzacja. Wypisz, kto ma dostęp do poczty, systemów finansowych i domeny. Sprawdź, czy uwierzytelnianie wielofaktorowe jest włączone wszędzie i jakiego rodzaju. Zapisz, nie powierzaj pamięci. Ten schemat działa też przy wdrożeniu AI w procesach - praktycznym planie na pierwszy miesiąc

Drugi tydzień: ustal i spisz hasło słowne, próg podwójnej akceptacji dla przelewów i zasadę oddzwaniania na numery znane. Przetestuj to na dziesięciu telefonach do pracowników, najlepiej z osobą, która nie wie, że to test. Jeśli ktoś nie potrafi zatrzymać rozmowy w trakcie, popraw procedurę zamiast wychowywać.

Trzeci tydzień: przejdź na uwierzytelnianie odporne na phishing dla kont uprzywilejowanych i finansowych, włącz Conditional Access tam, gdzie to możliwe, i sprawdź ochronę poczty: Safe Links z weryfikacją przy kliknięciu, automatyczne czyszczenie, uwierzytelnianie nadawcy.

Czwarty tydzień: zrób audyt shadow AI - nie jako represja, tylko jako ciekawostka. Zapytaj działy, z jakich narzędzi korzystają, i porównaj odpowiedzi z logami. Wyznacz jedną osobę odpowiedzialną za całość, bo bez właściciela wszystkie powyższe punkty wyglądają jak dokumentacja, a nie ochrona.

Na koniec jedno pytanie, które zostawiam sobie i Tobie: jeśli jutro dostaniesz prośbę o pilny przelew od osoby, którą znasz z nazwy, ale nie z głosu na żywo, czy masz dziś w firmie napisany sposób, w jaki to załatwisz? Jeśli odpowiedź brzmi „zadzwonię i dopytam", to masz procedurę. Jeśli brzmi „jakoś to ogarnę", to jeszcze nie.