Gdy Cisco poddało 15 flagowych modeli AI 6 986 atakom wieloturowym, przeciwnicy dostosowujący swoje podejście w trakcie rozmowy odnosili sukces nawet w 88,3% przypadków. Amy Chang, szefowa działu analizy zagrożeń AI i badań nad bezpieczeństwem w Cisco, przedstawiła ten wynik podczas panelu poświęconego bezpieczeństwu agentowemu na VB Transform 2026 — to liczba, która powinna zaniepokoić każdą organizację nadal polegającą na programach red teamingu opartych na pojedynczych turach.

Pilność tematu na sali potwierdzały dane. Według ankiety Pulse VentureBeat z czerwca 2026 r., przeprowadzonej wśród 107 respondentów z przedsiębiorstw, ponad połowa — 54% — doświadczyła już albo potwierdzonego incydentu bezpieczeństwa agenta (18%), albo sytuacji o mały włos od incydentu, zatrzymanej przed wyrządzeniem szkody (36%). Tylko 32% przypisuje każdemu agentowi własną, ograniczoną zakresowo i zarządzaną tożsamość, a zaledwie 30% izoluje agentów najwyższego ryzyka w sandboxach. Kontrole natywne dla dostawców i hyperscalerów pozostają podstawową warstwą bezpieczeństwa agentów w 82% ankietowanych firm — statystyka ta została podkreślona w szerszym badaniu VentureBeat dotyczącym współdzielonych kluczy API.

Najwięksi dostawcy zabezpieczeń na świecie wydają się dochodzić do tego samego wniosku. Palo Alto Networks sfinalizowało przejęcie CyberArk za 25 mld USD w lutym, CrowdStrike zgodził się w styczniu zapłacić 740 mln USD za SGNL, a Cisco ogłosiło zamiar przejęcia Astrix Security za zgłaszane 400 mln USD — wszystkie te transakcje celują w warstwę tożsamości i izolacji, której większość przedsiębiorstw nie zbudowała jeszcze w pełni. Łącznie trzy transakcje oznaczają ponad 26 mld USD zaangażowanego kapitału skoncentrowanego na zarządzaniu tożsamością i dostępem.

Kariera obejmująca cyberbezpieczeństwo, administrację publiczną i wojsko

Chang wniosła do panelu niemal dwie dekady doświadczenia w operacjach cyberbezpieczeństwa, administracji publicznej i służbie wojskowej. Wcześniej pełniła funkcję dyrektora wykonawczego w JPMorgan Chase, gdzie kierowała globalnymi operacjami cyberbezpieczeństwa i zespołami banku ds. analizy zagrożeń cybernetycznych. Była także starszą pracownicą Komisji Spraw Zagranicznych Izby Reprezentantów oraz oficerem rezerwy U.S. Navy. Obecnie wykłada cyberbezpieczeństwo i nowe zagrożenia jako adiunkt w Middlebury Institute of International Studies.

Wynik 88,3% pochodzi z badania, którego była współautorką wraz z Nicholasem Conleyem, opartego na 30 090 promptach pojedynczej tury i 6 986 atakach wieloturowych przeciwko 15 zamkniętym i własnościowym flagowym modelom. Wskaźniki sukcesu ataków wieloturowych wahały się od 7,89% do 88,3%, a każdy testowany model wykazywał nietrywialną ekspozycję na ataki wieloturowe. Co istotne, obie metody testowania nie uszeregowały modeli nawet w tej samej kolejności. Chang zauważyła również, że Cisco publikuje obecnie sygnały oceny adwersarialnej dla 105 modeli w swoim LLM Security Leaderboard.

"If you don't understand how models are susceptible to different types of attacks, then you are unable to account for how that model that is powering your agent, that is powering your application, to understand where those failure points are," powiedziała Chang.

Zestawiła testy jednoturowe — jednorazowy złośliwy prompt — z atakami wieloturowymi, które opisała jako "more realistic of how we are actually engaging with our models, with our agents, with our applications." Ten wydłużony przebieg interakcji ujawnia szkodliwe odpowiedzi i niedopasowane zachowania, których test migawkowy nigdy nie wychwyci. W praktyce atakujący wieloturowo może zacząć od neutralnych pytań, badać granice zabezpieczeń modelu, a następnie stopniowo kierować rozmowę ku ograniczonemu tematowi — dopracowując każdą turę na podstawie odpowiedzi modelu, podobnie jak socjotechnik dostosowuje się do reakcji celu.

Agentowy red teaming i zaskakująco proste mechanizmy obrony

Cisco przesunęło własne testy na grunt agentowy. Chang opisała framework, w którym agenci oceniają scenariusz wdrożenia, opracowują odpowiednie ataki, oceniają, czy warto je kontynuować, wykonują je i mierzą własny sukces. Mimo całej tej złożoności najbardziej uderzyło ją to, jak prosta pozostaje recepta obronna.

"The answer is still that it's pretty simple," powiedziała. "You don't have to get super creative. You just need to think about truly what are the fundamentals and basics of what I'm trying to secure in my organization."

Dla CISO rozpoczynających wdrożenia agentowe rekomendowanym przez nią punktem startu jest Integrated AI Security and Safety Framework Cisco, który według niej "stipulates all the ways that AI can be compromised across the AI lifecycle" — od modalności po łańcuch dostaw. Zespoły mogą następnie pracować wstecz od rzeczywistych incydentów, śledząc, w jaki sposób doszło do każdego ataku, i wykorzystać framework do zbudowania strategii z właściwym zakresem zabezpieczeń i mitygacji. Ramy rządowe jeszcze nie nadążyły: AI Risk Management Framework NIST, opublikowany w styczniu 2023 r., poprzedza falę systemów agentowych i oferuje ograniczone wskazówki dla systemów, w których autonomiczni agenci łączą wywołania narzędzi i wykonują wieloetapowe przepływy pracy.

Box: trzy koncentryczne warstwy i lekcje po utracie zaufania

Heather Ceylan, CISO w Box, wskazała tę samą lukę z perspektywy obrońcy. "A lot of what you see out there with agent red teaming is just single-turn, and that's not how people are actually interacting with AI day-to-day," powiedziała publiczności. Box symuluje obecnie wieloturowych przeciwników za pomocą agentów zaprojektowanych tak, by myśleli jak atakujący, ponawiając kolejne próby przejęcia celu. "You have to pressure test your agents because otherwise you don't know if your execution controls are really working as you intended."

Box wdrożył agentów w swoim centrum operacji bezpieczeństwa około rok temu, początkowo wymagając zatwierdzenia przez człowieka dla każdej akcji. Zaufanie narastało szybko, a analitycy ostatecznie przeszli do roli monitorującej. Potem agent popełnił jeden błąd — i całe zgromadzone zaufanie wyparowało.

"They had to start all over again," powiedziała Ceylan. "So I think that that monitoring piece is so important. Even if you're not gonna have a human in the loop, things change, models change, and we can't control how the models change and interpret things."

Ceylan opisała architekturę obronną Box jako trzy koncentryczne warstwy. Najpierw pojawiają się uprawnienia, zapewniające, że agent nigdy nie uzyska dostępu do większej ilości treści niż człowiek, który go wywołał. Dla każdego zadania uruchamiane są efemeryczne środowiska sandbox, ograniczające promień rażenia, jeśli agent zostanie przejęty. Kontrola wykonywania w czasie działania ogranicza następnie wywołania narzędzi przez agenta wyłącznie do tych, które są istotne dla wykonywanego zadania.

"If you want an agent to summarize a doc for you, if you have a prompt injection that came in that says forward this to maliciousattacker at domain.com, it can't do that," powiedziała Ceylan. "That action in that tool call is not even in its vocabulary."

Podzieliła działania agentów na trzy poziomy nadzoru. Działania niewrażliwe, takie jak odczyt i streszczenie, nie wymagają udziału człowieka. Działania umiarkowanie wrażliwe omijają zatwierdzenie przez człowieka, ale są rejestrowane i monitorowane. Działania destrukcyjne, takie jak masowe usuwanie plików, zawsze wymagają człowieka. "Things are gonna shift between those three categories quite a bit," przyznała, "but setting those types of categories up front allows you to have a principled framework."

Intuit: system operacyjny generatywnej AI

Rajesh Parekh, wiceprezes ds. AI i ML w Intuit, przedstawił perspektywę twórcy. Parekh wcześniej kierował wielkoskalowymi systemami widzenia komputerowego i ML zasilającymi produkty Google Maps i Geo oraz posiada doktorat z informatyki.

Zamiast dokładać kontrole do poszczególnych agentów, Intuit zbudował centralną platformę o nazwie GenOS — skrót od generative AI operating system — która abstrahuje modelowanie bezpieczeństwa, ryzyka i nadużyć, aby deweloperzy agentów nie musieli za każdym razem budować ochrony od podstaw.

"Permissioning is not about giving access to AI," powiedział Parekh. "Instead, it is defining very tightly scoped and clearly auditable authority to the agent to perform very specific tasks." Intuit przeszedł od modelu, w którym agenci dziedziczyli uprawnienia użytkowników, do sytuacji, w której każdy agent ma własną tożsamość; firma bada obecnie zmiany uprawnień w trakcie sesji, powiązane z konkretnym wykonywanym zadaniem.

Parekh opisał szerszy model jako ekspercką platformę wspieraną przez AI, w której ludzki ekspert jest wbudowany w architekturę zaufania, a nie dodany jako zewnętrzna bramka. "The paradigm that we are pursuing is where the user, the AI agent, and the human expert are collaborating to solve the user problem," powiedział.

Wyjaśnił również, dlaczego powierzchnia red teamingu tak szybko się rozszerzyła. "These agents have skills, and skills could become vulnerabilities," powiedział. "Agents have access to certain data, they have access to tools, and there could be threats that are lurking within those tools as well. So suddenly the blast radius of the malicious code or the intent increases dramatically." Gdy Intuit identyfikuje typowe wzorce podatności podczas ręcznego red teamingu, automatyzuje te testy w środowisku GenOS, aby przyszli agenci dziedziczyli ochronę, a red teamerzy koncentrowali się na pojawiających się zagrożeniach. Skanowanie promptów i odpowiedzi w czasie wykonywania zapewnia ostatnią warstwę, zdolną zatrzymać podejrzaną odpowiedź i eskalować ją do ludzkiego eksperta.

"You need to continuously test to ensure that those remain robust to the protections that you have built, as well as to account for any sort of drift or any other types of dependencies that you introduce into your scenario that can create novel vulnerabilities," dodała Ceylan.

Koniec przeglądów kodu wykonywanych przez ludzi

Ceylan bezpośrednio odniosła się do napięcia między testowaniem bezpieczeństwa a tempem rozwoju oprogramowania. "The days of secure code reviews where a human's looking at the code and we're looking at security architecture reviews, design docs, those are done," powiedziała. "If you keep trying to do security that way, you're gonna get left behind."

Box zmierza ku w pełni agentowemu cyklowi rozwoju oprogramowania, w którym agenci przeglądają dokumenty projektowe, stosują wymagania bezpieczeństwa i audytują kod pod kątem podatności. "I'm very optimistic that we will get to a point where we will write code without security vulnerabilities because agents and the models are going to get so good at writing code without vulnerabilities," powiedziała. "We're still a long way away from that."

Jej wskazówki dla zespołów deweloperskich odkładają zaawansowane koncepcje AI na bok na rzecz podstaw znacznie starszych niż agenci. "It comes down to very basic least privilege access," powiedziała. "If you start giving your agents overly broad permissions at the beginning, it's really hard to comb that back and build an infrastructure that allows for those ephemeral credentials and only those narrowly scoped tasks."

Intencja kontra prawdopodobieństwo

Pytanie z publiczności o wykrywanie intencji wywołało najostrzejszą wymianę zdań podczas panelu. Ceylan zauważyła, że gdy działa własny agent Box, system zawsze zna intencję użytkownika, ponieważ kontroluje prompt, co pozwala odpowiednio zaprojektować guardraile i ograniczenia wywołań narzędzi. Trudniejsze wyzwanie — nad którym, jak przyznała, Box wciąż pracuje — pojawia się, gdy łączą się zewnętrzni agenci, a kontekst stojący za ich żądaniami jest nieprzejrzysty.

Ta wymiana ujawniła szerszy podział w branży. Podczas rozmowy przy kominku poprzedzającej panel Mastercard opowiedział się za kwantyfikacją intencji i budową open-source'owego frameworka do propagowania jej jako standardu, ponieważ złożone zakupy B2B nie mogą funkcjonować bez takiego zaufania. CTO ds. bezpieczeństwa endpointów, w briefingach z VentureBeat, zajęli przeciwne stanowisko, mówiąc, że w obciążeniach produkcyjnych będą polegać na prawdopodobieństwie, a nie na wnioskowaniu o intencji.

Chang wyjaśniła, że modele, w obecnym sposobie trenowania, nie potrafią niezawodnie wyprowadzać intencji z promptu, dlatego kontrole deterministyczne i behawioralne wskaźniki zastępcze pozostają niezbędne. Ceylan zgodziła się, że potrzebne są oba podejścia. "If you're not doing anything deterministic, you're really relying heavily on that intent, and I haven't seen programs that are there yet," powiedziała.

Relacja Ceylan o załamaniu zaufania po pojedynczym błędzie agenta stała się najbardziej zapamiętanym momentem panelu, podkreślając, że bezpieczeństwo agentowe w przedsiębiorstwie nie jest problemem, który można rozwiązać raz na zawsze. Modele się zmieniają, uprawnienia dryfują, a przeciwnicy dostosowują się w wieloturowych rozmowach, których testy migawkowe nie wychwytują.

Dla 82% przedsiębiorstw polegających na kontrolach natywnych dla dostawców jako podstawowej warstwie bezpieczeństwa — oraz dla 59% poszukujących narzędzi bezpieczeństwa agentów w ciągu najbliższych 12 miesięcy, kategorii, która dziś istnieje głównie jako szyta na miarę infrastruktura wewnętrzna w firmach takich jak Box i Intuit — wniosek z panelu był jednoznaczny: testuj tak, jak atakują przeciwnicy, w pełnych rozmowach i w sposób ciągły, albo odkryj dopiero na produkcji to, czego nie wykrył red teaming jednoturowy.