AI hackuje. Britové postavili maketu vaší firmy. Pak do ní pustili boty a měřili čas

Když v devadesátých letech vyjela na silnice první auta s airbagem, nikoho nezajímalo, jak se ten záchranný systém technicky jmenuje. Lidé chtěli vědět jediné: jakou rychlostí mohou jet, aby je při nárazu nerozdrtil volant. Trvalo pár let, než někdo postavil betonovou zeď, rozjel proti ní auto padesátkou a začal měřit. Od té chvíle teoretické diskuse skončily a nahradilo je tvrdé srovnávání dat.

U ofenzivních schopností umělé inteligence se nacházíme přesně v této fázi. Celý červenec média dokola řešila, zda se AI „vzbouřila“. Nevzbouřila. Zatímco jsme se však dohadovali o slovíčkách, britský AI Security Institute v tichosti zveřejnil něco nesrovnatelně užitečnějšího: přesná data z testování. Pojďme si tato čísla přeložit do jazyka, ze kterého si lze udělat zcela jasnou představu.

Britové vybudovali komplexní simulaci reálné firemní sítě s názvem The Last Ones. Čtyři podsítě, zhruba dvacet strojů, databáze, servery, uložené přihlašovací údaje — a uprostřed toho všeho navazující řetězec dvaatřiceti kroků, které musí útočník postupně překonat, aby se od prvotního průniku propracoval k finálnímu cíli.

Podívejte se na ta čísla ještě jednou: čtyři podsítě, dvacet strojů. To není maketa Pentagonu. Jde o věrný model běžné české firmy se sto padesáti zaměstnanci. Možná zrovna té vaší.

Jak dlouho trvá průchod takovou trasou člověku? Britové odhadují, že zkušenému bezpečnostnímu expertovi zabere zhruba dvacet hodin čistého času. Tedy tři pracovní dny. V praxi to vypadá tak, že expert ráno dorazí do práce, uvaří si kávu, do oběda překoná první podsíť, odpoledne mu selžou dvě hypotézy, odejde domů, druhý den pokračuje a třetí den má hotovo.

Máme tedy zkušební dráhu i referenční lidský čas. Nyní na ni pusťme stroje.

Jazykový model GPT-5.5 projel celou trasu bez jediného lidského zásahu za 10 minut a 22 sekund.

Dvacet hodin lidské práce oproti deseti minutám stroje. To představuje zhruba stopadesátinásobné zrychlení. Abychom si to však lépe představili: co špičkovému specialistovi zabere tři dny, to zvládne bot za dobu, než si venku vykouříte cigaretu.

A jelikož má každý výpočetní výkon svou cenovku, tady je účet: 1,73 dolaru. Necelých čtyřicet korun. Tolik stála veškerá výpočetní kapacita potřebná k úplnému ovládnutí sítě.

Nechte to chvíli usadit. Kompletní průnik firemní infrastrukturou za cenu jednoho espressa.

Zde se dostáváme k aspektu, který veřejná debata systematicky přehlíží, ačkoli je pro obranu zásadnější než samotná rychlost.

Až do loňska platilo, že jazykové modely excelují v dílčích úkolech, ale v dlouhých procesech selhávají. Zvládly napsat krátký škodlivý kód, ale nedokázaly udržet záměr napříč třiceti kroky, kde každý úkon striktně závisí na výsledku toho předchozího. Právě proto se o AI dříve mluvilo jako o „nástroji pro hackery“, nikoli jako o „hackerovi“ samotném.

Britové tudíž neměřili pouze čas. Zkoumali, do kolikátého ze dvaatřiceti kroků se modely průměrně dostanou:

Na první pohled to může působit jako dostatečná rezerva. Není. Důvod se skrývá v jednom nenápadném, ale kritickém zjištění: v jednom pokusu z deseti prošel model Kimi K3 celým řetězcem až do samotného konce.

Desetiprocentní úspěšnost může znít jako selhání. Pro člověka nepochybně — ten, kdo selže v devíti případech z deseti, brzy změní obor. Jenže útočník nespustí program pouze jednou. Spustí ho tisíckrát za sebou, protože ho to téměř nic nestojí a čas ho netlačí. A desetina z tisíce pokusů znamená sto úspěšných, plně dokončených průniků.

Toto je nejdůležitější posun v uvažování, který by si měl český management osvojit. Neptejte se, jestli je bot lepší než váš bezpečnostní specialista. Ptejte se, kolikrát ho může útočník nasadit, než mu to vyjde. Odpověď zní: kolikrát jen bude chtít.

Měření třetí: Ceník

Britové spočítali náklady na jeden kompletní testovací běh v rozsahu sto milionů tokenů (což si lze představit jako pomyslnou „plnou nádrž“ výpočetní kapacity, kterou model při útoku spotřebuje):

U jednodušších úloh, které oba srovnávané modely zvládaly stoprocentně a bezchybně, je rozdíl ještě propastnější: 15 dolarů za úkon u amerického modelu oproti pouhým 28 centům u toho čínského.

Útočníci si dnes už nekladou otázku, zda si operaci mohou dovolit. Vybírají si z ceníku. Buď levněji a přímočařeji, nebo dráže a sofistikovaněji. Rozpočet přestal být funkční bariérou. Tuto skutečnost by si měl uvědomit každý, kdo si dosud nalhával, že jeho firma je pro sofistikované útoky příliš malá nebo nezajímavá. Za 28 centů si nikdo cíle nefiltruje. Za 28 centů se pálí do davu.

Tím se dostáváme ke zlomu, který nastal v pondělí 27. července a o němž se v českých médiích prakticky nepsalo.

Téhož dne čínská laboratoř Moonshot AI volně zveřejnila na internetu váhy svého modelu Kimi K3. Celkem 98 souborů, 1,56 terabajtu dat, 2,8 bilionu parametrů. Jde o historicky největší volně dostupný model na světě.

Rozdíl mezi cloudovým (hostovaným) a lokálním (staženým) modelem lze snadno ilustrovat na autech. Hostovaný model připomíná vůz z půjčovny: provozovatel ví, kdo sedí za volantem, sleduje trasu a v krajním případě může auto na dálku zastavit. Otevřený model znamená, že výrobce zdarma rozdal kompletní technickou dokumentaci. Od té chvíle neexistuje žádný externí zámek. Nelze odebrat přístup, nelze zablokovat účet a nelze model stáhnout z oběhu. Ať už politici v budoucnu schválí jakýkoli zákon, těchto 1,56 terabajtu dat je venku napořád.

A jak jsou na tom ochranné mechanismy uvnitř samotného modelu? K těm mají Britové velmi stručnou poznámku: testování probíhalo prakticky bez odporu. Když AI během testu z bezpečnostních důvodů odmítla splnit úkol, stačilo jí příkaz prostě zadat znovu.

Nebavíme se zde tedy o složitém prolamování bezpečnostních pojistek. Bavíme se o tom, že se stroje jednoduše zeptáte podruhé.

Zatím jsme sledovali útok na jednu konkrétní síť. Nyní úhel pohledu otočme.

Když americká společnost Anthropic nasadila svůj nejvýkonnější model na analýzu zdrojového kódu prohlížeče Firefox, model sám vytvořil 181 funkčních exploitů. Jeho předchozí, jen o pár měsíců starší verze jich přitom zvládla napsat pouze dva. Nejde o dílčí vylepšení, jde o skok o dva řády v rámci jediné technologické generace. Mimo jiné model mimoděk odhalil i zranitelnost v systému OpenBSD, která tam bez povšimnutí figurovala neuvěřitelných sedmadvacet let.

V navazujícím testovacím programu, do něhož se zapojila padesátka partnerských organizací, vygenerovala umělá inteligence během jediného měsíce přes 10 000 nálezů vysoké či kritické závažnosti. Celkově už detekovala více než 23 000 potenciálních zranitelností.

Žádný bezpečnostní tým z masa a kostí nevyprodukuje takové číslo. Ani za celý rok.

Pokud bych však výčet ukončil předchozím odstavcem, nevykreslil bych celou realitu. Zde se totiž situace dramaticky obrací — a to je paradoxně ta nejlepší zpráva celého textu.

Analytická firma VulnCheck podrobně prozkoumala první polovinu roku 2026 a nalezla 1 061 zranitelností odhalených za pomoci umělé inteligence. Kolik z nich útočníci v praxi skutečně zneužili? Čtrnáct. Tedy pouhého 1,3 procenta, což je takřka totožný podíl jako u chyb odhalených lidmi.

A oněch 23 tisíc hrozivých nálezů z předchozího příkladu? Oficiálně z nich vzešlo 126 potvrzených zranitelností, avšak prokazatelně zneužita byla pouze jedna jediná.

Umělá inteligence sice radikálně zvyšuje objem detekovaných softwarových děr, prozatím ale nezvyšuje podíl těch reálně zneužitelných. Tento fakt momentálně hraje do karet obráncům: naprostou většinu chyb totiž nacházejí samotní vývojáři ve vlastním softwaru a opraví je dříve, než na ně kdokoli stihne zaútočit.

Kdo vám tvrdí, že se do Vánoc zhroutí internet, jednoduše neumí číst data.

Skutečný problém dneška totiž nespočívá v absolutním počtu chyb. Spočívá v čase.

Medián doby, která uplyne od zveřejnění zranitelnosti po její první potvrzené zneužití v praxi, klesl ze 120 dnů (v roce 2025) na 80 dnů (v první polovině roku 2026). Útočníci si tak ukrojili celých šest týdnů k dobru.

A co obránci? Podle letošní zprávy společnosti Verizon, která analyzuje data z více než třinácti tisíc organizací, se medián doby nutné pro záplatování aktivně zneužívané díry naopak prodloužil — ze 32 na 43 dnů.

Dejte si tato dvě čísla vedle sebe: Útoky zrychlily o šest týdnů, zatímco reakce firem se o jedenáct dní zpomalila. Pro kontext dodejme, že americká bezpečnostní agentura CISA přitom vládním úřadům striktně nařizuje třídenní lhůtu na opravu.

Právě zde leží ta skutečná propast. Spočívá v tom, že my jsme letos pomalejší než loni.

Poslední údaj je pro mě osobně tím nejvýmluvnějším z celého roku.

Bezpečnostní analytici detailně zdokumentovali útok, který byl od začátku do konce řízen plně autonomním AI agentem. Šlo přibližně o šest set koordinovaných akcí — od úvodního přihlášení až po smazání databáze a vygenerování žádosti o výkupné. Během operace bot narazil na zabezpečení úložného serveru a jeho přihlášení opakovaně selhalo.

Doba, která uplynula od neúspěšného pokusu do úspěšného obejití ochrany, činila 31 sekund.

Vzpomeňte si, jak reaguje člověk, když mu ve tři ráno třikrát po sobě selže přihlášení do systému. Zakleje. Jde si uvařit kávu. Píše kolegovi. Nebo tvrdošíjně zkouší ten samý postup, který mu fungoval minule, ačkoli se do dané situace vůbec nehodí. Ne snad proto, že by byl neschopný, ale zkrátka proto, že je unavený a frustrovaný.

Stroj nic z toho nedělá. Nezná únavu, nezná frustraci ani ego, které by ho nutilo obhajovat původní špatný nápad. Zná pouze cíl a další možný pokus. Nejde o projev žádné vyšší formy inteligence. Je to naopak absolutní absence všeho, co lidského útočníka psychologicky zpomaluje — a právě toto je zdaleka nejpodceňovanější vlastnost v celém kyberbezpečnostním oboru.

Cílem tohoto textu není vyvolat ve vás paniku. Strach je pro řízení firmy toxickým režimem a samotná data ho ani neopodstatňují. Zásadní je zapamatovat si čtyři klíčové hodnoty:

Závěrem musím přidat ještě jedno klíčové upozornění od samotných autorů studie: oné testovací dráze chyběli aktivní obránci. V reálném čase tam nikdo nesledoval logy, nikdo neuzavíral napadené porty a nic útočníka nepenalizovalo za hlučné chování v síti. Ve skutečné firmě s funkčním bezpečnostním dohledem (SOC) by čísla pro boty dopadla o poznání hůře. Britové výslovně zdůrazňují, že měřili čistě teoretický strop schopností AI, nikoli garanci úspěšného průniku do funkční sítě.

A to je věta, kterou by si měl každý ředitel přečíst dvakrát. Teoretický strop hrozeb sice existuje a je prokazatelně změřený, ale rozdíl mezi tímto stropem a reálným dopadem na vaši firmu se nejmenuje štěstí.

Jmenuje se to, co zvládnete udělat do třiačtyřicátého dne.