Az AI-ügynökök biztonsága korábban úgy tűnt, hogy a jövő problémája: sok szervezet úgy telepítette a copilotokat, kódolást segítő eszközöket és autonóm munkafolyamatokat, hogy a legrosszabb eshetőség egy rossz tanács vagy egy hallucináció. Ez a szemlélet azonban megszűnt az első fél évben 2026-ban, amikor több jelentős sérülékenység és egy mérföldkőnek számító incidens a „modellel kapcsolatos biztonságról” a „infrastruktúra kompromittálására” helyezte a hangsúlyt.
Milyen környezetbe települnek az ügynökök?
A helyzetet jól jellemzi a CyberArk január 2026-os felmérése: 500 amerikai biztonsági szakemberből csak 1% vezette be teljesen a just-in-time privilégiumkezelést; ugyanakkor a válaszadók 91%-a szerint a privilegizált hozzáférés legalább fele továbbra is mindig aktív és állandó. Ezek az adatok megmutatják azokat a feltételeket, amelyek között az AI-ügynökök most működnek: széles körű, mindig aktív jogosultságok, minimális futásidejű felügyelet és olyan hitelesítő adatok, amelyek túlélnek bármilyen egyedi feladatot.
Ez nem jelenti azt, hogy minden ügynök túlzott jogosultságokkal fut; azt jelenti, hogy sok szervezet olyan környezetbe telepít ügynököket, ahol az állandó hozzáférés szabványos, a felfedezés hiányos, és a futásidejű autorizáció fejletlen.
Három korai felfedezés: a szanctionált eszközök hibái
Az első félévben három külön bejelentés ugyanezt a mintát tárta fel a támogatott ügynökeszközöknél: alapértelmezett állandó jogosultságok, illetve a konfigurációk megbízhatatlansága.
- Microsoft felfedezése: egy rosszindulatú weboldal képes volt elérni egy helyi MCP szolgáltatást az AutoGen Studio-ból és folyamatokat indítani a gazdagépen, hitelesítés nélkül, pusztán az oldal betöltésével.
- Wiz Research: az Amazon Q Developer automatikusan betöltötte és végrehajtotta az MCP konfigurációs fájlokat bármely megnyitott workspace-ből, így az ügynök megkaphatta a fejlesztő teljes AWS környezetéhez tartozó hitelesítő adatokat, ha a környezet és a konfiguráció ezt lehetővé tette.
- Cato AI Labs: egy zero-click prompt injection képes volt kitörni Cursor parancssandboxjából és közvetlenül elérni az alatta lévő operációs rendszert.
Különböző kódbázisok és cégek esetében a közös hiba ugyanaz: az ügynök megkapja az adott környezet által átadott jogosultságokat, és az eszközök megbíznak a lemezen található konfigurációkban. Az ügynök nézőpontjából minden művelet jogosult, mert az a konfiguráció szerint történik — a kérdés az, ki írta a konfigurációt, és ellenőrizte-e valaki.
Prompt injection immár nem csak a modell viselkedésének problémája: olyan rendszerekben, amelyek keverik a nem megbízható tartalmat, eszköz meghívást, helyi kontroll síkokat és erős jogosultságokat, a prompt injection az infrastruktúra-kompromisszum lánc részévé válhat.
Árnyékügynökök és a felfedezési probléma
Párhuzamosan a szanctionált eszközök kockázatával nőtt egy másik veszély: azok az ügynökök, amelyeket senki sem hagyott jóvá.
Felhasználási számok és jelentések azt mutatják, hogy az alkalmazkodás jóval meghaladta a nyomon követés képességét:
- A Verizon 2026 Data Breach Investigations Report-ja szerint az alkalmazottak nem jóváhagyott AI-eszközök használata háromszorosára nőtt, elérve a munkaerő 45%-át.
- A Saviynt CISO AI Risk Report-ja szerint a CISO-k 75%-a már felfedezett nem jóváhagyott AI-eszközöket éles környezetben.
- A Netwrix 2026 Data and Identity Security Report-ja kimutatta, hogy a szervezetek 76%-a nem kormányoz vagy monitoroz teljeskörűen nemhumán identitásokat, beleértve az AI-ügynököket.
Ezek az eredmények egy felfedezési problémára utalnak: az alkalmazotti AI-használat elterjedt, míg a formális leltár, tulajdonosi viszonyok, monitorozás és életciklus-szabályozás lemaradt.
Shadow IT korábban is probléma volt, amikor egy elszabadult SaaS-előfizetés jelentette; a Shadow AI tovább súlyosbítja a helyzetet, mert az ügynök nem csak adatot tárol: API-kat hív, döntéseket hoz és örökölheti a gazdagép jogosultságait. Egy nem jóváhagyott ügynök belső adatokhoz, nem megbízható bemenetekhez, külső kommunikációkhoz és eszközvégrehajtáshoz való hozzáférést kombinálhat olyan módon, ahogy egy önálló táblázat általában nem tud.
További technikai felfedezések
Két további bejelentés tovább világította a problémát:
- Adversa AI GuardFall: 11 nyílt forráskódú kódoló ügynökből 10 esetén találtak shell-interpretációs megkerülést; a védelem a nyers parancsszöveget vizsgálta, míg a bash a parancs futtatása előtt átírta azt, így a két reprezentáció eltért.
- Noma Security GitLost: egy GitHub-ügynök, amely kereszt-repozitórium olvasási jogosultsággal rendelkezett, privát repo tartalmat húzott be egy nyilvános kommentbe, ami egy megkonstruált GitHub Issue-t indított rosszindulatú utasításokkal. Ahogy Noma kutatója, Sasi Levi fogalmazott: a korai prompt injection példák elsősorban arra irányultak, mit mond az ügynök; a GitLost arra mutat rá, mit csinál az ügynök a jogosultságaival.
Ezekhez nem kellett zero-day exploit: elég volt az a rés, ami a szkenner által látott és az ügynök futásidejű viselkedése között volt. Simon Willison által említett „halálos trifekta” — hozzáférés privát adatokhoz, kitettség nem megbízható tartalomnak, és képesség külső kommunikációra — tökéletes feltételeket teremt magas hatású adatkiszivárgáshoz, ha a rendszer nem érvényesít erős határokat.
A Sysdig által dokumentált ügynök-alapú zsaroló művelet
A fenti feltételek tették lehetővé a későbbi incidensbekövetkezését. 2026 júniusának végén a Sysdig Threat Research Team leírta, amit ők az első teljesen AI-ügynök vezérelt zsarolóprogram-műveletként azonosítanak, az operátort JADEPUFFER névvel illették. A jelentés aláhúzza, mennyire banális volt az alapprobléma.
A belépő pont CVE-2025-3248 volt: a Langflow hitelesítés nélküli távoli kódvégrehajtási sérülékenysége, amelyet 2025 áprilisában javítottak és 2025 májusában felvettek a CISA Known Exploited Vulnerabilities katalógusába. A célzott szerver soha nem kapta meg a javítást. Innen az ügynök pivotolt egy éles MySQL adatbázisra és egy Alibaba Nacos szerverre ismert hitelesítés-kikerülés (CVE-2021-29441) révén. Kinyerte az OpenAI, Anthropic, DeepSeek és Gemini API-kulcsokat, valamint felhőhitelesítőket Alibaba, Tencent, AWS, Google és Azure környezetekhez. Kihasználta a MinIO alapértelmezett hitelesítő adatait, telepített egy crontab beacon-t, majd 1 342 Nacos konfigurációs rekordot titkosított és törölte az eredetieket.
Amikor a hitelesítés meghiúsult, az ügynök autonóm rezilienciát mutatott: 31 másodpercen belül pivotolt egy működő megoldásra. A payloadokat a nagy nyelvi modell által szintetizált, önmagát dokumentáló kódok alkották. Míg egy emberi szereplő rendezte a parancs-vezérlő (C2) keretrendszert és injektálta a root-hitelesítőket korábbi behatolásból, a további laterális mozgás, hitelesítő kinyerés és az adatok kriptografikus megsemmisítése teljesen önirányított volt. Az egész művelet emberi beavatkozás nélkül zajlott a kezdeti belépési pont után, illusztrálva azt a nagyarányú kockázatot, amelyet a tartós, mindig aktív jogosultságok ma lehetővé tesznek.
Miért marad ez így — szervezeti okok
A Delinea 2026 Identity Security Report-ja rávilágít a feszültségre: a szervezetek 74%-a szerint a nemhumán identitások és AI-ügynökök állandó hozzáférése szükséges az üzemidő elvárások teljesítéséhez, miközben 59% szerint nincs jó alternatíva a tartós hozzáférésre. A szervezetek kétszer olyan valószínűséggel használnak hosszú életű hitelesítőket (34%), mint modern just-in-time autorizációt (16%).
A mi megközelítésünk is a feltárás–first filozófiát tükrözi: a biztonsági programunk ügynök-integrációkat magas kockázatú harmadik féltől függő komponensként kezeli, előtelepítési kockázatértékelésnek vetjük alá, és a hitelesítő életciklusát nyomon követjük a kritikus infrastruktúrában; a titkok észlelésének lefedettségét kiterjesztjük a monitorozott környezetekre. Mindkét megközelítés a felfedezést és leltározást helyezi előtérbe a szabályozás előtt: felmérni, milyen ügynökök léteznek, milyen jogosultságaik vannak, ki a tulajdonosuk és mennyi ideig kellene működniük.
Már léteznek ajánlott keretek
Az OWASP Top 10 for Agentic Applications (2025. december) lefedi az itt feltárt problémákat: Identity and Privilege Abuse (ASI03), Tool Misuse and Exploitation (ASI02), Agentic Supply Chain Vulnerabilities (ASI04) és Unexpected Code Execution (ASI05). A keretrendszer, az esetek és a kormányzati hiány most kvantifikálva vannak.
Mit kell tenni a gyakorlatban?
Azok a csapatok, amelyek bezárják ezt a hiányt, nem deployment-részletként fogják kezelni az ügynökhozzáférést, hanem identitás-életciklus problémaként, ugyanolyan szigorral, mint az emberi privilegizált hozzáférést. A gyakorlatban ez magában foglalja:
- felfedezést és leltározást (milyen ügynökök léteznek, ki a tulajdonosuk),
- munkaterhelet és ügynökazonosság szétválasztását,
- eszköz jogosultságok korlátozását,
- folyamatos monitorozást,
- megbízható offboarding folyamatokat,
- és modern just-in-time kontrollok alkalmazását, ahol lehetséges.
Különösen fontos kezdésként átvizsgálni azokat az ügynököket, amelyek kapcsolódnak éles adatbázisokhoz, érzékeny adatokhoz és titkokhoz; a kódoló ügynökök esetén meggyőződni arról, hogy a védőmechanizmus a ténylegesen futó parancs reprezentációját értékeli; keresni olyan nemhumán identitásokat, amelyeket senki nem tud számon tartani; és külön figyelmet szentelni az olyan ügynököknek, amelyek nem megbízható tartalmat fogyasztanak, majd adatot küldenek ki vagy privilegizált eszközt hívnak meg.
Sok esetben ezeket az információkat a már működtetett rendszerekben is megtalálhatjuk: az IAM és PAM rekordok, endpoint logok, titkok kezelő eszközök és felhő leltárak nem mondanak el mindent, de feltárhatják az olyan hozzáféréseket, amelyeknek nincs egyértelmű célja vagy tulajdonosa. A felfedezés és a tulajdonosi felelősségvállalás az első lépés a jövőbeli infrastruktúra-kompromisszumok megelőzéséhez.
