Umelá inteligencia dokáže výrazne skrátiť čas potrebný na vyhľadanie a zneužitie bezpečnostných zraniteľností. Kým útočníci automatizujú čoraz viac krokov, mnohé firmy sa pri obrane stále spoliehajú na manuálne vyhodnocovanie a schvaľovanie zásahov. Rozhodujúcou schopnosťou bezpečnostných tímov sa preto stáva nielen včasné odhalenie hrozby, ale aj rýchla a kontrolovaná reakcia.

Autor: Vladimír Frčo, vedúci oddelenia SOC, Alanata

•Zdroj: Alanata

Pätnásť minút môže stačiť na to, aby útočníci pripravili spôsob zneužitia novo zverejnenej bezpečnostnej zraniteľnosti. Európska agentúra pre kybernetickú bezpečnosť ENISA na tento problém upozorňuje vo svojej správe Cybersecurity in the Frontier AI Era z júla 2026. Citovaný výskum zároveň uvádza medián času medzi prvotným prienikom do systému a odcudzením dát na úrovni 72 minút.

Tieto údaje neznamenajú, že každý kybernetický útok prebehne za niekoľko minút. Ukazujú však, ako výrazne sa môže skrátiť čas, ktorý majú organizácie na obranu.

Umelá inteligencia pritom nemení iba rýchlosť útokov. Mení aj spôsob, akým útočníci vyhľadávajú zraniteľnosti, kombinujú jednotlivé slabé miesta a pripravujú postupy na preniknutie do systémov.

Pre bezpečnostné tímy tak vzniká nový problém: nestačí mať technológie schopné útok zaznamenať. Organizácia musí vedieť získané informácie rýchlo vyhodnotiť a rozhodnúť, čo s nimi urobí.

Keď hľadanie zraniteľností prestáva byť najťažšou časťou útoku

Doteraz bolo vyhľadávanie a zneužívanie komplexných zraniteľností náročné na čas aj odborné znalosti. Pokročilé AI modely však dokážu automatizovať časti analýzy kódu, konfigurácií, aplikačnej logiky či prístupových oprávnení.

CERT-EU v apríli 2026 upozornil, že význam týchto nástrojov nespočíva iba v počte nájdených zraniteľností. Dôležitá je aj schopnosť prepájať jednotlivé slabé miesta do komplexnejších postupov útoku.

Samostatná chyba v konfigurácii nemusí predstavovať kritické riziko. V kombinácii s nesprávne nastavenými oprávneniami alebo nedostatočne chráneným aplikačným rozhraním však môže vytvoriť cestu k citlivým informáciám.

ENISA uvádza príklad organizácie, ktorá v prvom štvrťroku 2025 zaznamenala približne 80 zraniteľností s prideleným identifikátorom CVE. O rok neskôr ich bolo takmer 500 za rovnaké obdobie. Po nasadení nástrojov využívajúcich pokročilú AI sa počet hlásení zvýšil približne na 500 denne.

Ide o konkrétny príklad nárastu kapacity identifikovať potenciálne bezpečnostné problémy. Automatizované nálezy však musia prejsť overením a ich počet nemožno zamieňať s počtom potvrdených zraniteľností či úspešných útokov.

Pre organizácie to znamená, že samotné vyhľadávanie slabých miest už nemusí byť najväčším problémom. Čoraz dôležitejšia bude schopnosť nálezy preveriť, určiť ich závažnosť a prijať účinné opatrenia.

Bezpečnostné upozornenia existujú. Prečo ich firmy nevyužijú včas?

Firmy dnes často používajú množstvo bezpečnostných technológií. Firewall chráni sieťovú komunikáciu, systémy EDR sledujú koncové zariadenia, ďalšie nástroje monitorujú prihlasovanie, aplikácie či prístup k dátam.

Každá technológia pritom môže zaznamenať iba časť podozrivej aktivity. Ak bezpečnostný tím nedokáže jednotlivé signály spojiť, útok môže pokračovať napriek tomu, že niektoré jeho prejavy boli zachytené.

Podľa výskumu bezpečnostného tímu Unit 42, na ktorý odkazuje ENISA, existovali pri 75 % skúmaných narušení v systémových záznamoch informácie naznačujúce podozrivé správanie. Neboli však dostatočne prepojené a využité na včasnú reakciu.

Práve tu sa ukazuje rozdiel medzi monitorovaním a aktívnou bezpečnostnou ochranou.

Predstavme si útok hrubou silou na webovú aplikáciu. Útočník automatizovane skúša prihlasovacie údaje a webový aplikačný firewall zaznamenáva sériu podozrivých požiadaviek.

Ak informácie zostanú iba v samostatnom nástroji, bezpečnostný analytik ich musí manuálne vyhodnotiť a rozhodnúť o ďalšom postupe.

Pri prepojení bezpečnostných technológií však môžu udalosti smerovať do centrálnej platformy SIEM, ktorá ich porovná s ďalšími informáciami o aktivite v infraštruktúre. Ak systém identifikuje dostatočne spoľahlivé indikátory útoku, môže iniciovať vopred definovanú reakciu ďalšieho bezpečnostného prvku.

Takýto prístup rozvíjame aj v bezpečnostnom monitoringu v IT spoločnosti Alanata. Časť pravidiel, ktoré pôvodne slúžili najmä na zaznamenanie a vyhodnotenie udalostí, postupne využívame aj na aktívnu ochranu prostredí a digitálnych identít.

Zmyslom je prepojiť technológie tak, aby si dokázali odovzdávať relevantné informácie a pri jednoznačných situáciách vykonať primeranú reakciu bez zbytočného čakania.

Neznamená to, že každé bezpečnostné upozornenie automaticky povedie k zablokovaniu systému. Automatizované zásahy musia vychádzať zo spoľahlivej detekcie, jasných pravidiel a poznania prostredia, ktoré chránia.

Najpomalšou súčasťou obrany nemusí byť technológia

ENISA upozorňuje na problém označovaný ako Authority Gap. Ide o situáciu, keď bezpečnostná technológia dokáže hrozbu identifikovať a navrhnúť zásah podstatne rýchlejšie, než organizácia stihne tento zásah schváliť.

Systém môže napríklad odporučiť zablokovanie kompromitovaného účtu alebo izolovanie zariadenia. Ak však musí každý krok manuálne potvrdiť viacero pracovníkov, obrana môže stratiť rozhodujúci čas.

Pri tradičných útokoch mohli mať bezpečnostní analytici na vyhodnotenie situácie dlhší priestor. Pri automatizovaných útokoch, ktoré sa dokážu rozvíjať v minútach, sa pomalé rozhodovanie stáva významnou slabinou.

Riešením však nie je odstránenie človeka z bezpečnostných procesov.

Automatická reakcia môže sama osebe predstavovať prevádzkové riziko. Nesprávne zablokovanie účtu, izolovanie servera alebo zmena bezpečnostného pravidla môže spôsobiť výpadok služby či obmedzenie legitímnych používateľov.

Preto musí byť rozhodnutie o automatizácii vždy spojené s posúdením možných dôsledkov.

Ktoré bezpečnostné zásahy môže prevziať automatizácia?

Najväčší priestor má automatizácia pri opakovaných činnostiach, ktorých výsledok je dostatočne predvídateľný.

Patrí sem zber a korelácia udalostí, prvotné triedenie upozornení, obohacovanie bezpečnostných zistení o ďalšie údaje či ich prioritizácia. Pri vhodne nastavených podmienkach možno automatizovať aj vybrané reakcie, napríklad dočasné blokovanie zdroja škodlivej komunikácie.

Aj v takýchto prípadoch je potrebné stanoviť hranice automatizácie, zabezpečiť zaznamenávanie vykonaných zásahov a umožniť ich kontrolu či zvrátenie.

Iná situácia nastáva, ak incident zasahuje kritické podnikové systémy.

Automatické zablokovanie administrátorského účtu, izolovanie dôležitého aplikačného servera alebo odstavenie služby môže ovplyvniť chod celej organizácie. Takéto rozhodnutia vyžadujú širší kontext, než poskytujú samotné bezpečnostné udalosti.

Človek preto musí zostať súčasťou rozhodovacieho procesu tam, kde môže zásah významne ovplyvniť prevádzku, dostupnosť dát alebo fungovanie ďalších systémov.

Dôležité je aj zapojenie incident response tímu, ktorý pri potvrdenom incidente vyhodnocuje jeho rozsah, identifikuje postup útočníka, zabezpečuje obmedzenie jeho ďalších aktivít a podporuje bezpečnú obnovu prostredia.

Bezpečnosť sa musí merať aj časom reakcie

Počet zachytených útokov alebo identifikovaných zraniteľností sám osebe nehovorí, ako dobre je organizácia chránená.

Rovnako dôležitý je čas potrebný na odhalenie incidentu, jeho vyhodnotenie a účinné obmedzenie hrozby.

ENISA preto odporúča rozvíjať bezpečnostnú prevádzku schopnú fungovať takmer v reálnom čase. Pri ukazovateľoch priemerného času detekcie (MTTD) a reakcie (MTTR) uvádza ako cieľ jednociferné hodnoty v minútach.

Nejde o univerzálne dosiahnuteľný výsledok pre každý incident alebo organizáciu. Odporúčanie však jasne ukazuje smer, ktorým sa musí moderná bezpečnostná prevádzka uberať.

Firmy zároveň musia počítať s tým, že útočník sa už môže nachádzať v ich prostredí. Prístup známy ako assume breach preto predpokladá možnosť prekonania preventívnej ochrany a sústreďuje sa aj na obmedzenie ďalšieho pohybu útočníka.

Význam získava segmentácia siete, priebežné vyhodnocovanie správania systémov a používateľov aj princípy zero trust, ktoré obmedzujú automatickú dôveru medzi jednotlivými časťami infraštruktúry.

Novou súčasťou bezpečnostnej architektúry sa zároveň stáva ochrana samotných AI systémov. Autonómni agenti môžu pracovať s podnikovými aplikáciami, digitálnymi identitami a citlivými dátami. Aj ich činnosť preto musí byť monitorovaná a primerane kontrolovaná.

Umelá inteligencia nenahrádza bezpečnostného experta. Mení jeho úlohu

S rastúcimi schopnosťami automatizácie sa bude meniť aj práca bezpečnostných analytikov.

Rutinné spracovanie upozornení, prepájanie technických informácií a vykonávanie vybraných ochranných opatrení môžu vo väčšej miere preberať technológie. Odborníci sa tak môžu sústrediť na zložitejšie incidenty, preverovanie nejednoznačných situácií a rozhodnutia, pri ktorých je potrebné poznať širší kontext organizácie.

Práve tu zostáva ľudská skúsenosť nenahraditeľná. Bezpečnostný analytik musí rozumieť nielen samotnej hrozbe, ale aj tomu, aké dôsledky môže mať zvolený zásah na konkrétnu infraštruktúru a podnikové procesy.

Význam preto získava spolupráca bezpečnostných tímov s odborníkmi na siete, aplikácie, infraštruktúru či priemyselné technológie.

Útočníci budú využívať umelú inteligenciu na zvyšovanie rýchlosti a rozsahu svojich aktivít. Rovnaké technológie však môžu pomôcť aj obrancom.

Rozhodujúce nebude množstvo nasadených AI nástrojov, ale schopnosť správne prepojiť informácie, technológie a rozhodovacie procesy.

Moderná kybernetická obrana preto nestojí na voľbe medzi človekom a automatizáciou. Stojí na ich správnom rozdelení: technológia má reagovať tam, kde rozhoduje rýchlosť, a človek tam, kde sú podstatné súvislosti, dôsledky a zodpovednosť.