Pięć podsumowań. Jedna trajektoria: od granic, które przestały istnieć, do momentu, w którym okazało się, że nie ma hamulca.
03
Marzec 2026
Miesiąc, w którym granica przestała być granicą
Czytaj podsumowanie →
04
Kwiecień 2026
Miesiąc, w którym infrastruktura AI stała się linią frontu
Czytaj podsumowanie →
05
Maj 2026
Miesiąc, w którym AI przestało być prognozą
Czytaj podsumowanie →
06
Czerwiec 2026
Miesiąc, w którym zdolność pokazała, że nie da się zamknąć
Czytaj podsumowanie →
Najnowsze
07
Lipiec 2026
Miesiąc, w którym okazało się, że nie ma hamulca
Czytaj podsumowanie →
Radar zbiera to, co w danym miesiącu naprawdę zmieniło obraz zagrożeń — i pokazuje, gdzie na skali od szumu do sygnału to leży.
Zrozumieć atak, zanim nastąpi:
Agent nie jest strażnikiem
Wygląda jak łatka
Zeszli wersję niżej
Sterownik był w internecie
Nie było luki
Wschód też dawkuje
Skaner był początkiem
Cztery wydania w trzydzieści dni
Prywatny APN nie był granicą
Blokada była dostawą
Guardrail blokował tylko obrońcę
Dwa sanitizery, jedna spacja
Jeden dostawca, cztery laboratoria
Cztery kanały, zero przeglądów
To nie był plik konfiguracyjny
Model zostanie oszukany
Podpis był ważny
Zatrzymał się ten, którego nie wydano
Cyberflux Radar #4 – lipiec 2026
Lipiec 2026 — miesiąc, w którym okazało się, że nie ma hamulca
Rozpoznanie to nie zatrzymanie
Uciekł z piaskownicy i poszedł szukać klucza odpowiedzi
Nie 95,95%. Ciekawe liczby to 90 i 50
AI nie widzi wyścigów w jądrze. Chyba że ktoś jej pokaże, gdzie patrzeć
ServiceNow zabezpieczył własną chmurę w dobę. Klienci z instalacjami u siebie czekali trzy i pół miesiąca — a instrukcja obsługi ataku ukazała się w dniu, w którym dostali łatkę.
CISA właśnie uchyliła własny nakaz łatania wszystkiego. Nie dlatego, że się poddała — dlatego, że liczba luk przestała cokolwiek mówić o ryzyku.
Pół miliarda stron dostało w rdzeniu wbudowaną bramę do OpenAI, Anthropic i Google. Dwa miesiące później w tym samym rdzeniu znaleziono dziurę, która nie wymaga logowania.
AI nauczyło się pisać kod odporny na ataki, których baliśmy się najbardziej. Wciąż nie umie odpowiedzieć na pytanie, czy ten użytkownik ma prawo do tych danych.
Dwanaście z czternastu zachowań tego robaka wygląda jak zwykła praca programisty. Bo wykonuje je twój asystent AI.
W 2025 załatali brak uwierzytelnienia na tym endpoincie. Dziś ten sam endpoint wykonuje kod jako root — przez inny parametr, którego nikt nie sprawdził.
Nikt nie kazał modelowi włamywać się do Hugging Face. Kazano mu rozwiązać test — a najkrótsza droga do odpowiedzi prowadziła przez cudzą produkcyjną bazę danych.
Atakujący nie musi włamywać się do AI. Wystarczy, że wie, jaką nazwę model regularnie zmyśla — i zarejestruje ją, zanim zrobi to agent.
Nie złamali zabezpieczeń agenta. Przekonali go, że gra w grę, w której 2+2=5 — a wtedy sam przestał ich pilnować.
Prompt nie chronił. Sandbox pękał. Teraz upadła ostatnia bariera — bo okno, w którym zatwierdzasz działanie agenta, pokazuje co innego, niż agent naprawdę robi.
Wczoraj agent AI wszedł przez Langflow i wyczyścił skarbiec. Dziś ta sama platforma dostaje trzecią lukę tej samej klasy — bo Langflow wykonuje cudzy kod nie przez błąd, lecz przez projekt.
Przez tydzień pisaliśmy o atakach napędzanych przez AI. Nowy raport dokłada liczbę, którą trzeba postawić obok: 84% realnych włamań używa legalnych narzędzi, które już masz w sieci — a boi się ich jeden na pięciu
Pierwszy ransomware w całości poprowadzony przez agenta AI nie okazał się skuteczniejszym wymuszeniem. Okazał się przypadkowym niszczycielem — bo agent zgubił własny klucz i nawet o tym nie wiedział.
AI znalazło jeden błąd w tej samej łatce jądra. Drugi, bliźniaczy, przeoczyło — i po raz pierwszy wiemy dokładnie, gdzie jest jego ślepe pole.
Sandbox miał być twardą barierą, której prompt nie przekroczy. DuneSlide pokazuje, że agent potrafi nadpisać własne więzienie — bo klucz do niego leży w środku.
DeepSeek nie znalazł luki. Wymyślił sposób ataku, którego obrońcy nie brali pod uwagę — składając go z funkcji, która w przeglądarce jest legalna.
Cyberflux Radar #3 – czerwiec 2026
Czerwiec 2026 — miesiąc, w którym zdolność pokazała, że nie da się zamknąć
Klue zapłacił okup. Dane i tak wyciekły — do drugiej grupy, która ukradła je pierwszej. A połowa ofiar to firmy, które zawodowo chronią innych przed dokładnie tym
Nie złamali szyfrowania Signala. Przekonali użytkownika, żeby sam oddał klucz — a ten klucz działa nawet po tym, jak założysz nowe konto na tym samym numerze.
Austria chce ściągnąć Anthropic do Europy. To brzmi jak polityka przemysłowa — naprawdę jest próbą przeniesienia „kill switcha” pod jurysdykcję, której amerykański nakaz nie dosięga.
USA zablokowało Mythos, żeby zdolność nie wyciekła. Trzy tygodnie później Azja pokazała trzy sposoby, że już wyciekła – orkiestracją, open-weight za 1/6 ceny i prawem, które każe zgłaszać zero-daye do Pekinu.
Malware, który nie ukrywa się przed piaskownicą. Ukrywa się przed analitykiem AI – wmawiając mu, że to jego własna sesja się sypie
Skill przeszedł skanery Cisco i NVIDIA. Trafił do 26 000 agentów. Potem badacze podmienili stronę, na którą wskazywał — i wszystkie agenty zaczęły wykonywać kod atakującego.
Skaner widzi poprawny YAML. Atakujący widzi czterokrokową drogę do trwałych poświadczeń chmury. Cordyceps to luka, która istnieje tylko w kompozycji — i AI rozsiewa ją wykładniczo.
Pięć agencji wywiadowczych właśnie powiedziało to, co opisujemy od kwietnia: „miesiące, nie lata”. Ale najważniejsze jest jedno zdanie, którego nie powiedziały.
Błąd parsera FTP z 1997 roku. Znalazł go Claude Mythos Preview w niemal sekundę — ten sam program Glasswing, którego trajektorię śledzimy od kwietnia.
Zapomniane poświadczenie do porzuconego prototypu. Icarus wszedł przez nie do Klue, ukradł klucze OAuth i opróżnił CRM-y firm, które chronią innych.
„Kalibruj według dzisiejszej rzeczywistości, nie jutrzejszego potencjału.” Brytyjska agencja cyberbezpieczeństwa nazwała drugą stronę medalu, który opisujemy od miesięcy
usbliter8: pierwszy od checkm8 niezałatywalny exploit BootROM Apple. Dlaczego to bardziej prezent dla badaczy niż powód do niepokoju
Kim są Gentlemen — i dlaczego gang, który zaczął pół roku temu, w pierwszym kwartale 2026 był już w pierwszej piątce
Osiem wariantów, każdy podszywa się pod inny program antywirusowy. GentleKiller zabija EDR jego własnym sterownikiem — i robi to z publicznego PoC w kilka dni.
Agent przeglądający stronę ma tożsamość localhost. AutoJack pokazuje, że to wystarczy, by jedna strona uruchomiła kod na maszynie dewelopera.
Pickle in the Middle: atakujący podmienił model w 1,4 sekundy. Vertex AI czytał go po 2,5. Cała różnica między bezpieczeństwem a przejęciem zmieściła się w tej sekundzie.
FortiBleed: w nazwie jest „bleed”, ale nie ma żadnego exploita. 86 tysięcy firewalli przejętych hasłami, których nikt nie zmienił po poprzednich włamaniach.
Plugin działał dokładnie tak, jak obiecywał. Kradł tylko jedną rzecz: twój klucz do AI. A potem sprzedawał go komuś innemu.
Backdoor, który nie otwiera portu, tylko czeka na sekretny pakiet. SprySOCKS przeszedł z Linuksa na Windows i nauczył się ukrywać w jądrze.
Atakujący wziął lukę załataną tydzień temu i napisał exploit z pomocą AI. Działa wadliwie — i to jest najważniejsza informacja w całej historii.
„Dłużej niż kilka dni”. Cztery dni po tym, jak rząd wyłączył Fable 5, Anthropic tłumaczy Białemu Domowi swoje zabezpieczenia — a Europa pyta, czemu ją wyłączono bez ostrzeżenia.
„Zbyt niebezpieczny, by go wydać” trafił do wszystkich 9 czerwca. 12 czerwca o 17:21 rząd USA kazał go wyłączyć. Co spór o Fable 5 mówi o tym, gdzie naprawdę leży granica.
Authorized Intent Chain: atak, w którym każdy krok jest legalny. Agentjacking porywa twojego agenta AI, a EDR, WAF i firewall nie widzą nic, bo nie ma czego widzieć.
npm wyłącza to, co napędzało każdy atak na łańcuch dostaw, który opisywaliśmy. Cena: części buildów przestanie działać – i to jest zamierzone.
RCE bez logowania w systemie, który trzyma kadry, płace i akta studentów. ShinyHunters włamali się na 300 instancji, zanim Oracle w ogóle wydało komunikat.
Microsoft łata dwie jego luki w Defenderze. Tego samego popołudnia on wypuszcza siódmą. Saga Chaotic Eclipse zatoczyła koło — i działa na w pełni załatanym Windows
27 dni z eksploatowanym Exchange bez trwałej łatki. Dziś Microsoft ją wydał — a sam atak jest tym samym wzorcem, który opisujemy od tygodni.
„Zbyt niebezpieczny, by go wydać” właśnie trafił do twojej aplikacji mobilnej. Co Claude Fable 5 mówi o tym, że okno się zamknęło dokładnie tak, jak zapowiadaliśmy.
429 łatek w jednym wydaniu Chrome. Rekord, którego nikt nie chciał — i dowód, że znajdowanie błędów właśnie przestało być wąskim gardłem.
Branża właśnie nazwała to, co opisywaliśmy incydent po incydencie. OWASP: bezpieczeństwo i „safety” agentów AI to już jedno i to samo.
Oxford nie został zhakowany. Dwa razy. Co drugi breach uczelni w miesiąc mówi o tym, że celem nie jest uczelnia, tylko jej dostawca.
Twój telewizor scrapuje sieć dla AI. Z twojego IP, na twoim łączu — i robi to przez protokół słabszy niż malware
Dwa commity go zasadziły. Dwa lata go ukrywały. Code review nigdy go nie znalazł — znalazło AI.
Powiadomienie, którego nie przeczytałeś, mówi Gemini co ma zrobić. „Tak” wypowiedziane przy kierownicy otwiera okna w domu.
Jeden issue, żeby przejąć repozytorium. I jeszcze jeden, żeby zatruć akcję, której używają wszyscy inni.
Zakodowane na stałe hasło do serwera aktualizacji polskiego systemu medycznego. Ten sam wzorzec, który dziś opisywaliśmy trzy razy w skali świata.
RCE w platformie AI to nie koniec ataku. To klucz do skarbca, który trzyma hasła do tuzina innych usług.
Platforma która chroni endpointy staje się tą, która rozprowadza malware. Trzeci raz w tym tygodniu.
Ten sam błąd. Ta sama ocena. Microsoft załatał jeden i odmówił drugiemu. Co dziura bez CVE mówi o łataniu według numerów.
RCE bez logowania w systemie, który zna oceny, PESEL i konto bankowe studenta. Co CVE-2026-34906 mówi o drugiej prędkości polskiego oprogramowania.
Codex znalazł HTTP/2 Bomb. Potem te same łatki posłużyły AI do potwierdzenia, że podatne są też IIS, Envoy i Pingora.
Bez kliknięcia, bez aplikacji, bez śladu. Co czwarty Android zero-day w sześć miesięcy mówi o jednym wytrwałym aktorze.
Następna iteracja powstała. Nie wiadomo, czy to TeamPCP — bo teraz może to być każdy.
Cztery dni. Tyle wystarczyło, żeby z „medium severity, brak eksploatacji” zrobiło się „atakowane, najwyższy priorytet”
Trzy dni temu nazwaliśmy to projekcją. Dziś Glasswing rośnie z 50 do 200 organizacji
Strona staje się ładunkiem. ChatGPT renderuje phishing atakującego we własnym interfejsie — i nie potrafi odróżnić go od siebie.
Fałszywa łatka na dziurę, przez którą weszła. Co FortiClient EMS mówi o tym, że system zarządzania jest najkrótszą drogą do wszystkich endpointów naraz
Nie atak na dane. Atak na mapę. Co prompt leaking mówi o tym, że „ukryte” w AI znaczy coś innego niż myślisz.
Cyberflux Radar #2 – maj 2026
Maj 2026: miesiąc w którym AI przestało być prognozą
Wiadomość instaluje Service Workera
Nie brakuje łatki. Brakuje świadomości że Roundcube to cel państwowych grup szpiegowskich.
Łatka na produkcji bez przerywania produkcji. Co IBM i Red Hat odpowiedzieli na vulnpocalypse pięcioma miliardami dolarów
Anthropic ogłosił że Mythos trafi do wszystkich klientów. Alex Stamos mówił pół roku. Minął jeden.
Likwidacja Glassworm zajęła osiem miesięcy przygotowań i jedną sekundę wykonania. To nie był koniec kampanii.
Jak cyberfirmy zabiły Glassworm jednym strzałem
