Vibe coding i bezpieczeństwo: dlaczego oprogramowanie przestało być drugorzędnym ryzykiem

Cyberbezpieczeństwo w erze AI: exploity zero-day staniały, a bezpieczeństwo awansowało w budżecie

Według stanu na październik 2026 trzy trendy wskazują ten sam kierunek, a nawet ich trzeźwa wersja wystarcza, żeby przestawić budżet.

Najpierw strona ataku. W listopadzie 2025 Anthropic opisał kampanię, którą przypisuje grupie sponsorowanej przez państwo chińskie: AI wykonało 80-90% pracy przeciwko około trzydziestu celom. W maju 2026 zespół Google Threat Intelligence opisał pierwszy exploit zero-day, który według nich przestępcy zbudowali z pomocą AI: obejście uwierzytelniania dwuskładnikowego, przechwycone przed masowym użyciem. W kwietniu Claude Mythos Preview zamienił błędy Firefoksa w działające exploity 181 razy, a poprzedni model dwa razy (historia sandboksa to osobny temat).

Teraz korekty. Zapowiadane przez Anthropic „tysiące” kolejnych poważnych luk to ekstrapolacja z 198 ręcznie zweryfikowanych raportów, co Tom's Hardware wytknął bez ogródek. W kampanii szpiegowskiej model czasem wymyślał dane logowania, czyli klasyczna halucynacja AI. A M-Trends 2026 od Mandianta mówi wprost, że 2025 nie był rokiem włamań wynikających bezpośrednio z AI.

To ostatnie zdanie jest najważniejsze. AI nie wymyśliło nowych dróg do środka, tylko przyspieszyło stare. Według Mandianta przekazanie dostępu między grupą, która się włamuje, a grupą, która go wykorzystuje, trwało ponad 8 godzin w 2022 i 22 sekundy w 2025, a średni czas do wykorzystania podatności spadł do szacowanych -7 dni, czyli przed łatką.

W Polsce dochodzi luka w percepcji. W badaniu Mastercard dla BANK.pl (N=300) 71% małych firm ocenia ryzyko cyberataku jako niskie lub raczej niskie, choć mniej więcej co czwarta już atak przeżyła, a plan reagowania na incydenty ma 18% małych wobec 78% dużych. Tymczasem Barometr KPMG 2026 mówi, że 96% badanych firm (przychód powyżej 51 mln zł) miało w 2025 co najmniej jeden incydent, o 13 pp więcej niż rok wcześniej.

Obrońcy dostają te same narzędzia. W finale DARPA AI Cyber Challenge w sierpniu 2025 systemy znalazły 54 syntetyczne podatności i załatały 43 po około 152 dolary za zadanie. A curl zamknął program bug bounty w styczniu 2026 po zalewie raportów z AI: siedem w szesnaście godzin, ani jednej prawdziwej podatności.

Wiersze ataku mówią o szybkości i skali, nie o nowych technikach, a wiersze obrony o tym, kogo stać na narzędzia jako pierwszego.

Przestarzałe oprogramowanie to największe ryzyko, bo AI czyta stary kod szybciej, niż go łatacie

Za tym stoi wolumen. Analiza danych NVD Jerry'ego Gamblina liczy 48 185 opublikowanych CVE w 2025 wobec 39 962 w 2024, czyli o 20,6% więcej. Potem przyszedł 2026: według wrześniowej analizy GTIG miesięczna liczba ujawnianych podatności podwoiła się z 5045 w styczniu do 10 740 w sierpniu.

GTIG ostrożnie podchodzi do własnych liczb. Automatyczne nadawanie CVE zawyża bazę (same wpisy o jądrze Linuksa dały około 5000 CVE w osiem miesięcy bez żadnego wykorzystanego zero-daya), w atakach zaobserwowano tylko 0,23% podatności z 2026, a związek AI z atakami GTIG nazywa wczesnym sygnałem, nie ustalonym trendem.

Ważniejsze jest to, co faktycznie wykorzystano. GTIG naliczył 141 wykorzystanych podatności od stycznia do sierpnia 2026, więcej niż 127 za cały 2025, w tym 62% zero-dayów. Połowa podatności znalezionych przez AI prowadziła do zdalnego wykonania kodu, wobec 26% wśród wszystkich CVE.

Wiek nie chroni kodu. Mythos znalazł 27-letni błąd w OpenBSD, systemie, którego reputacja stoi na audytach, w przebiegu za mniej niż 50 dolarów, a Anthropic podaje, że w pełni załatano mniej niż 1% znalezionych przez niego potencjalnych podatności. Bibliotekę, której nikt nie ruszał od 2019, ktoś z modelem mógł już przeczytać uważniej niż wy.

Większość ataków nie potrzebuje zero-daya. Sekurak opisał kampanię JadePuffer, którą Sysdig udokumentował jako ransomware prowadzony w całości przez agenta LLM. Wejście: CVE-2025-3248, luka w wystawionym do internetu Langflow pozwalająca wykonać kod bez logowania, naprawiona w wersji 1.3.0 jeszcze w 2025. Dalej agent zalogował się do MinIO przez minioadmin:minioadmin, użył obejścia uwierzytelniania w Nacos z 2021 roku, poprawił nieudany payload w 31 sekund i zaszyfrował 1342 wpisy konfiguracji kluczem, którego nigdzie nie zapisał. Okup nie odzyskałby danych.

Windows 10 stracił wsparcie 14 października 2025, a StatCounter dla Polski we wrześniu 2026 wciąż pokazuje go na 21,28% desktopowych Windowsów. Ale przestarzałe oprogramowanie to rzadko jeden stary laptop, a częściej narzędzie do automatyzacji postawione na pilotaż i nigdy nieaktualizowane, czyli dokładnie to, czego szukał JadePuffer. W raporcie CERT Polska za 2025 podatne usługi to 1732 incydenty, a włamania 750. Przy 253 238 oszustwach to niewiele, ale właśnie tu mieszczą się ataki opisane wyżej.

Jakie są największe zagrożenia vibe codingu? Sześć przewidywalnych miejsc

Vibe coding to budowanie oprogramowania przez opisywanie go modelowi AI i wdrażanie wygenerowanego kodu bez czytania go; termin ukuł Andrej Karpathy w lutym 2025. Sześć powtarzalnych problemów z bezpieczeństwem vibe codingu to brak reguł w bazie danych, dziurawa kontrola dostępu, uwierzytelnianie, które da się obejść, sekrety w kodzie i w konfiguracji agentów, klasyczne wstrzyknięcia oraz agenci z za szerokim dostępem. Każdy ma poniżej nazwany incydent. Najpierw liczby, które pochodzą z bardzo różnych metod. Najczęściej powtarzana to raport Veracode z lipca 2025: w 80 zadaniach i ponad 100 modelach wygenerowany kod wprowadzał podatność z OWASP Top 10 w 45% przypadków testowych. To benchmark laboratoryjny, nie pomiar kodu produkcyjnego, choć daje do myślenia, że większe modele nie radziły sobie lepiej od mniejszych.

Dane z terenu wskazują to samo. Escape.tech przeskanował ponad 5600 wdrożonych aplikacji z vibe codingu, głównie z Lovable, i pasywnym skanem znalazł ponad 2000 podatności, ponad 400 ujawnionych sekretów i 175 wycieków danych osobowych. SSLab z Georgia Tech, jak relacjonuje The Register, przypisał do marca 2026 kodowi pisanemu przez AI 74 CVE, w tym 49 Claude Code i 15 GitHub Copilotowi. Badacz szacuje, że prawdziwa liczba jest 5-10 razy wyższa.

Brak reguł w bazie danych. Moltbook, którego twórca przyznał, że nie napisał ani linijki kodu, miał klucz Supabase w JavaScripcie po stronie klienta i zero row-level security. Wiz znalazł w lutym 2026 otwarte dla każdego 1,5 mln tokenów API, około 35 tys. adresów e-mail i 4060 prywatnych rozmów, do tego z prawem zapisu.

Dziurawa kontrola dostępu. Incydent Lovable z kwietnia 2026, dokładnie opisany przez Sekuraka, to IDOR: zalogowany użytkownik mógł wywoływać funkcje API na cudzych projektach i pobrać ich kod źródłowy, dane logowania do bazy i historię czatów.

Uwierzytelnianie, które da się obejść. W lipcu 2025 Wiz pokazał, że do prywatnych aplikacji na Base44, także firmowych z samym SSO, mógł dołączyć każdy, kto znał identyfikator aplikacji, przez dwa nieudokumentowane endpointy rejestracji. Identyfikator widać w adresie URL. Wix naprawił to w niecałą dobę.

Sekrety w kodzie i w konfiguracji agentów. Raport GitGuardian State of Secrets Sprawl 2026 liczy 28 649 024 nowe sekrety na publicznym GitHubie w 2025. Commity współtworzone przez Claude Code ujawniają sekrety mniej więcej dwa razy częściej niż średnia, a w plikach konfiguracyjnych MCP znaleziono 24 008 unikalnych sekretów. Podobnie z zależnościami. W badaniu z USENIX Security 2025 Spracklen i współautorzy wygenerowali 576 000 próbek kodu: średnio co najmniej 5,2% pakietów podawanych przez modele komercyjne nie istniało, a w modelach open source 21,7%, łącznie 205 474 unikalne zmyślone nazwy. Atakujący rejestrują takie nazwy i czekają, aż agent je zainstaluje. Ten trik nazywa się slopsquatting.

Klasyczne wstrzyknięcia. W testach Veracode modele nie zabezpieczyły kodu przed XSS w 86% przypadków, a przed log injection w 88%. Model powtarza niebezpieczne wzorce, których pełno w publicznym internecie.

Agenci z za szerokim dostępem. W lipcu 2026 Pillar Security pokazał jeden łańcuch ucieczki z sandboksów Codex CLI, Cursora i Gemini CLI przez gniazdo Dockera, aż do całego katalogu domowego użytkownika. Agent nie złamał sandboksa, tylko poprosił o to uprzywilejowany lokalny demon. Od zasięgu zależą też skutki prompt injection: agent, który czyta niezaufane strony, zgłoszenia albo maile, może dostać z nich polecenia i wykona je z takimi uprawnieniami, jakie ma.

Żaden z tych przypadków nie wymagał sprytnego atakującego, tylko kogoś, kto zajrzał. Wygenerowany kod działa na szczęśliwej ścieżce, a nieszczęśliwa nie ma właściciela. Przez tę samą lukę wdrożenia AI w ogóle się sypią.

Przegląd dobierzcie do zasięgu szkód, czyli do tego, czego narzędzie może dotknąć

Zakaz vibe codingu nie działa i nie jest potrzebny. Prototyp z Lovable zrobiony przez marketing to inne ryzyko niż płatności napisane przez agenta, a traktowanie ich tak samo albo dusi pożyteczną pracę, albo przepuszcza groźną. Oceńcie narzędzie po tym, do czego sięgnie, gdy się zepsuje.

Dwie zasady. Narzędzie zmienia poziom, gdy zmieniają się jego dane, a nie kod: prototyp podpięty do prawdziwego CRM-u jest poziomem 2 tego samego popołudnia. A awans oznacza przegląd, nie kopiuj-wklej. Moltbook pokazał, jak wygląda start bez niego.

Pięć rzeczy, których agent nie powinien pisać sam

Powyżej poziomu prototypu część kodu może być co najwyżej wspomagana przez AI. Za każdym punktem stoi publiczny incydent.

Uwierzytelnianie i sesje. Przykładem jest Base44: ekran logowania działał, a endpointy rejestracji za nim niczego nie sprawdzały. Takie błędy nie dają objawów, a testy od tego samego agenta rzadko je łapią.

Reguły bazy danych i row-level security. Supabase i Firebase pozwalają przeglądarce rozmawiać z bazą bezpośrednio, więc reguły są jedyną kontrolą dostępu. Moltbook pokazał, co dzieje się bez nich.

Płatności. Weryfikacja podpisu webhooków, idempotencja, sprawdzanie kwoty po stronie serwera. Błąd tutaj przesuwa pieniądze.

Upload plików. Sprawdzanie typu i rozmiaru, przechowywanie poza katalogiem serwowanym przez WWW, nic wykonywalnego. To częsta droga do zdalnego wykonania kodu, skutku, który GTIG widzi w połowie luk znalezionych przez AI.

Sekrety i uprawnienia agentów. Jakie klucze agent trzyma, do jakich demonów i gniazd sięga, z którymi serwerami MCP rozmawia. Sekrety w MCP i ucieczki opisane przez Pillar sprowadzają się do tego, że agent miał więcej, niż wymagało zadanie.

Kiedy sami budujemy agentów, agent może naszkicować każdy z tych pięciu elementów, ale człowiek pisze albo czyta każdą linijkę, zanim trafi do repozytorium. Celowo wolniej. Jeśli macie już agenta z narzędziami, zawęźcie jego uprawnienia do zadania i uruchamiajcie go tam, gdzie nie widzi katalogu domowego.

Bezpieczeństwo kodu generowanego przez AI zaczyna się od darmowych skanerów

Większość podstaw nic nie kosztuje. Poniższe narzędzia łapią klasy mechaniczne, takie jak wycieki sekretów, zależności ze znanymi lukami i typowe wstrzyknięcia, a większość darmowych planów wystarczy zespołowi dziesięcioosobowemu.

Skanery nie widzą logiki: IDOR-a, endpointu, którego nikt nie chciał wystawiać, polityki row-level security, która przepuszcza odrobinę za dużo. To dokładnie błędy z Lovable, Base44 i Moltbooka i to one wyznaczają granicę między poziomem 2 a 3. Dla narzędzi wewnętrznych skanery plus drugi programista to rozsądne minimum. Systemy dla klientów i z danymi regulowanymi potrzebują kogoś, czyją pracą jest psucie logiki.

Zachodnie cenniki z 2026 podają za pentest jednej aplikacji webowej od około 5000 do 30 000 USD, przy 3-7 dniach testów dla prostej aplikacji. Na polskim rynku poproście o wycenę z zakresem na piśmie i porównajcie kilka ofert. To samo źródło ostrzega, że tani pentest bywa zwykłym skanem z ładniejszą okładką.

NIS2 i Cyber Resilience Act sprawią, że klienci zapytają was o to w przyszłym kwartale

W Polsce to regulacje są głównym biznesowym powodem awansu bezpieczeństwa. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, czyli polskie wdrożenie NIS2, weszła w życie 3 kwietnia 2026. Termin na wpis do wykazu podmiotów kluczowych i ważnych minął 3 października 2026. System zarządzania bezpieczeństwem informacji trzeba wdrożyć do 3 kwietnia 2027, a podmioty kluczowe przechodzą pierwszy audyt do 3 kwietnia 2028. Kierownik podmiotu odpowiada za realizację obowiązków i musi przejść szkolenie.

Kary według biznes.gov.pl sięgają 10 mln euro lub 2% przychodu dla podmiotów kluczowych i 7 mln euro lub 1,4% dla ważnych. Dla małej firmy ważniejszy jest wątek NIS2 a dostawcy: podmioty objęte ustawą muszą oceniać bezpieczeństwo dostawców ICT i wpisywać wymagania do umów. Nawet jeśli nie podlegacie ustawie, klient, który jej podlega, przyśle wam ankietę, a pytanie o to, kto przegląda kod generowany przez AI, pojawi się w niej prędzej czy później.

Drugi zegar to Cyber Resilience Act, który obejmuje oprogramowanie jako produkt z elementami cyfrowymi. Od 11 września 2026 producenci muszą zgłaszać aktywnie wykorzystywane podatności. Art. 14 rozporządzenia daje 24 godziny na wczesne ostrzeżenie, 72 na zgłoszenie i 14 dni od udostępnienia poprawki na raport końcowy, a po polsku wyjaśnia to omówienie Deloitte Legal. Pełne stosowanie od 11 grudnia 2027, kary do 15 mln euro lub 2,5% obrotu. CRA obejmuje też powiązane z produktem rozwiązania do zdalnego przetwarzania danych, więc mały software house czy SaaS nie powinien zakładać, że go to omija. Komponent od agenta nie zmienia tego, kto jest producentem.

Sektor finansowy dostał już konkretny sygnał. Rekomendacje UKNF dotyczące modeli Frontier AI, powołujące się na ostrzeżenie ESRB z 25 czerwca 2026, każą przyspieszyć obsługę podatności, zweryfikować ryzyko dostawców ICT i lepiej chronić zasoby dostępne z internetu, w tym oprogramowanie od podmiotów trzecich. Dostawcy fintechów dostaną te pytania pierwsi.

Zostaje RODO, także dla danych klientów wklejanych do agentów. Art. 32 RODO wymaga odpowiednich środków bezpieczeństwa i regularnego ich testowania, a art. 33 daje 72 godziny na zgłoszenie naruszenia. Zdanie „ten endpoint napisał agent” środkiem nie jest. Gdzie AI kształtuje decyzje, dochodzi AI Act. Na Sprint Cyber Forum ostrzegano też przed wiarygodnie wyglądającymi, edytowanymi fakturami w PDF, na które ustrukturyzowana faktura z KSeF jest dużo odporniejsza.

Dobre praktyki bezpieczeństwa vibe codingu: checklista cyberbezpieczeństwa dla firm 2026

1. Spiszcie wszystko, co wystaje do internetu. Domeny, VPN-y, panele administracyjne i samodzielnie hostowane narzędzia, zwłaszcza do automatyzacji i AI: n8n, Langflow, Flowise, MinIO, wszystko postawione na pilotaż. JadePuffer szukał ofiar dokładnie po tych śladach.

2. Usuńcie domyślne hasła. minioadmin:minioadmin było drugim krokiem w pełni zautomatyzowanego ataku. Zmieńcie każde domyślne logowanie i zdejmijcie panele administracyjne z publicznego internetu.

3. Spiszcie SLA na łatki dla systemów wystawionych do internetu. Ustalcie, ile dni może czekać krytyczna poprawka i kto ją instaluje. Czego nie da się załatać, łącznie z Windows 10 bez rozszerzonych aktualizacji, idzie za VPN albo zostaje wyłączone.

4. Włączcie MFA odporne na phishing. Klucze FIDO2 albo passkeys najpierw dla poczty, kont administratorów i repozytorium kodu. ENISA w Threat Landscape 2025 wciąż przypisuje phishingowi około 60% początkowych wejść w UE.

5. Wyciągnijcie sekrety z kodu i z konfiguracji agentów, a do tego zależności, których agent nigdy nie zweryfikował. Przepuśćcie gitleaks albo GitGuardian przez wszystkie repozytoria, łącznie z plikami konfiguracyjnymi MCP, zrotujcie to, co wyjdzie, i włączcie push protection. Zanim pakiet dodany przez agenta zostanie w lockfile'u, sprawdźcie, czy istnieje i czy to ten, o który chodziło.

6. Postawcie bramkę przeglądu przed narzędziami z vibe codingu. Spiszcie każde narzędzie zbudowane w Lovable, Base44, Bolt albo przez agenta, przypiszcie mu poziom z tabeli i spełnijcie minimum tego poziomu, zanim dotknie prawdziwych danych.

7. Trzymajcie jedną kopię offline i przetestujcie odtwarzanie. Ofiary JadePuffer nie mogły odkupić danych. Kopia, której nie skasuje ktoś z waszymi uprawnieniami administratora, to jedyna odpowiedź.

8. Sprawdźcie, czy jesteście dostawcą w łańcuchu NIS2. Wypiszcie klientów z sektorów objętych ustawą o KSC i przygotujcie jednostronicową odpowiedź na ich ankietę bezpieczeństwa.

Bezpieczeństwo to dziś pierwsza linia budżetu

AI potaniło ataki na stare oprogramowanie i sprawiło, że nowy kod szybciej się pisze, niż sprawdza. Żaden z tych trendów nie potrzebuje hype'u: ujemne okno ataku i otwarta baza Moltbooka to udokumentowane fakty. Odpowiedź to głównie niewdzięczna praca, którą mała firma zacznie w tym tygodniu od pierwszego punktu checklisty. Jeśli przyda się drugie spojrzenie na to, na którym poziomie tabeli są wasze narzędzia, od tego jest nasz bezpłatny audyt.

FAQ