AI agenti dostali klíče od vaší firmy. Bezpečnost ale zůstala za dveřmi

Osmdesát osm procent firem už zažilo bezpečnostní incident s AI agentem — a jen šest procent rozpočtu míří na tuto hrozbu. Kde je díra a jak ji zavřít za 90 dní.

Vaše firma možná právě teď spustila prvního AI agenta — software, který sám čte e-maily, sahá do CRM, generuje faktury nebo objednává zboží. A podle nejnovějších dat je velká šance, že už měl bezpečnostní incident, aniž byste o tom věděli. Nový průzkum mezi podnikovými bezpečnostními šéfy ukazuje překvapivě znepokojivé číslo: 88 % firem nahlásilo za poslední rok bezpečnostní incident spojený s AI agentem. A přitom jen 6 % bezpečnostních rozpočtů míří na tuto konkrétní hrozbu.

Zatímco se veřejná debata točí kolem toho, zda nám AI vezme práci nebo přinese umělou obecnou inteligenci, v serverovnách českých i světových firem se tiše odehrává jiný příběh. Autonomní software dostal klíče od podnikových systémů — a ochranné mechanismy za ním výrazně zaostávají. Pojďme si rozebrat, co přesně data ukazují a co s tím může udělat majitel firmy, který dnes nasazuje AI.

Od chatbota k agentovi: proč se změnila pravidla hry

Ještě před rokem znamenala „AI ve firmě“ většinou chatbota, který odpovídal na dotazy. Dnes je situace jiná. AI agent už není jen mluvící asistent — je to software, který reálně jedná: přihlašuje se do aplikací, volá firemní nástroje, čte i zapisuje data a rozhoduje o krocích s minimálním zásahem člověka. Analytici Gartneru odhadují, že do konce roku 2026 bude mít 40 % podnikových aplikací vestavěné task-specific agenty — oproti méně než 5 % dnes.

Právě tady vzniká zásadní rozdíl. Když se pokazí chatbot, vygeneruje nepřesnou odpověď. Když se pokazí — nebo je zneužit — agent s přístupem k platebnímu systému nebo k databázi zákazníků, může odeslat peníze, exfiltrovat citlivá data nebo smazat záznamy. A to všechno rychlostí stroje. Průzkum uvádí, že nejrychlejší zaznamenaný čas, za který útočník po průniku začal jednat, byl pouhých 27 sekund.

Problém navíc není hypotetický. Podle dat 54 % firem už zažilo potvrzený incident nebo těsně uniklo katastrofě: 18 % nahlásilo skutečný bezpečnostní incident a dalších 36 % zachytilo pokus těsně předtím, než napáchal škodu. Jen 42 % firem uvádí, že žádný incident nezaznamenaly — což ovšem může znamenat i to, že ho prostě neviděly.

Sdílené klíče: nejčastější slabina, kterou má i vaše firma

Když experti pátrali po hlavní příčině, narazili opakovaně na tentýž problém: sdílené přihlašovací údaje. 69 % firem má někde ve své flotile agentů sdílené credentials — tedy více agentů (nebo agenti a lidé) používá stejný API klíč nebo servisní účet. Jen 32 % firem dává každému agentovi vlastní, přesně vymezenou identitu.

Proč je to tak nebezpečné? Data mluví jasně. Mezi firmami se sdílenými klíči byla míra incidentů 63,5 %. Mezi těmi, které daly každému agentovi vlastní identitu, klesla na 40,9 %. Sdílený klíč znamená dvě věci najednou: obrovský „dosah exploze“, když se jeden agent kompromituje (útočník získá přístup ke všemu, co ten klíč otevírá), a zároveň nemožnost dohledat, kdo vlastně co provedl. Elia Zaitsev, technologický ředitel CrowdStrike, to shrnul výstižně:

Aktivita agenta je v běžném logování k nerozeznání od aktivity člověka.

Jinými slovy: když se něco pokazí, ve vašich logách uvidíte jen „přihlásil se uživatel a stáhl data“ — ale nepoznáte, jestli to byl zaměstnanec, nebo unesený agent. A pokud jich deset sdílí jeden účet, nemáte šanci určit viníka.

Díra ve vynucování: firmy sledují, ale nezasahují

Průzkum odhalil ještě zákeřnější mezeru, kterou autoři nazývají „dírou ve vynucování“ (enforcement gap). Bezpečnost AI agentů se dá rozdělit do tří fází. Fáze 1 (pozorovat) znamená logování a sledování toho, co agenti dělají. Fáze 2 (vynucovat) znamená přidělit každému agentovi omezenou identitu a vyžadovat schválení u citlivých operací. Fáze 3 (izolovat) znamená spouštět rizikové agenty v pískovišti a vyžadovat lidský podpis u kritických rozhodnutí.

Realita je taková, že většina firem zainvestovala do fáze 1 — mají monitoring — ale čelí hrozbám fáze 3, aniž by měly fázi 2. Konkrétně: 47 % firem sice sleduje aktivitu, ale nedokáže ji za běhu vynutit ani zastavit. Jen 21 % firem má vůbec runtime přehled o tom, co jejich agenti reálně provádějí. A jen 30 % izoluje vysoce rizikové agenty v odděleném prostředí.

Zvlášť varovné je, že 25,5 % nasazených agentů může vytvářet a úkolovat další agenty. Podřízený agent přitom ve výchozím nastavení dědí oprávnění svého „rodiče“ — což otevírá dveře k eskalaci privilegií, kdy se z jednoho kompromitovaného agenta stane celý řetězec. Prezident Cisco Jeetu Patel to přirovnal k dospívání:

Agenti se chovají spíš jako teenageři — mimořádně inteligentní, ale bez jakéhokoli strachu z následků.

Falešný pocit bezpečí: schválili jste rozhraní, ne systém

Nejnebezpečnější je možná mezera mezi vnímáním a realitou. Zatímco 88 % firem nahlásilo incident, celých 82 % manažerů je přesvědčeno, že jejich politiky chrání před neoprávněnými akcemi agentů. Tento přehnaný optimismus dobře vystihuje Merritt Baer, bezpečnostní ředitelka Enkrypt AI a bývalá zástupkyně CISO v Amazonu:

Firmy věří, že „schválily“ AI dodavatele. Ve skutečnosti ale schválily rozhraní, ne systém, který se skrývá pod ním.

Pro českého podnikatele to má konkrétní překlad: fakt, že jste nasadili nástroj od velké značky, neznamená, že máte bezpečnost vyřešenou. Poskytovatelé cloudu sice nabízejí základní ochranné mechanismy — nejrozšířenější jsou guardraily OpenAI (51 %), kontroly Google Cloud (36 %) a Microsoftu (35 %) — ale žádný z hlavních poskytovatelů zatím nedodává kompletní řešení fáze 3. A firmy, které provozují agenty přes open-source frameworky jako LangChain nebo CrewAI, obcházejí firemní správu identit úplně a musí si ochranu vybudovat samy.

Regulace už klepe na dveře

Bezpečnost AI agentů není jen technický problém — stává se i právním. Povinnosti lidského dohledu podle článku 14 evropského AI Actu vstoupily v platnost 2. srpna 2026. To znamená, že u vysoce rizikových AI systémů musí být člověk schopen zasáhnout a rozhodnutí zvrátit. Pro firmy, které nechají agenta jednat plně autonomně bez kontrolních bodů, to může znamenat regulatorní problém.

K tomu se přidávají oborová pravidla — například ve financích doporučují regulátoři explicitní lidské kontrolní body předtím, než agent provede transakci. Vzkaz je jasný: éra, kdy jste mohli AI agenta nasadit a nechat běžet bez dozoru, končí dřív, než pořádně začala.

Praktický takeaway: co udělat v příštích 90 dnech

Dobrá zpráva je, že náprava nevyžaduje drahé speciální nástroje — vyžaduje pořádek. Experti doporučují postupovat ve třech třicetidenních vlnách, a i menší firma zvládne většinu sama:

• Dní 1–30: Zmapujte každého agenta k jmenovitému majiteli — ať víte, kdo za co odpovídá. Zapisujte všechna volání nástrojů. A hlavně zrušte sdílené API klíče, které jsou nejčastější slabinou.
• Dní 31–60: Přidělte každému agentovi vlastní, přesně vymezenou identitu. Zaveďte schvalovací kroky u zápisových operací (odeslání peněz, změna dat zákazníka). Napojte logy agentů do svého bezpečnostního přehledu a jednou nasucho „projděte“ scénář útoku.
• Dní 61–90: Vysoce rizikové úlohy — zdravotní data, osobní údaje, finance — spouštějte v izolovaném prostředí. Vynucujte princip nejmenších oprávnění a vyžadujte lidský podpis, když jeden agent předává úkol druhému.

Základní princip, na kterém se experti shodují, zní jednoduše: každý agent má mít vlastní, omezenou identitu. Ne sdílený klíč, ne účet nějakého zaměstnance, ne servisní účet s přístupem ke všemu. Právě tohle je strukturální základ, který v případě incidentu umožní útok zastavit a dohledat viníka.

Pro majitele firmy je z toho jedno poučení: AI agenti jsou obrovská příležitost k automatizaci — ušetří hodiny práce, zvládnou rutinu, zrychlí procesy. Ale nasadit je bez správy identit a kontrolních bodů je jako dát novému zaměstnanci univerzální klíč od celé firmy, nechat ho pracovat v noci bez dohledu a doufat, že se nic nestane. Ta technologie za to stojí. Jen si k ní pořiďte i zámky.