Bezpieczeństwo AI w firmie: shadow AI, prompt injection, uprawnienia agentów — i AI w cyberbezpieczeństwie

O bezpieczeństwie AI w firmie mówi się zwykle jednym zdaniem: „uważajcie, co wklejacie do czatu”. To ważne, ale to tylko część obrazu. AI w firmie trzeba chronić — a jednocześnie AI może pomóc chronić firmę. Ten tekst opisuje obie strony z perspektywy obrony: co zrobić, żeby narzędzia AI nie stały się nowym wejściem do systemów, i gdzie AI odciąża zespół odpowiedzialny za bezpieczeństwo. Technik ataku nie opisujemy.

Bezpieczeństwo AI nie zaczyna się od filtra na wejściu, tylko od pytania, co AI wolno przeczytać i co wolno jej zrobić. Jeśli agent ma dostęp tylko do tego, czego potrzebuje, a każdy ważny krok zatwierdza człowiek, nawet udana manipulacja ma ograniczone skutki. Tak samo patrzę na AI w obronie: to wsparcie dla zespołu, który rozumie swoje systemy, a nie zastępstwo za niego.

— Dariusz Wtykło, właściciel i CEO Primessio

Dlaczego teraz: AI weszła do procesów szybciej niż zabezpieczenia

Badanie BSI i TÜV-Verband wśród niemieckich firm pokazuje tę lukę w liczbach. Wiążące wewnętrzne zasady korzystania z AI ma 59 % firm używających AI³. Osobne procedury na incydenty związane z AI ma tylko 11 % firm, które korzystają z AI lub planują jej wdrożenie¹. Jednocześnie 17 % firm zgłosiło w ostatnich 12 miesiącach potwierdzony lub podejrzewany cyberatak albo próbę oszustwa z udziałem AI². Autorzy podsumowują to wprost: firmy wdrażają AI szybciej, niż dostosowują swoje struktury bezpieczeństwa¹.

Strona pierwsza: bezpieczeństwo samej AI w firmie

Shadow AI — narzędzia, o których firma nie wie

Shadow AI to korzystanie z narzędzi AI bez wiedzy i zgody firmy: prywatne konto w czacie, rozszerzenie przeglądarki, darmowy tłumacz. W badaniu Microsoftu i LinkedIna 78 % użytkowników AI przyznało, że przynosi do pracy własne narzędzia⁶ — to badanie producenta, ale kierunek jest czytelny. Problemem nie jest sama AI, tylko to, że firmowe dane trafiają tam, gdzie firma nie kontroluje ich przechowywania ani dalszego użycia.

Sam zakaz rzadko działa, bo potrzeba zostaje. BSI i TÜV-Verband zalecają prowadzenie rejestru AI — aplikacji, modeli, interfejsów i osób odpowiedzialnych, łącznie z funkcjami AI wbudowanymi w istniejące oprogramowanie — oraz jasne zasady użycia, ocenę ryzyka i zatwierdzanie narzędzi, które mają zapobiegać shadow AI⁴. Do tego firmowe narzędzie, które realnie zastępuje prywatne konta, i krótkie szkolenie: co wolno wkleić, a czego nie.

Prompt injection — gdy dane udają polecenia

Model językowy nie oddziela twardo poleceń od danych. Badacze ujęli to tak: aplikacje zintegrowane z modelem zacierają granicę między danymi a instrukcjami⁹. Jeśli asystent czyta maila, stronę albo plik, ukryte w nich zdanie może próbować zmienić jego zachowanie — OWASP nazywa to pośrednim prompt injection, gdy model przyjmuje dane ze źródeł zewnętrznych, takich jak strony czy pliki⁷.

NIST zaznacza, że nie ma jeszcze niezawodnego sposobu, by ochronić AI przed wprowadzeniem w błąd¹⁰. Z tego wynika praktyczna zasada: zakładamy, że filtr kiedyś zawiedzie, i projektujemy system tak, żeby skutki były małe. Treści z zewnątrz oznaczamy jako niezaufane i oddzielamy od poleceń, asystent czytający pocztę nie ma uprawnień do wysyłki ani płatności, a każdy krok jest zapisywany.

Nadmierne uprawnienia agentów AI

Agent AI nie tylko odpowiada, ale też działa: wysyła, zapisuje, zmienia rekordy. OWASP opisuje to ryzyko jako nadmierną sprawczość (excessive agency) — podatność, która pozwala wykonać szkodliwe działania w odpowiedzi na nieoczekiwane, niejednoznaczne lub zmanipulowane wyniki modelu — i zaleca, by działania o dużych skutkach przed wykonaniem zatwierdzał człowiek⁸. To ta sama logika, którą OECD opisuje dla agentów w organizacjach: mają sens tam, gdzie wynik da się sprawdzić, a koszt błędu jest ograniczony lub odwracalny¹¹.

W praktyce oznacza to osobne konto techniczne dla agenta, dostęp tylko do potrzebnych danych, limity działań, akceptację człowieka przy płatnościach, wysyłce do klientów i zmianach w systemach, dziennik kroków oraz testy na nietypowych i złośliwych danych przed wejściem na produkcję. O projektowaniu agentów piszemy więcej w analizie o agentach AI — link znajdziesz na końcu artykułu.

Dane w UE i zależność od dostawców

Każde zapytanie do modelu to przekazanie danych. W badaniu BSI i TÜV-Verband 54 % firm prowadzi aplikacje AI głównie u zewnętrznych dostawców chmury, a 30 % określa się jako zależne od dostawców AI spoza Europy³. W całej UE obawy o naruszenie ochrony danych są jednym z najczęstszych powodów, dla których firmy w ogóle nie korzystają z AI (52,7 %)¹².

Odpowiedzią nie jest rezygnacja z AI, tylko decyzja, które dane i gdzie są przetwarzane: dostawca z przetwarzaniem w UE, umowa powierzenia, minimalizacja danych w zapytaniach, a tam, gdzie to uzasadnione — model uruchamiany we własnej infrastrukturze. Dla systemów wysokiego ryzyka AI Act wymaga odpowiedniego poziomu dokładności, odporności i cyberbezpieczeństwa przez cały cykl życia systemu (art. 15)¹⁴.

Strona druga: AI w cyberbezpieczeństwie — AI jako narzędzie obrony

Ta sama technologia pomaga zespołom, które bronią systemów. W badaniu BSI i TÜV-Verband co trzeci respondent liczy na wyższe bezpieczeństwo IT dzięki AI, na przykład przez wczesne wykrywanie cyberataków⁵. Autorzy zalecają sprawdzić, jak AI może wspierać obronę: przy wykrywaniu podatności w autoryzowanych środowiskach, prowadzeniu inwentarza IT i filtrowaniu podejrzanych maili⁵.

Przegląd kodu i zależności

AI sprawnie czyta duże ilości kodu i wskazuje miejsca do sprawdzenia: niebezpieczne wzorce, brak walidacji danych, przestarzałe biblioteki. W finale konkursu DARPA AI Cyber Challenge systemy AI zespołów znalazły 54 unikalne syntetyczne podatności i załatały 43 z nich, a do tego odkryły 18 rzeczywistych podatności¹⁵. To wynik konkursu na przygotowanych zadaniach, a nie obietnica dla każdej firmy — ale pokazuje kierunek.

Działa to też w drugą stronę: kod pisany z pomocą AI wymaga tego samego przeglądu. W badaniu przedstawionym na IEEE Symposium on Security and Privacy około 40 % programów wygenerowanych przez asystenta kodu w scenariuszach dotyczących typowych klas podatności okazało się podatnych¹⁶. Dlatego u nas każda zmiana — napisana przez człowieka czy z pomocą AI — przechodzi przegląd, testy i automatycznych strażników.

Logi i anomalie

Systemy firmy produkują więcej logów, niż człowiek jest w stanie przeczytać. AI pomaga je streszczać, grupować podobne zdarzenia i wskazywać odchylenia od normy: logowanie o nietypowej porze, nagły wzrost zapytań, nowy kierunek ruchu. Decyzja, czy to incydent, zostaje u człowieka — model wskazuje, gdzie patrzeć, a nie rozstrzyga. Te same dzienniki są podstawą kontroli samej AI: bez zapisu kroków agenta nie da się odtworzyć, co zrobił i dlaczego.

Priorytety podatności

Lista znanych podatności w typowej firmie jest dłuższa niż czas na ich łatanie, więc najważniejsze pytanie brzmi: od czego zacząć. EPSS, rozwijany przez FIRST, to system oparty na uczeniu maszynowym, który szacuje prawdopodobieństwo, że opublikowana podatność CVE zostanie wykorzystana w ciągu najbliższych 30 dni¹⁷. Połączony z wiedzą o własnych systemach — co jest dostępne z internetu, gdzie są dane klientów — daje kolejność pracy opartą na danych, a nie tylko na ocenie wagi podatności.

Poczta i phishing

Wśród firm, które w badaniu BSI i TÜV-Verband zgłosiły atak lub próbę oszustwa z udziałem AI, 90 % wskazało wysoce realistyczne maile phishingowe². Po stronie obrony AI pomaga filtrować podejrzane wiadomości⁵. Równie ważna jest prosta procedura: polecenie płatności albo zmiana numeru konta zawsze potwierdzana innym kanałem.

Obszar	Co robi AI	Co zostaje u człowieka
Przegląd kodu i zależności	wskazuje podejrzane fragmenty i przestarzałe biblioteki	ocena, poprawka, test
Logi i anomalie	streszcza, grupuje, wskazuje odchylenia	decyzja, czy to incydent
Priorytety podatności	szacuje prawdopodobieństwo wykorzystania	kolejność według znaczenia systemów
Poczta	filtruje i oznacza podejrzane wiadomości	potwierdzenie płatności innym kanałem

Czego AI w bezpieczeństwie nie zastąpi

• Wiedzy o własnych systemach. AI wskaże podejrzane zdarzenie, ale tylko zespół wie, który serwer jest krytyczny, a który testowy.
• Kontroli wyników. W badaniu BSI i TÜV-Verband krytyczne wyniki AI sprawdza 67 % firm³; w globalnym badaniu McKinsey tylko 27 % respondentów deklaruje, że pracownicy sprawdzają wszystkie treści z AI przed użyciem¹³. Pozostała część to ryzyko, które firma bierze na siebie.
• Procedur na incydent. Istniejące procedury bezpieczeństwa trzeba uzupełnić o scenariusze AI: wyciek danych, zmanipulowaną treść i niechciane działanie agenta.
• Odpowiedzialności. Za decyzję odpowiada firma, niezależnie od tego, kto lub co ją przygotowało.

Od czego zacząć — plan na pierwszy miesiąc

• Spisz, z jakich narzędzi AI korzysta zespół — także funkcji AI w programach, które już macie.
• Ustal zasady: jakie narzędzia, z jakimi danymi, kto zatwierdza nowe.
• Daj zespołowi firmowe narzędzie, które zastąpi prywatne konta.
• Dla każdego agenta spisz uprawnienia, ustaw akceptację człowieka przy działaniach o dużych skutkach i włącz dziennik kroków.
• Dopisz scenariusze AI do procedur na incydenty.
• Wybierz jeden obszar obrony do wsparcia AI — na przykład przegląd zależności albo priorytety podatności — i zmierz, czy pomaga.

Tak projektujemy bezpieczeństwo w naszych wdrożeniach — opis znajdziesz w sekcji bezpieczeństwo AI w firmie na stronie usługi wdrożeń AI. Całą drogę wdrożenia, od mapy procesów po utrzymanie, opisuje Model wdrożenia AI Primessio — metoda wypracowana przez Primessio w praktyce projektów.

Najczęstsze pytania

Czym jest shadow AI i jak ją ograniczyć?

Shadow AI to korzystanie z narzędzi AI, których firma nie zatwierdziła — zwykle w dobrej wierze, ale z firmowymi danymi w prywatnym koncie. W badaniu Microsoftu i LinkedIna 78 % użytkowników AI deklaruje, że przynosi do pracy własne narzędzia. BSI i TÜV-Verband zalecają rejestr AI obejmujący aplikacje, modele, interfejsy i osoby odpowiedzialne oraz jasne zasady użycia, ocenę ryzyka i zatwierdzanie narzędzi. W praktyce sprawdza się połączenie: firmowy asystent, krótka lista dozwolonych narzędzi i szkolenie.⁶⁴

Co to jest prompt injection i jak się przed nim chronić?

Prompt injection to próba zmiany zachowania modelu przez polecenia ukryte w treści. Odmiana pośrednia wchodzi przez dane z zewnątrz, na przykład strony internetowe albo pliki. Ochrona to warstwy: treści z zewnątrz traktujemy jako niezaufane, agent ma tylko niezbędne uprawnienia, działania o dużych skutkach czekają na akceptację człowieka, a każdy krok trafia do dziennika. NIST zaznacza, że niezawodnej ochrony jeszcze nie ma — dlatego liczy się ograniczenie skutków.⁷⁸¹⁰

Jak AI pomaga w cyberbezpieczeństwie firmy?

Przy pracy, której jest za dużo dla ludzi: przeglądzie kodu i zależności, analizie logów, wykrywaniu nietypowych zdarzeń, filtrowaniu podejrzanych maili i ustalaniu kolejności łatania podatności. BSI i TÜV-Verband zalecają sprawdzić, jak AI może wspierać obronę — na przykład przy wykrywaniu podatności w autoryzowanych środowiskach, prowadzeniu inwentarza IT i filtrowaniu podejrzanych maili. System EPSS szacuje z pomocą uczenia maszynowego prawdopodobieństwo wykorzystania podatności w ciągu 30 dni.⁵¹⁷

Czy kod pisany z pomocą AI jest bezpieczny?

Nie z założenia. W badaniu przedstawionym na IEEE Symposium on Security and Privacy około 40 % programów wygenerowanych przez asystenta kodu w scenariuszach dotyczących typowych klas podatności okazało się podatnych. Dlatego kod z AI przechodzi ten sam przegląd, testy i kontrolę zależności co kod pisany przez ludzi.¹⁶

Gdzie powinny być przetwarzane dane firmy w rozwiązaniach AI?

Tam, gdzie firma ma nad nimi kontrolę i podstawę prawną — dla firm z UE zwykle w UE, z ograniczeniem tego, co trafia do modelu. W badaniu BSI i TÜV-Verband 54 % firm prowadzi aplikacje AI głównie u zewnętrznych dostawców chmury, a 30 % określa się jako zależne od dostawców AI spoza Europy. Obawy o ochronę danych to jeden z najczęstszych powodów, dla których firmy w UE nie korzystają z AI (52,7 %).³¹²

Źródła

1. BSI und TÜV-Verband (Feldarbeit: forsa): KI-Sicherheitsstudie 2026 · 2026-10-07 · poziom 2 · sprawdzono 2026-10-20
2. BSI und TÜV-Verband (Feldarbeit: forsa): KI-Sicherheitsstudie 2026 · 2026-10-07 · poziom 2 · sprawdzono 2026-10-20
3. BSI und TÜV-Verband (Feldarbeit: forsa): KI-Sicherheitsstudie 2026 · 2026-10-07 · poziom 2 · sprawdzono 2026-10-20
4. BSI und TÜV-Verband (Feldarbeit: forsa): KI-Sicherheitsstudie 2026 · 2026-10-07 · poziom 2 · sprawdzono 2026-10-20
5. BSI und TÜV-Verband (Feldarbeit: forsa): KI-Sicherheitsstudie 2026 · 2026-10-07 · poziom 2 · sprawdzono 2026-10-20
6. Microsoft und LinkedIn: 2024 Work Trend Index Annual Report: AI at Work Is Here. Now Comes the Hard Part · 2024-05-08 · poziom 3 · sprawdzono 2026-10-20
7. OWASP GenAI Security Project: LLM01:2025 Prompt Injection · 2024-11 · poziom 2 · sprawdzono 2026-10-09
8. OWASP GenAI Security Project: LLM06:2025 Excessive Agency · 2024-11 · poziom 2 · sprawdzono 2026-10-09
9. arXiv: Not what you’ve signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (Greshake et al.) · 2023-02-23 · preprint, niezrecenzowany · poziom 2 · sprawdzono 2026-10-20
10. NIST: NIST Identifies Types of Cyberattacks That Manipulate Behavior of AI Systems · 2024-01-04 · poziom 2 · sprawdzono 2026-10-20
11. OECD: Agentic AI in organisations: Early insights from practitioner interviews (OECD AI Papers No. 65) · 2026-09 · poziom 2 · sprawdzono 2026-10-09
12. Eurostat: The use of artificial intelligence in the European Union — Key results · 2026-03 · poziom 1 · sprawdzono 2026-10-09
13. McKinsey & Company: The state of AI: How organizations are rewiring to capture value · 2025-03-12 · poziom 2 · sprawdzono 2026-10-09
14. EUR-Lex: Regulation (EU) 2024/1689 (AI Act), Article 15: Accuracy, robustness and cybersecurity · 2024-07-12 · poziom 1 · sprawdzono 2026-10-20
15. DARPA: AI Cyber Challenge marks pivotal inflection point for cyber defense · 2025-08-08 · poziom 2 · sprawdzono 2026-10-20
16. IEEE S&P / arXiv: Asleep at the Keyboard? Assessing the Security of GitHub Copilot’s Code Contributions (Pearce et al., IEEE Symposium on Security and Privacy 2022) · 2022-05 · poziom 1 · sprawdzono 2026-10-20
17. FIRST: Exploit Prediction Scoring System (EPSS) · 2026 · poziom 2 · sprawdzono 2026-10-20

Powiązane

Wdrożenie AI w firmie →Jak wdrożyć AI w firmie — model →Agenci AI w firmie: czym są, co potrafią i jak je bezpiecznie wdrożyć →AI w biznesie: jak sztuczna inteligencja zmienia sposób patrzenia na firmę i co realnie można osiągnąć →AI Act: harmonogram obowiązków dla firm po zmianach z 2026 roku →