Nowy sposób, w jaki hakerzy oszukują finansowe asystenty oparte na sztucznej inteligencji
Ostatnia aktualizacja:
7 czas czytania: 7 minut
Kluczowe wnioski
- Hakerzy aktywnie umieszczają w zwykłych dokumentach ładunki służące do pośredniego wstrzykiwania poleceń, aby przejąć kontrolę nad finansowymi asystentami opartymi na sztucznej inteligencji.
- W przeciwieństwie do tradycyjnych oszustw, które mają na celu wprowadzenie w błąd ludzi, ten atak jest wymierzony w zautomatyzowane systemy oparte na sztucznej inteligencji, które natychmiast wykonują polecenia, nie budząc żadnych podejrzeń.
- Agenci AI, którzy mogą dokonywać przelewów, uruchamiać procesy lub uzyskiwać dostęp do danych klientów objętych regulacjami, stanowią dla atakujących cele o największej wartości.
- Same komunikaty systemowe nie wystarczą do zapewnienia bezpieczeństwa agenta, dlatego niezbędne jest rygorystyczne stosowanie zasady minimalnych uprawnień oraz obowiązkowych zatwierdzeń przez ludzi.
- Ponieważ poczta elektroniczna stanowi główny kanał dostarczania tych treści, konieczne jest rygorystyczne stosowanie standardu DMARC w celu uwierzytelniania wiadomości przed ich przetworzeniem przez sztuczną inteligencję.
Badacze zajmujący się bezpieczeństwem, analizujący treści występujące w sieci, odkryli ostatnio coś niepokojącego. Znaleźli ukryte instrukcje przeznaczone nie dla ludzi, lecz dla dowolnego agenta sztucznej inteligencji odczytującego ten tekst. Jedną z nich był w pełni zbrojny ładunek, zaprojektowany specjalnie po to, by asystent AI z funkcją płatności wykonał transakcję o stałej wartości 5 000 dolarów. Nie była to kontrolowana demonstracja laboratoryjna. Był to prawdziwy ładunek znaleziony w sieci.
W ciągu ostatnich dziesięciu lat instytucje finansowe przeznaczyły ogromne środki na szkolenie pracowników, aby nie reagowali na przekonujące wiadomości e-mail. Obecnie wiele z tych samych instytucji podłączyło asystentów opartych na sztucznej inteligencji do tych samych skrzynek odbiorczych. Asystenci ci czytają wszystko, niczego nie kwestionują i często działają w oparciu o uprawnienia pracowników, którzy z nich korzystają.
Technika ta nosi nazwę „pośredniego wstrzykiwania poleceń”. Stanowi ona ogromną zmianę w sposobie działania oszustw finansowych. Poniżej przedstawiono szczegółowy opis działania tego ataku, wskazano, gdzie banki są naprawdę narażone, co naukowcy faktycznie udowodnili w 2026 roku oraz jakie środki kontroli architektonicznej są niezbędne, by go powstrzymać.
Czym jest wstrzyknięcie z użyciem funkcji „Prompt”?
Wstrzyknięcie podpowiedzi ma miejsce, gdy osoba atakująca manipuluje systemem sztucznej inteligencji w taki sposób, aby wykonał niezamierzone polecenia. Bezpośrednie wstrzyknięcie ma miejsce, gdy użytkownik wpisuje złośliwe instrukcje bezpośrednio w oknie czatu. Pośrednie wstrzyknięcie podpowiedzi jest znacznie bardziej niebezpieczne. Ma ono miejsce, gdy instrukcje są ukryte w treści zewnętrznej, którą asystent odczytuje automatycznie, np. w przychodzącej wiadomości e-mail, załączonej fakturze lub na stronie internetowej.
Główny powód, dla którego to działa, jest prosty: obecne systemy sztucznej inteligencji nie potrafią niezawodnie oddzielić instrukcji od danych. Każdy dokument, który asystent pobiera, jest traktowany jako potencjalny dane wejściowe, co oznacza, że każdy plik zewnętrzny może stać się narzędziem ataku.
Dlaczego asystenci finansowi oparci na sztucznej inteligencji stanowią tak atrakcyjny cel
Mayur Sewani, starszy badacz ds. bezpieczeństwa w firmie Forcepoint, doskonale ujął ten problem: skala skutków jest proporcjonalna do zakresu uprawnień. Asystent oparty na sztucznej inteligencji, który jedynie sporządza podsumowania notatek ze spotkań, stanowi niewielkie zagrożenie. Natomiast asystent, który może wysyłać wiadomości e-mail, uruchamiać procesy biznesowe lub dokonywać przelewów, jest kluczowym celem o dużym potencjale szkód.
Asystenci wdrażani obecnie w całym sektorze finansowym to w coraz większym stopniu przedstawiciele tej drugiej grupy. Pobierają dane klientów, analizują dokumenty dotyczące zgodności z przepisami, uruchamiają wewnętrzne procesy robocze, a w niektórych przypadkach mają bezpośredni dostęp do systemów płatniczych.
W kontekście handlu detalicznego wstrzyknięta instrukcja może po prostu spowodować wyciek dokumentu. W banku ta sama wstrzyknięta instrukcja może spowodować przepływ środków, ujawnienie ściśle regulowanych danych klientów lub zakłócenie procesu podejmowania decyzji dotyczących zgodności z zasadami „Poznaj swojego klienta” (KYC).
W jakich sytuacjach instytucja finansowa jest faktycznie narażona na ryzyko
Model zagrożeń ulega całkowitej zmianie, gdy agentowi opartemu na sztucznej inteligencji przyznaje się dostęp do systemów bankowych. Poniższa tabela przedstawia konkretne obszary operacyjne, w których instytucje są obecnie narażone na ryzyko.
| Obszar działania | Wektor ataku | Potencjalny wpływ na działalność firmy |
|---|---|---|
| Operacje płatnicze | Asystent posiadający uprawnienia do zatwierdzania lub inicjowania działań zapoznaje się z przychodzącym dokumentem instrukcyjnym zawierającym ukryty tekst. | Agent zostaje nakłoniony do przekazania środków na konto atakującego, wykorzystując uprawnienia operatora. |
| Wdrażanie klientów i weryfikacja tożsamości klientów (KYC) | Asystentowi, którego zadaniem jest sporządzanie podsumowań przedłożonych dokumentów, podaje się ukryty tekst zawierający polecenie pominięcia lub zmiany krytycznego ustalenia dotyczącego ryzyka. | Klient z grupy wysokiego ryzyka omija kontrole zgodności. W sieci odnotowano już przypadki wykorzystania ładunków przeznaczonych do blokowania treści. |
| Obsługa klienta | Zgłoszenie dotyczące wstrzykniętej instrukcji wpływa za pośrednictwem zgłoszenia do pomocy technicznej przesłanego przez klienta lub wiadomości na czacie. | Złośliwy komunikat uruchamia polecenia, wykorzystując podwyższone uprawnienia działu pomocy technicznej przyznane asystentowi AI. |
| Wewnętrzna wyszukiwarka wiedzy | Pracownicy mający dostęp do dokumentów dotyczących transakcji, akt kredytowych lub materiałów na posiedzenia zarządu otwierają złośliwy link lub dokument. | Sztuczna inteligencja pobiera poufne dane, do których ma dostęp, i przesyła je na serwer kontrolowany przez atakującego. |
| Korespondencja z dostawcami | Ukryte ładunki są osadzane w wiadomościach e-mail przychodzących od zaatakowanych podmiotów zewnętrznych. | Atakujący wykorzystują kanał przychodzący o najwyższym poziomie zaufania, aby przekazywać instrukcje bezpośrednio do agentów zaprogramowanych do przetwarzania faktur dostawców. |
Co naukowcy faktycznie wykazali w 2026 roku
Zagrożenie to nie jest już tylko teoretyczne. Badacze zajmujący się bezpieczeństwem szczegółowo udokumentowali, że luki te występowały w rzeczywistych środowiskach korporacyjnych w 2026 roku.
Dziesięć aktywnych ładunków złośliwych firmy Forcepoint (kwiecień 2026 r.)
23 kwietnia 2026 r. badacze z firmy Forcepoint opublikowali wyniki badań dotyczących dziesięciu ładunków wykorzystujących technikę pośredniego wstrzykiwania poleceń, wykrytych w środowisku naturalnym. Ładunki te obejmowały tłumienie treści, przejmowanie atrybucji, wykonywanie poleceń systemu Unix skierowanych przeciwko narzędziom programistycznym oraz kradzież kluczy API. Najważniejsze dla banków było to, że w badaniach szczegółowo opisano ładunek służący do oszustw płatniczych, skierowany przeciwko agentom opartym na sztucznej inteligencji z wbudowanymi funkcjami płatniczymi. Ładunek zawierał wbudowane instrukcje uruchamiające transakcję PayPal o stałej wartości 5 000 dolarów. Sewani określił to jako zbrojny ładunek przeznaczony do natychmiastowego wykonania, a nie jako nieszkodliwą sondę badawczą.
Atak typu „Reprompt” na Microsoft Copilot (styczeń 2026 r.)
15 stycznia 2026 r. firma Varonis opisała szczegółowo atak o nazwie „Reprompt”. Był to łańcuch wycieku danych uruchamiany jednym kliknięciem, wymierzony w Microsoft Copilot. W ataku wykorzystano parametr adresu URL do wstrzyknięcia instrukcji. Asystentowi nakazano powtarzanie czynności w celu ominięcia zabezpieczeń, co doprowadziło do nawiązania ciągłej wymiany danych z serwerem kontrolowanym przez atakującego w celu wycieku danych. Atak został przeprowadzony za pośrednictwem wyglądającego na wiarygodny linku do Copilota wysłanego pocztą elektroniczną, wymagającego od ofiary zaledwie jednego kliknięcia. Firma Microsoft szybko załatała tę lukę, a wersja korporacyjna Microsoft 365 Copilot podobno nie została dotknięta tym problemem, jednak mechanizm ten udowodnił, że agent chętnie ujawni wszelkie dostępne mu informacje wewnętrzne, jeśli zostanie oszukany.
Ogólny schemat
Nie jest to problem dotyczący tylko jednego dostawcy. Udowodniono skuteczność ataków typu „injection” na narzędzia do kodowania opartego na agentach za pośrednictwem komentarzy w kodzie źródłowym, a przypadki obejścia zabezpieczeń są dobrze udokumentowane w wielu głównych modelach.
To jest atak typu „Business Email Compromise”, ale skierowany do innego odbiorcy
Schemat działania ataku typu „indirect prompt injection” jest funkcjonalnie identyczny jak w przypadku oszustwa typu Business Email Compromise (BEC). Otrzymujemy fałszywą instrukcję, która wygląda na całkowicie wiarygodną, a ktoś ją wykonuje. Kluczowa różnica polega na tym, że tym „kimś” jest teraz oprogramowanie. Sztuczna inteligencja nie ma żadnych wątpliwości, nie kieruje się przeczuciem, że coś jest nie tak, ani instynktem, by podnieść słuchawkę i zweryfikować dziwną prośbę u dyrektora finansowego.
Na szczęście mechanizmy kontrolne, które instytucje stosują już w przypadku przelewów typu BEC, bezpośrednio odnoszą się do tego nowego problemu. Weryfikacja pozaprocesowa, wielopoziomowe zatwierdzanie płatności lub zmian odbiorców oraz sztywne limity na każdą pojedynczą zautomatyzowaną operację nadal stanowią najlepsze środki ochrony. Agent oparty na sztucznej inteligencji musi działać w ramach tych istniejących mechanizmów kontrolnych, a nigdy poza nimi.
Sterowanie: Zmniejszenie promienia wybuchu agenta AI
Architekci bezpieczeństwa i zespoły ds. ryzyka muszą wdrożyć strukturalne mechanizmy kontroli dotyczące agentów sztucznej inteligencji. Nie można polegać wyłącznie na komunikatach systemowych, jeśli chodzi o zabezpieczenie platformy finansowej.
| Zasada działania | Wdrożenie praktyczne | Cel w zakresie bezpieczeństwa |
|---|---|---|
| Zasada minimalnych uprawnień | Należy znacznie ograniczyć uprawnienia w zakresie płatności, wysyłania i zatwierdzania. | Należy zadbać o to, by większość asystentów miała uprawnienia wyłącznie do odczytu, co ograniczy zakres szkód, jakie mogą wyrządzić w przypadku naruszenia bezpieczeństwa. |
| Człowiek w pętli | Wymagaj zatwierdzenia przez człowieka w przypadku działań o istotnych konsekwencjach. | Ogranicz zabezpieczenia do samego działania. Każda transakcja finansowa musi zawsze wymagać kliknięcia przycisku „zatwierdź” przez użytkownika. |
| Model „zero trust” w odniesieniu do treści | Wszystkie dokumenty wprowadzone do systemu (pliki PDF, wiadomości e-mail, dokumenty) należy traktować jako niezaufane dane wprowadzone przez użytkownika. | Należy zapobiec wykonywaniu przez agenta nieprzetworzonego tekstu pobranego z plików zewnętrznych bez jego weryfikacji. |
| Rejestrowanie danych API i narzędzi | Należy prowadzić szczegółowe rejestry audytowe, z których dokładnie wynika, co agent odczytał i jakie działania wykonał. | Zapewnij szybki wgląd w dane kryminalistyczne podczas dochodzenia w ramach reagowania na incydent. |
| Rygorystyczne filtrowanie ruchu wychodzącego | Zablokuj połączenia wychodzące z nieznanych lub niezaufanych adresów IP. | Należy zapobiegać atakom takim jak łańcuch Reprompt, które polegają na nawiązaniu połączenia z serwerem kontrolowanym przez atakującego w celu wykradzenia danych. |
| Ujednolicone procesy robocze | Włącz agenty AI do swoich obecnych systemów kontroli płatności. | Należy zapobiegać tworzeniu równoległych, niesprawdzonych procesów zatwierdzania, które omijają istniejące kontrole bezpieczeństwa. |
Podejdź do kwestii wykrywania realistycznie. Filtrowanie przychodzących dokumentów pod kątem znanych fraz wywołujących wstrzyknięcie kodu to jedynie niewielka przeszkoda. Atakujący po prostu zmienią sformułowanie swoich ładunków.
Nie da się z tego wyjść za pomocą podpowiedzi
Dopóki agenta AI można przekonać za pomocą tekstu, jedynymi trwałymi mechanizmami kontroli są środki strukturalne. Należy fizycznie ograniczyć zakres działań, do których agent ma uprawnienia, systemy, do których ma dostęp, oraz określić, które czynności wymagają bezwzględnie udziału człowieka. Lepsze podpowiedzi systemowe i zabezpieczenia dostawców z pewnością podnoszą koszt ataku, ale nie eliminują tej klasy podatności. Dla podlegającej regulacjom instytucji finansowej to rozróżnienie stanowi różnicę między środkiem kontroli, który można udowodnić audytorowi, a takim, co do którego można jedynie przypuszczać, że działa.
Co sygnalizują przełożeni
Organy regulacyjne bacznie obserwują tę zmianę. W wytycznych FINRA z 2026 r. dotyczących kluczowych zagadnień związanych ze sztuczną inteligencją oraz w sprawozdaniach nadzorczych wyraźnie wyróżniono sztuczną inteligencję typu „agencyjnego” jako odrębną kategorię ryzyka nadzorczego. Ponieważ systemy te podejmują autonomiczne działania, a nie ograniczają się jedynie do generowania tekstu, firmy muszą prowadzić kompletne ścieżki audytowe oraz wdrażać punkty kontroli przez ludzi przed wykonaniem działania. FINRA podkreśliła również ryzyko związane z „cieniową sztuczną inteligencją” oraz konieczność traktowania zewnętrznych platform AI jako dostawców wysokiego ryzyka (jak szczegółowo opisano w dodatkowym artykule autorstwa Smarsh).
OCC zasygnalizowało również , że wkrótce pojawią się kompleksowe wytyczne dla banków dotyczące zarządzania modelami sztucznej inteligencji. Ponadto organizacja FS-ISAC opublikowała zestaw dokumentów dotyczących ryzyka związanego ze sztuczną inteligencją w sektorze finansowym, obejmujących taksonomię sztucznej inteligencji przeciwnikowej oraz ocenę dostawców. Należy zauważyć, że dokumenty te zostały opublikowane w lutym 2024 r., czyli przed pojawieniem się fali „agentycznej”, ale nadal stanowią przydatną podstawę wiedzy o sektorze.
Kierownicy i architekci bezpieczeństwa zasadniczo domagają się dokładnie tego samego: widocznego nadzoru ludzkiego nad działaniami sztucznej inteligencji mającymi istotne konsekwencje. Ta spójność regulacyjna stanowi najsilniejszy argument wewnętrzny, jakim dysponuje lider ds. bezpieczeństwa, aby pozyskać środki na wdrożenie tych mechanizmów kontroli.
Gdzie ma zastosowanie uwierzytelnianie wiadomości e-mail
Warto jasno zaznaczyć, czego nie jest w stanie zapewnić uwierzytelnianie wiadomości e-mail. DMARC z ustawieniem p=reject nie zapobiega wstrzykiwaniu treści; nie sprawdza treści wiadomości i nie ogranicza zakresu działań, na jakie może sobie pozwolić agent oparty na sztucznej inteligencji.
Jednak najbardziej skuteczne ataki typu „injection” na asystenta AI w banku to te, które wyglądają, jakby pochodziły od dyrektora finansowego, banku korespondencyjnego lub zaufanego operatora płatności. E-mail jest głównym kanałem, przez który niezaufane treści docierają do tych systemów AI. Ujawniony łańcuch Reprompt został dostarczony za pośrednictwem linku w wiadomości e-mail. Gdy agent AI przetwarza pocztę bez żadnego nadzoru ze strony człowieka, autentyczność nadawcy staje się absolutnie ostatnim sygnałem zaufania w całym procesie.
Branża usług finansowych charakteryzuje się jednym z najwyższych wskaźników wdrażania protokołu DMARC spośród wszystkich branż, ale niestety również jednym z najsłabszych poziomów egzekwowania tego standardu. Jeśli wykorzystujesz sztuczną inteligencję do obsługi skrzynki odbiorczej, rygorystyczne uwierzytelnianie wiadomości e-mail nie jest już kwestią wyboru. Aby uzyskać więcej informacji na temat zabezpieczania tego wektora, zapoznaj się z naszymi badaniami dotyczącymi phishingu w sektorze usług finansowych oraz wdrożenia protokołu DMARC w instytucjach finansowych.
Wniosek
Przez ostatnią dekadę najsłabszym ogniwem w zabezpieczeniach poczty elektronicznej związanej z finansami był pracownik, który klikał w niebezpieczny link. Obecnie instytucje przekazały kontrolę nad tą samą skrzynką odbiorczą oprogramowaniu, które czyta wszystko, niczego nie kwestionuje i dysponuje rzeczywistymi uprawnieniami systemowymi. Pierwsze złośliwe oprogramowania stworzone specjalnie w celu wykorzystania tych zautomatyzowanych agentów już krążą w sieci.
Rozwiązanie to wymaga podejścia wielopoziomowego. Należy ograniczyć zakres czynności, jakie agenci AI mogą fizycznie wykonywać, zapewnić udział ludzi w podejmowaniu decyzji o działaniach o istotnych konsekwencjach, włączyć tych agentów do istniejących mechanizmów kontroli płatności oraz rygorystycznie weryfikować wszystkie dane, które do nich trafiają.
Sprawdź stan bezpieczeństwa swojej domeny za pomocą naszego narzędzia do sprawdzania rekordów DMARC lub odwiedź naszą stronę poświęconą rozwiązaniom dla sektora usług finansowych, aby dowiedzieć się więcej o zabezpieczaniu kanałów przychodzących.
Najczęściej zadawane pytania
Czym jest wstrzyknięcie natychmiastowe, mówiąc prostym językiem?
Jest to rodzaj cyberataku, w którym haker umieszcza tajne instrukcje w dokumencie lub wiadomości e-mail. Gdy asystent oparty na sztucznej inteligencji odczytuje ten plik, nieświadomie wykonuje ukryte polecenia.
Czy za pomocą polecenia głosowego można skłonić asystenta AI do wykonania przelewu?
Tak. Jeśli agentowi opartemu na sztucznej inteligencji przyznano dostęp do systemów płatniczych i nie ma on mechanizmów kontroli wymagających udziału człowieka, ukryta instrukcja może zmusić go do zainicjowania nieautoryzowanych przelewów.
Czy metoda „prompt injection” była wykorzystywana w rzeczywistych atakach?
Tak. W kwietniu 2026 roku badacze odnotowali w środowisku naturalnym dziesięć różnych rodzajów ładunków wykorzystujących technikę pośredniego wstrzykiwania kodu, w tym jeden zaprojektowany specjalnie w celu przeprowadzenia transakcji przez PayPal o wartości 5 000 dolarów.
Czym różni się atak typu „prompt injection” od ataku typu „business email compromise”?
Schemat ataku jest podobny, ale ofiara jest inna. Zamiast nakłonić pracownika do wykonania przelewu, atakujący oszukuje zautomatyzowanego agenta opartego na sztucznej inteligencji, który natychmiast realizuje polecenie.
Jakie środki kontroli powinien wprowadzić bank w odniesieniu do agenta opartego na sztucznej inteligencji?
Banki muszą stosować zasadę minimalnych uprawnień, wymagać zatwierdzenia przez człowieka wszystkich działań o istotnych konsekwencjach, wdrożyć rygorystyczne filtrowanie ruchu wychodzącego z sieci oraz rejestrować każde wywołanie API dokonywane przez agenta.
Czy protokół DMARC lub uwierzytelnianie wiadomości e-mail zapobiega wstrzykiwaniu tekstu?
Nie, protokół DMARC nie może sprawdzać treści wiadomości e-mail pod kątem ukrytych poleceń. Blokuje on jednak od razu fałszywe wiadomości e-mail, uniemożliwiając im dotarcie do systemu AI, co eliminuje jeden z głównych wektorów ataku.
Specjalista ds. treści w PowerDMARC
Milena jest wykwalifikowaną pisarką i twórczynią treści z ponad 7-letnim doświadczeniem w tworzeniu angażujących treści na temat IT, cyberbezpieczeństwa, wirtualnych wydarzeń i nie tylko. Ma udokumentowane doświadczenie w dostarczaniu wysokiej jakości prac dla międzynarodowych magazynów i jest absolwentką prestiżowych instytucji, takich jak New York University Abu Dhabi, UWC China i College of Europe.
Najnowsze posty autorstwa Milena Baghdasaryan (zobacz wszystkie)
- Nowy sposób, w jaki hakerzy oszukują finansowe asystenty oparte na sztucznej inteligencji – 7 września 2026 r.
- Najlepsze praktyki w zakresie bezpieczeństwa DNS: kompletna lista kontrolna dotycząca wzmocnienia zabezpieczeń – 7 września 2026 r.
- Dynamiczny SPF, automatyczny SPF czy hostowany SPF: który z nich faktycznie naprawia Twój rekord SPF? – 25 sierpnia 2026 r.
