Wśród 107 firm ankietowanych przez VentureBeat agenci AI otrzymują realny dostęp do systemów i danych, podczas gdy mechanizmy zaprojektowane do ich kontrolowania pozostają niedostatecznie rozwinięte. Badanie ujawnia utrzymującą się lukę w bezpieczeństwie agentów: autonomiczni agenci rozpowszechniają się szybciej niż mechanizmy tożsamości, izolacji i egzekwowania zasad wymagane do bezpiecznego zarządzania nimi. W przeciwieństwie do tradycyjnego oprogramowania agenci działają przy ograniczonym nadzorze człowieka — podejmują decyzje, wywołują narzędzia i przemieszczają się lateralnie między systemami — co rozszerza powierzchnię ataku poza zakres, do którego projektowano konwencjonalne zabezpieczenia aplikacji.

Ta część VentureBeat Pulse Research analizuje, w jaki sposób firmy zabezpieczają swoich agentów AI — obejmując narzędzia, które wdrażają, sposób obsługi tożsamości i izolacji agentów, dotychczasowe problemy, alokacje budżetowe oraz to, czy organizacje uważają, że ich zabezpieczenia nadążają za napastnikami wykorzystującymi AI.

Główne ustalenie: luka w bezpieczeństwie agentów

Kluczowa statystyka raportu mówi, że ponad połowa organizacji (54%) doświadczyła już potwierdzonego incydentu bezpieczeństwa agenta (18%) lub sytuacji bliskiej incydentu, wykrytej zanim doszło do szkody (36%). Strukturalną słabością stojącą za tymi liczbami jest zarządzanie tożsamością. Tylko około jedna trzecia firm (32%) przypisuje każdemu agentowi własną, ograniczoną i zarządzaną tożsamość — warunek wstępny dostępu o najmniejszych uprawnieniach i jednoznacznej atrybucji. Pozostałe organizacje zgłaszają, że część agentów współdzieli poświadczenia albo że agenci przeważnie działają na współdzielonych kluczach API oraz pożyczonych poświadczeniach użytkowników lub kont usługowych. Gdy agenci współdzielą poświadczenia, pojedynczy przejęty agent lub agent z nadmiernymi uprawnieniami może wpłynąć na szeroki promień rażenia, a mimo to tylko trzy na dziesięć firm (30%) izolują swoich agentów najwyższego ryzyka w sandboxach, aby ograniczyć to ryzyko.

Szczególnie istotne jest to, jak komfortowo firmy wydają się funkcjonować w tej luce. Stos zabezpieczeń jest w przeważającej mierze natywny dla dostawców — dominują zabezpieczenia OpenAI (51%), kontrolki chmurowe Google i Microsoft oraz mechanizmy zarządzanych agentów Anthropic, podczas gdy wyspecjalizowani dostawcy bezpieczeństwa agentów są ledwo widoczni. Zadowolenie z tego zapożyczonego stosu wynosi średnio 4,2 na 5. Jednak wydatki na bezpieczeństwo agentów pozostają niewielką częścią ogólnych budżetów bezpieczeństwa, tylko jedna trzecia firm uważa, że ich zabezpieczenia AI wyprzedzają napastników wykorzystujących AI, a wyraźna większość planuje zmianę narzędzi w ciągu roku. Organizacje deklarują zadowolenie z mechanizmów, które jednocześnie przygotowują się zastąpić.

Metodologia

VentureBeat przeprowadził tę ankietę w ramach trwającej serii Pulse Research, przy czym ten instrument badawczy koncentrował się na bezpieczeństwie agentów w przedsiębiorstwach — narzędziach, tożsamości, izolacji i mechanizmach egzekwowania zasad, których organizacje używają do zabezpieczania autonomicznych agentów AI. Odpowiedzi przefiltrowano do organizacji zatrudniających ponad 100 pracowników (n=107; najmniejszy przedział wielkości w ankiecie, 1–100 pracowników, został wykluczony), zebranych w jednej fali w czerwcu 2026 r. Ponieważ jest to jedna fala, a nie połączona próba wielomiesięczna, raport ma charakter przekrojowy i nie wnioskuje o trendach miesiąc do miesiąca. Kilka pytań było wielokrotnego wyboru, co pozwala, aby udziały sumowały się do ponad 100%.

Pod względem ról próba jest dojrzała i wiarygodna zakupowo: 45% respondentów to ostateczni decydenci w sprawie zakupów AI, a kolejne 30% to osoby rekomendujące lub wpływające na decyzje. Mieszankę poziomów stanowisk tworzą menedżerowie (43%), specjaliści indywidualni (24%), wiceprezesi i dyrektorzy (15%) oraz kadra C-level (11%). Pod względem wielkości organizacji próba jest skoncentrowana na segmencie mid-market: prowadzą firmy zatrudniające 251–1 000 pracowników (42%) i 101–250 pracowników (25%), a za nimi znajdują się 1 001–5 000 (19%), 5 001–10 000 (8%) oraz 10 001+ (7%). Największą reprezentowaną branżą jest Technology/Software z udziałem 23%, następnie Manufacturing (15%), Retail/E-commerce (14%) oraz Healthcare/Life Sciences (13%).

Przy 107 respondentach próba jest wystarczająco duża, aby odczytywać ją kierunkowo, ale należy traktować ją jako sygnał kierunkowy, a nie precyzyjny pomiar. Jest to próba samoselekcyjna, nieprobabilistyczna, i przechyla się w stronę segmentu mid-market — dlatego najlepiej odczytywać ją jako perspektywę organizacji aktywnie budujących bezpieczeństwo agentów, a nie największych operatorów. Oceny zadowolenia obliczono na podstawie respondentów, którzy odpowiedzieli na każde pytanie ratingowe; ogólny wynik zadowolenia odzwierciedla odpowiedzi 82 ze 107 zakwalifikowanych respondentów.

Ustalenie 1: incydenty już występują

Organizacje zapytano, czy doświadczyły incydentu bezpieczeństwa agenta — potwierdzonego naruszenia albo sytuacji bliskiej incydentu, zatrzymanej przed wyrządzeniem szkody. Większość organizacji uruchamiających agentów produkcyjnie odpowiedziała twierdząco.

Ponad połowa organizacji (54%) doświadczyła już zdarzenia bezpieczeństwa agenta — 18% potwierdzonego incydentu, a 36% sytuacji bliskiej incydentu, wykrytej przed spowodowaniem szkody. Tylko 42% nie zgłosiło niczego, a niewielka pozostała część albo nie uruchamia agentów produkcyjnie, albo nie śledzi takich zdarzeń. Przewaga sytuacji bliskich incydentu nad potwierdzonymi incydentami sama w sobie jest wymowna: firmy wykrywają problemy, ale często blisko punktu awarii. Mechanizmy analizowane w całym raporcie — tożsamość, izolacja i egzekwowanie zasad — decydują o tym, czy kolejna sytuacja bliska incydentu pozostanie pod kontrolą.

Ekspozycja rośnie wraz z wielkością firmy, ale zdolność ograniczania skutków nie. Wskaźnik incydentów lub sytuacji bliskich incydentu wzrasta z 49% wśród firm mid-market (101–1 000 pracowników) do 63% w większych przedsiębiorstwach (powyżej 1 000 pracowników). W tym samym zakresie izolacja agentów wysokiego ryzyka w sandboxach spada z 35% do 20%, a zadowolenie z narzędzi bezpieczeństwa obniża się z 4,36 do 3,97. Organizacje uruchamiające najwięcej agentów w największej liczbie systemów odnotowują najwięcej incydentów i najrzadziej stosują ten jeden mechanizm, który ogranicza promień rażenia incydentu.

Ustalenie 2: luka w tożsamości

Firmy zapytano, jak zarządzają tożsamością agentów AI — czy każdy agent ma własne poświadczenia, czy agenci je współdzielą. Pełna tożsamość przypisana do każdego agenta pozostaje wyjątkiem, a nie regułą.

Łącznie nakładające się odpowiedzi pokazują, że 69% firm (74 ze 107) ma pewien stopień współdzielenia poświadczeń w swojej flocie agentów. Tylko około jedna trzecia (32%) nadaje każdemu agentowi własną, ograniczoną i zarządzaną tożsamość — fundament dostępu o najmniejszych uprawnieniach i jednoznacznej atrybucji. Prawie połowa (48%) twierdzi, że część agentów ma ograniczone tożsamości, ale wielu nadal współdzieli poświadczenia, a kolejne 32% zgłasza, że agenci w większości działają na współdzielonych kluczach API albo pożyczonych poświadczeniach użytkowników i kont usługowych. Respondenci mogli opisać więcej niż jeden wzorzec w swojej flocie, więc te dane nakładają się na siebie.

Konsekwencja jest bezpośrednia: gdy agenci współdzielą poświadczenia, agent z nadmiernymi uprawnieniami lub agent przejęty przez atakującego może działać ze znacznie większym zasięgiem niż zamierzono, a analiza powłamaniowa nie jest w stanie jednoznacznie rozróżnić, który agent wykonał którą akcję. Zarządzanie tożsamością nie-ludzką — zapewnienie każdemu agentowi własnej, nadzorowanej tożsamości — stanowi największy niedokończony element bezpieczeństwa agentów w przedsiębiorstwach. Ramy branżowe, w tym OWASP Top 10 for LLM Applications, wskazywały nadmierną sprawczość i niewystarczające mechanizmy tożsamości jako jedną z głównych klas ryzyka, a firmy analityczne, takie jak Gartner, określiły nadzór nad tożsamościami nie-ludzkimi jako szybko wyłaniającą się dyscyplinę, której istniejące narzędzia IAM nie obejmują w pełni.

Dane ujawniają również korelację między postawą wobec poświadczeń a incydentami. Organizacje, w których gdziekolwiek we flocie występuje współdzielenie poświadczeń, doświadczyły incydentu lub sytuacji bliskiej incydentu w ciągu ostatnich dwunastu miesięcy na poziomie 63,5% (47 z 74). Organizacje, w których każdy agent ma własną ograniczoną tożsamość, odnotowały takie zdarzenia na poziomie 40,9% (9 z 22). Grupa z pełnym zakresem tożsamości jest mała, więc zależność jest na razie asocjacją, a nie udowodnioną przyczynowością, a luka koncentruje się w segmencie mid-market — jednak w ramach jednej ankiety różnica dwudziestu trzech punktów procentowych w częstości incydentów sugeruje istotność.

Ustalenie 3: obserwacja i egzekwowanie bez izolacji

Organizacje zapytano o ich praktyczną postawę bezpieczeństwa agentów — czy obserwują, egzekwują, izolują lub łączą te podejścia. Mechanizm najskuteczniej ograniczający szkody jest wdrażany najrzadziej.

Monitorowanie i egzekwowanie zasad są dość rozpowszechnione: około połowa firm obserwuje aktywność agentów (47%) lub egzekwuje ograniczone uprawnienia w czasie wykonywania (49%). Jednak tylko 30% izoluje swoich agentów najwyższego ryzyka w sandboxach zaprojektowanych tak, aby ograniczyć promień rażenia, gdy zawiodą inne mechanizmy. Taka kolejność jest sprzeczna z podejściem defense-in-depth: obserwacja pokazuje, co się stało, egzekwowanie próbuje temu zapobiec, ale to izolacja ogranicza szkody, gdy prewencja zawiedzie — i właśnie ten mechanizm firmy wdrożyły najrzadziej. W połączeniu z luką w tożsamości powstaje obraz agentów, którzy są obserwowani i objęci uprawnieniami, ale rzadko zamykani w ograniczonym środowisku, czyli dokładnie taka konfiguracja, w której pojedyncza awaria może szeroko się rozprzestrzenić.

Ustalenie 4: dominują mechanizmy natywne dla dostawców

Firmy zapytano, jakich narzędzi bezpieczeństwa agentów używają i które z nich pełni rolę głównej warstwy. Wyniki faworyzują dostawców modeli i hyperscalerów względem wyspecjalizowanych dostawców bezpieczeństwa.

Organizacje zabezpieczają agentów przede wszystkim narzędziami wbudowanymi w ich platformy modeli i chmury. Zabezpieczenia OpenAI prowadzą z wynikiem 51%, za nimi znajdują się natywne kontrolki chmurowe Google i Microsoft oraz mechanizmy zarządzanych agentów Anthropic. Poproszone o wskazanie pojedynczej głównej warstwy bezpieczeństwa, 82% organizacji wskazało jedno z tych rozwiązań natywnych dla dostawców. Kategoria narzędzi bezpieczeństwa agentów zbudowanych specjalnie do tego celu — obejmująca Palo Alto Prisma AIRS, CrowdStrike, Cisco AI Defense, Zenity, HiddenLayer, Check Point Lakera, Okta for AI Agents oraz platformy tożsamości nie-ludzkiej — jest ledwo widoczna, a każdy dostawca osiąga niskie jednocyfrowe wartości. Tylko 5% zgłosiło, że nie korzysta z żadnych dedykowanych narzędzi. Pakiet dostawcy wygrywa jako domyślny wybór: firmy najpierw sięgają po zabezpieczenia dostarczane przez ich platformę, a niezależna warstwa bezpieczeństwa, która mogłaby zaadresować luki w tożsamości i izolacji, nie osiągnęła jeszcze znaczącej adopcji.

Ten wzorzec domyślnego wyboru dostawcy przypomina wczesną trajektorię bezpieczeństwa chmury, w której organizacje początkowo polegały na natywnych kontrolkach dostawców chmurowych, zanim wyspecjalizowani dostawcy, tacy jak Wiz, Orca i Lacework, ustanowili kategorię cloud-native application protection platform (CNAPP). To, czy bezpieczeństwo agentów podąży tą samą ścieżką — od wygody dostawcy do narzędzi projektowanych specjalnie do tego celu — jest pytaniem, na które dane o rozważanych zakupach w Ustaleniu 8 zaczynają odpowiadać.

Ten wzorzec domyślnego wyboru dostawcy jest spójny w obu falach ankiety z Q2. W fali kwiecień–maj (n=110) wykorzystaniu przewodziły te same nazwy — kontrolki OpenAI na poziomie 26%, Azure 15%, AWS 14%, Google 12% — a każdy wyspecjalizowany dostawca bezpieczeństwa agentów osiągał 3% lub mniej, zaś jedna na dziesięć organizacji nie korzystała z żadnych dedykowanych narzędzi. Spójny wniosek z obu ankiet: firmy domyślnie wybierają rozwiązania dostarczane przez istniejącą platformę, a dostawcy wyspecjalizowanej kategorii nie zbudowali jeszcze znaczącej obecności.

Uwaga dotycząca interpretacji tych udziałów: próba respondentów jest samoselekcyjna i przechyla się w stronę segmentu mid-market, a pytanie o wykorzystanie zliczało każdego dostawcę lub podejście obecne u respondenta, więc liczby mierzą obecność w stosie bezpieczeństwa, a nie wydatki czy wyłączność. Procenty dotyczące poszczególnych dostawców obciążone są typowymi zastrzeżeniami próby. Jednak wzorzec strukturalny utrzymał się w obu falach Q2 przy dwóch różnie sformułowanych pytaniach: prowadzą mechanizmy natywne dla dostawców i hyperscalerów, a wyspecjalizowani dostawcy bezpieczeństwa agentów pozostają na niskich jednocyfrowych poziomach.

Ustalenie 5: wysokie zadowolenie mimo ekspozycji

Firmy zapytano, jak bardzo są zadowolone ze swoich obecnych narzędzi bezpieczeństwa agentów. Deklarowany poziom komfortu wyraźnie nie przystaje do udokumentowanej ekspozycji.

Zadowolenie z narzędzi bezpieczeństwa agentów jest wysokie — 4,2 na 5 ogółem i 4,1 pod względem stosunku wartości do ceny — co należy do najbardziej pozytywnych odczytów w tej serii badań. Firmy wyrażają wysokie zadowolenie ze stosu złożonego głównie z zapożyczonych zabezpieczeń dostawców, mimo że ponad połowa doświadczyła już incydentu lub sytuacji bliskiej incydentu, a tylko jedna trzecia nadaje agentom ograniczone tożsamości. Źródłem komfortu wydaje się wygoda i niski opór wdrożeniowy mechanizmów natywnych dla dostawców, a nie wykazana skuteczność ograniczania skutków. Jak pokazuje Ustalenie 8, wśród tych samych firm deklarujących zadowolenie wyraźna większość planuje zmianę narzędzi w ciągu roku, co sugeruje, że ich pewność może być słabsza, niż wskazuje wynik zadowolenia.

Ustalenie 6: budżety pozostają w tyle za ryzykiem

Firmy zapytano, jaką część budżetu bezpieczeństwa przeznaczają na zabezpieczanie agentów AI. Jak na szybko wyłaniającą się kategorię ryzyka, alokacja pozostaje skromna.

Najczęstsza alokacja to 6–10% budżetu bezpieczeństwa (46%), a jedna trzecia firm (34%) wydaje 5% lub mniej. Tylko jedna czwarta (24%) przeznacza więcej niż jedną dziesiątą. Biorąc pod uwagę wskaźnik incydentów oraz opisane powyżej luki w tożsamości i izolacji, budżet wydaje się wskaźnikiem opóźnionym — ryzyko zmaterializowało się szybciej niż finansowanie potrzebne do jego obsłużenia. Firmy wydające na bezpieczeństwo agentów więcej niż jedną dziesiątą budżetu bezpieczeństwa stanowią wyraźną mniejszość i prawdopodobnie to one budują mechanizmy ograniczonej tożsamości i izolacji, których inni jeszcze nie wdrożyli.

Ustalenie 7: wyścig zbrojeń jest co najwyżej wyrównany

Firmy zapytano, jak oceniają równowagę między swoimi zabezpieczeniami wykorzystującymi AI a napastnikami wykorzystującymi AI. Pewność jest daleka od ugruntowanej.

Tylko około jedna trzecia (35%) uważa, że ich zabezpieczenia wykorzystujące AI wyprzedzają napastników wykorzystujących AI. Pozostali są mniej pewni: 32% określa sytuację jako mniej więcej wyrównaną, 21% uważa, że przewagę mają napastnicy, a kolejne 21% twierdzi, że jest zbyt wcześnie, aby to ocenić. Łącznie wyraźna większość (53%) ocenia bilans jako wyrównany lub przechylony w stronę napastnika. Ta niepewność niepokojąco kontrastuje z wysokim zadowoleniem zgłoszonym w Ustaleniu 5: firmy są zadowolone ze swoich narzędzi, ale nie są przekonane, że wygrywają one rywalizację, do której zostały stworzone. W domenie, w której zdolności ofensywne również narastają dzięki AI, wyrównany wyścig oznacza podatną pozycję.

Ustalenie 8: nadchodzi przetasowanie w bezpieczeństwie

Firmy zapytano, czy planują przyjąć nowe, dodatkowe lub zastępcze rozwiązanie bezpieczeństwa agentów oraz których dostawców rozważają. Niewiele z nich zamierza utrzymać status quo.

Choć 41% nie ma planów zmian, wyraźna większość (59%) zamierza w ciągu dwunastu miesięcy przyjąć nowe, dodatkowe lub zastępcze rozwiązanie bezpieczeństwa agentów, a 29% w ciągu najbliższego kwartału — to silny sygnał, że mimo wysokich ocen zadowolenia firmy uznają obecny stos za tymczasowy.

Incydenty wydają się głównym katalizatorem cyklu zakupowego. Wśród organizacji, które doświadczyły incydentu, 42,1% planuje przyjąć, dodać lub zastąpić narzędzia bezpieczeństwa agentów w ciągu najbliższych dziewięćdziesięciu dni, w porównaniu z 14,0% organizacji bez incydentu. Po potwierdzonym incydencie staje się to zachowaniem większościowym, na poziomie 52,6%. Doświadczenie ataku zmienia również ocenę zagrożeń: 33,3% dotkniętych organizacji twierdzi, że napastnicy uzbrojeni w AI wyprzedzają ich zabezpieczenia, wobec 8,0% organizacji niedotkniętych. W tych danych doświadczenie jest najsilniejszym predyktorem zarówno pilności, jak i pesymizmu.

Lista rozważanych rozwiązań nadal przechyla się w stronę narzędzi natywnych dla dostawców (OpenAI 34%, Google 30%, Anthropic 29%, Azure 25%), ale wyspecjalizowani dostawcy bezpieczeństwa — Cloudflare, Cisco, Palo Alto, Okta i Check Point Lakera — przyciągają wczesne zainteresowanie na średnich do wysokich jednocyfrowych poziomach, przekraczając swój obecny zainstalowany zasięg.

Szczególnie nieobecna na liście zakupowej jest warstwa tożsamości. Dwanaście procent respondentów uwzględnia produkt tożsamości agentów — Okta for AI Agents, Microsoft Entra Agent ID lub platformę tożsamości nie-ludzkiej — gdziekolwiek w zestawie rozważanych rozwiązań. Wśród organizacji współdzielących poświadczenia, które już doświadczyły incydentu, rozważanie tożsamości pozostaje zasadniczo bez zmian, na poziomie około jednej na dziesięć. Mechanizm najbardziej bezpośrednio wskazywany przez dane o incydentach jest w dużej mierze nieobecny w planach zakupowych. To, czy ta fala utrwali domyślny wybór rozwiązań natywnych dla dostawców, czy otworzy drzwi dla bezpieczeństwa agentów budowanego specjalnie do tego celu — mechanizmów tożsamości i izolacji, których domagają się incydenty — pozostaje pytaniem, które ta seria badań będzie nadal śledzić.

Wniosek: luka bezpieczeństwa, którą autonomia przetestuje jako pierwszą

Organizacje zatrudniające ponad 100 pracowników dają agentom AI realny zasięg w systemach i danych, zabezpieczając ich mechanizmami zbudowanymi do innych celów. Ponad połowa doświadczyła już incydentu lub sytuacji bliskiej incydentu. Tylko jedna trzecia nadaje każdemu agentowi własną ograniczoną tożsamość, a większość nadal współdzieli poświadczenia. Tylko trzy na dziesięć izolują swoich agentów najwyższego ryzyka. Stos wykonujący tę pracę jest w przeważającej mierze zapożyczony od dostawców modeli i hyperscalerów, a nie zaprojektowany specjalnie dla agentów.

Uderzające jest niewygodne zestawienie pewności z ekspozycją: zadowolenie z obecnych narzędzi należy do najwyższych w tej serii badań, a mimo to wydatki pozostają niewielką częścią budżetu bezpieczeństwa, tylko jedna trzecia uważa, że ich zabezpieczenia wyprzedzają napastników wykorzystujących AI, a wyraźna większość już planuje zastąpić to, co ma. Przy 107 respondentach w jednej fali jest to odczyt kierunkowy przechylony w stronę segmentu mid-market — ale kierunek jest jasny. Adopcja agentów wyprzedza bezpieczeństwo agentów, a mechanizmy najważniejsze w chwili awarii — ograniczona tożsamość i izolacja — są tymi, które firmy wdrożyły najrzadziej.

Luka w bezpieczeństwie agentów nie jest problemem pokrycia, który zabezpieczenie dostawcy samo zamknie. To zasadniczo problem tożsamości, izolacji i egzekwowania zasad zaprojektowanych dla autonomicznego oprogramowania. Otwarte pytanie dla kolejnych fal brzmi, czy firmy zamkną tę lukę świadomie — czy zrobi to za nie potwierdzony incydent.

Na podstawie odpowiedzi ankietowych 107 zakwalifikowanych respondentów z przedsiębiorstw (100+ pracowników), zebranych w jednej fali w czerwcu 2026 r. Jest to odczyt kierunkowy, a nie precyzyjny pomiar — próba jest samoselekcyjna i przechyla się w stronę segmentu mid-market, dlatego najlepiej odczytywać ją jako perspektywę organizacji aktywnie ustanawiających bezpieczeństwo agentów, a nie największych operatorów. Respondenci są doświadczeni i wiarygodni zakupowo (45% ostatecznych decydentów, 30% osób rekomendujących/wpływających na decyzje), obejmują stanowiska od menedżerów po kadrę C-level i pochodzą głównie z branż Technology/Software, Manufacturing, Retail/E-commerce oraz Healthcare/Life Sciences.