przez lukasz | lip 26, 2026 | Bez kategorii | 0 komentarzy

Kto według maszyn jest wiarygodny? Odpowiedź na to pytanie leży w pliku, którego nikt nie czyta i prawie nikt nie pilnuje.

Briefing Senteri

Jedna. Tyle prób — na dwieście siedemdziesiąt — zakończyło się odrzuceniem sfabrykowanego twierdzenia. W badaniu opublikowanym w tym roku przez zespół z Microsoftu, UNSW Canberra, SAP i projektu OWASP Gen AI Security dziewięć modeli od trzech różnych dostawców odpytywało produkcyjny graf wiedzy liczący czterdzieści dwa miliony węzłów, do którego badacze wcześniej wprowadzili fałszywe dane. Modele zapytały, dostały odpowiedź, przeanalizowały ją — i w dwustu sześćdziesięciu dziewięciu przypadkach na dwieście siedemdziesiąt uznały zmyślone twierdzenie o bezpieczeństwie za fakt.

Nie dlatego, że rozumowały źle. Rozumowały bezbłędnie. Dostały fałszywą przesłankę w formacie, który nauczyliśmy je traktować jako wiarygodny, i wyciągnęły z niej poprawny logicznie, całkowicie błędny wniosek. Badacze nazwali tę klasę ataku Oracle Poisoning i podsumowali ją zdaniem, które warto zapamiętać: obnaża ona niezweryfikowane zaufanie, jakim agenty AI darzą dane, z których rozumują.

Ten briefing dotyczy jednego szczególnego rodzaju takich danych — tego, w którym strony internetowe deklarują maszynom, kim są. Bo w sieci czytanej przez agenty pytanie „komu ufać" nie jest pytaniem redakcyjnym ani wizerunkowym. Jest pytaniem technicznym, na które odpowiada konkretny fragment kodu — a ten fragment jest dziś jednym z najsłabiej chronionych elementów każdej witryny.

Warstwa, w której deklarujesz maszynom swoją tożsamość

Kiedy maszyna odwiedza stronę, nie czyta jej tak jak człowiek. Człowiek widzi artykuł, podpis autora, logo instytucji w nagłówku i wyciąga z tego wnioski o wiarygodności. Maszyna szuka czegoś innego: ustrukturyzowanych danych zapisanych w formacie schema.org, zwykle jako blok JSON-LD w kodzie strony. Ten blok nie musi niczego sugerować — on wprost stwierdza. Że to jest artykuł. Że autorem jest konkretna osoba. Że wydawcą jest konkretna organizacja. Że treść dotyczy konkretnego podmiotu, powiązanego z konkretnym identyfikatorem w zewnętrznej bazie encji.

Te twierdzenia nie zostają na stronie. Crawler odczytuje je i zapisuje wprost do swojego indeksu, skąd trafiają do trzech osobnych mechanizmów: grafów wiedzy, indeksów generujących wzbogacone wyniki wyszukiwania oraz warstw wyszukiwania, które ugruntowują odpowiedzi modeli językowych. Innymi słowy — tego, co twoja strona zadeklaruje o sobie w schema.org, model użyje później jako faktu, odpowiadając komuś, kto nigdy tej strony nie odwiedzi.

Branżowe rekomendacje na 2026 rok idą jeszcze dalej i to one pokazują, o jak dużą stawkę tu chodzi. Zaleca się budowanie głębokich powiązań encji — produkt połączony z producentem, producent z organizacją, organizacja z założycielem, założyciel z osobą — z uzasadnieniem, że właśnie w ten sposób systemy AI weryfikują fakty. Oznaczanie autorów, organizacji, recenzji i lokalizacji opisuje się jako czynienie sygnałów zaufania łatwiejszymi do zweryfikowania przez maszynę.

Warto się przy tym zdaniu zatrzymać, bo zawiera cichą zamianę pojęć. Maszyna nie weryfikuje tu niczego w sensie, w jakim rozumie to człowiek. Ona odczytuje deklarację i przyjmuje ją. Sygnał zaufania nie jest sprawdzany — jest odbierany. Cała ta warstwa działa dokładnie tak, jak zaprojektowano: usuwa niepewność, podając maszynie gotowe twierdzenie zamiast tekstu, który trzeba zinterpretować. Jej wartość polega na tym, że nie trzeba jej kwestionować.

Co zmienia się, gdy zaufana domena zmienia właściciela

Teraz pytanie praktyczne: kto może zmienić to, co twoja strona mówi maszynom o twojej tożsamości?

Odpowiedź brzmi: ktokolwiek ma dostęp do panelu administracyjnego. W praktyce znakomita większość polskich instytucji, redakcji, kancelarii, uczelni i firm publikuje przez WordPressa, a schema.org generuje tam rdzeń, motyw albo wtyczka SEO. Przejęcie panelu to przejęcie deklaracji tożsamości.

W lipcu 2026 stało się to szczególnie namacalne. Ujawniono łańcuch luk w rdzeniu WordPressa, nazwany wp2shell, pozwalający nieuwierzytelnionemu atakującemu utworzyć konto administratora i wykonać kod na domyślnej instalacji — bez logowania, bez wtyczek, bez nietypowej konfiguracji. Eksploatacja ruszyła w ciągu godzin od ujawnienia. Twórcy WordPressa sięgnęli po nadzwyczajny środek i wymusili automatyczną aktualizację, a CERT Polska w komunikacie 124/2026 ostrzegł wprost, że znane są liczne przypadki, w których ta wymuszona aktualizacja nie zadziałała.

I tu dochodzimy do sedna, które odróżnia ten scenariusz od klasycznego włamania na stronę. Napastnik, który przejmuje witrynę, żeby zarobić, podmienia treść, wstawia przekierowania albo spam — i właśnie dlatego zostaje zauważony, bo widzi to każdy odwiedzający. Napastnik, który przejmuje witrynę, żeby nadużyć jej autorytetu, nie musi zmieniać ani jednego widocznego słowa. Wystarczy, że zmodyfikuje blok JSON-LD: kto jest autorem, jaka organizacja jest wydawcą, jakiego podmiotu dotyczy treść, z jakim zewnętrznym identyfikatorem jest powiązana. Strona wygląda identycznie. Człowiek nie zobaczy nic. A maszyna odczyta i zapisze nowe twierdzenie — opublikowane z domeny, którą wyszukiwarki i systemy AI już wcześniej uznały za godną zaufania.

Reputacja instytucji, budowana latami i wyrażona w postaci sygnałów, które maszyny odczytują jako autorytet, staje się w tym momencie nośnikiem cudzego przekazu. Nie „stroną, która została zhakowana", lecz wiarygodnym źródłem, które mówi coś, czego nigdy nie powiedziało.

Maszyny nie sprawdzają — to jest teraz zmierzone

Można by zapytać, czy systemy AI nie mają mechanizmów odsiewania takich manipulacji. Badanie o Oracle Poisoning odpowiada na to precyzyjnie i niewygodnie.

Autorzy starannie odróżniają swoją klasę ataku od wszystkiego, co znane. To nie jest wstrzyknięcie promptu, bo nie dostarcza się żadnej złośliwej instrukcji. To nie jest zatrucie warstwy wyszukiwania, bo nie ma tu dopasowywania po podobieństwie tekstu. To nie jest zatrucie modelu podczas treningu, bo wagi pozostają nietknięte. To nie jest nawet zatrucie narzędzia, bo serwer i jego definicje działają dokładnie tak, jak zaprojektowano. Agent dostaje fałszywe fakty, nie fałszywe polecenia — i rozumuje o nich poprawnie.

Nie ma w tym łańcuchu momentu, w którym cokolwiek wygląda podejrzanie. Zapytanie jest poprawne. Odpowiedź ma właściwy format. Rozumowanie jest logiczne. Fałszywy jest tylko wniosek — i żaden mechanizm badający instrukcje go nie wychwyci, bo żadnej instrukcji nie było.

Dwa ustalenia z tego badania mają znaczenie wykraczające poza laboratorium. Pierwsze dotyczy kształtu awarii: zaufanie nie spada stopniowo wraz z jakością podróbki, tylko przeskakuje — istnieje próg umiejętności atakującego, poniżej którego zaufanie wynosi zero, a powyżej sto procent. Pytanie nie brzmi więc, czy da się oszukać agenta, lecz ile wysiłku to wymaga.

Drugie jest ostrzeżeniem metodologicznym dla każdego, kto testuje własne systemy. Sposób dostarczenia danych okazał się czynnikiem pierwszorzędnym: jeden z modeli wykazał zerowe zaufanie do zatrutych danych, gdy oceniano je wklejone bezpośrednio do promptu, i stuprocentowe, gdy te same dane dotarły do niego przez realne wywołanie narzędzia. Podatność była niewidoczna w standardowym teście i całkowita w warunkach rzeczywistych. Organizacja, która sprawdziła swoje agenty, wklejając im podejrzane dane do okna czatu, w świetle tych wyników nie zmierzyła niczego.

Dlaczego to nie jest incydent, tylko osad

Ostatni element, który czyni tę klasę ataku trwalszą od wszystkiego, o czym pisaliśmy dotąd.

Wstrzyknięcie promptu jest zdarzeniem. Dotyczy sesji, w której zatruta treść została odczytana. Wyczyść stronę, a następny agent dostanie czystą treść. Szkoda kończy się wraz z interakcją.

Zatrucie warstwy, która zasila grafy wiedzy i indeksy, zdarzeniem nie jest. Jest osadem. Fałszywe twierdzenie zostaje wydobyte, zapisane, powiązane z innymi encjami i — w modelu głębokich powiązań, który branża sama rekomenduje — użyte do potwierdzania sąsiednich faktów. Pojawia się w odpowiedziach udzielanych ludziom, którzy nigdy nie odwiedzili źródła i nigdy tego nie zrobią. Osobne badania nad systemami budującymi grafy z tekstu pokazały przy tym, że nie trzeba nawet dostępu do samego grafu: modyfikacja kilku słów w materiale źródłowym istotnie zmienia strukturę zbudowanego z niego grafu i wypacza całe dalsze rozumowanie.

Usunięcie skutków włamania przywraca stronę. Nie przywraca stanu wiedzy systemów, które w międzyczasie tę stronę przeczytały. Nie istnieje procedura, którą właściciel witryny mógłby polecić komercyjnemu grafowi wiedzy zapomnieć twierdzenie przyswojone i skorelowane pół roku wcześniej. To jest różnica między odzyskaniem kontroli nad serwerem a odzyskaniem kontroli nad tym, kim według maszyn jesteś.

Tu wypada postawić granicę uczciwie, bo mówimy o wnioskowaniu, nie o udokumentowanej kampanii. Nikt nie wykazał na dużą skalę zatrucia komercyjnego grafu wiedzy przez przejęte znaczniki schema.org. Wykazano natomiast każde ogniwo z osobna: że agenty ufają ustrukturyzowanym danym praktycznie bezwarunkowo; że grafy budowane z tekstu da się wypaczyć drobnymi zmianami w źródle; że schema.org trafia wprost do indeksów i zasila warstwy ugruntowujące odpowiedzi modeli; oraz że dostęp administracyjny do setek tysięcy witryn był niedawno możliwy bez znajomości hasła. Połączenie tych ogniw jest wnioskowaniem. Nie jest jednak trudne.

Co wynieść z tego briefingu

Schema.org to zasób bezpieczeństwa, nie tylko marketingowy. Znaczniki na twoich stronach deklarują maszynom, kim jesteś, kto napisał twoje treści i jaka organizacja za nimi stoi — w formacie traktowanym jako wiarygodny. Zasługują na kontrole stosowane do innych autorytatywnych deklaracji: monitorowanie zmian, ograniczenie kręgu osób mogących je edytować, alert, gdy JSON-LD zmienia się bez odpowiadającej mu zmiany treści. Prawie żadna organizacja tego nie monitoruje, co oznacza, że prawie żadna nie zauważyłaby tej klasy kompromitacji.

Przejęcie strony trzeba oceniać także pod kątem tożsamości, nie tylko treści i danych. Standardowa reakcja po incydencie obejmuje przywrócenie treści, rotację haseł i przegląd kont. Dołóż do tego pytanie, czy w czasie kompromitacji zmieniono ustrukturyzowane deklaracje o autorstwie, wydawcy i powiązanych podmiotach — bo to jest ta część szkody, która nie znika po przywróceniu kopii zapasowej.

Testuj agenty tak, jak działają, nie tak, jak wygodnie je testować. Najbardziej praktyczne ustalenie z badania mówi, że identyczne zatrute dane dały zerowe zaufanie przy ocenie wklejonej do promptu i stuprocentowe przy realnym wywołaniu narzędzia. Jeśli w produkcji agent korzysta z narzędzi, test też musi przebiegać przez narzędzia.

Dostęp tylko do odczytu jest tą obroną, która zadziałała. Z pięciu ocenionych zabezpieczeń jedynie kontrola dostępu w trybie tylko do odczytu wyeliminowała wektor bezpośredniej modyfikacji; pozostałe cztery były częściowe i zależne od modelu. Tam, gdzie agent korzysta ze źródła wiedzy, jego poświadczenia nie powinny pozwalać na zapis do tego źródła.

Jedna myśl na koniec

Przez lata uczyliśmy się, że reputacja instytucji jest czymś, co buduje się długo, a traci szybko — i że traci się ją przez to, co się powie. W sieci czytanej przez maszyny doszła do tego możliwość, o której rzadko myślimy: można ją stracić przez to, co ktoś inny powie w naszym imieniu, w języku, którego nie czytamy, w pliku, do którego nie zaglądamy. Schema.org powstała po to, żeby maszyny przestały zgadywać, kim jesteśmy. Udało się aż nadto — przestały zgadywać i przestały sprawdzać. Dziś odpowiedź na pytanie, kto jest wiarygodny, znajduje się w kilkunastu linijkach kodu na końcu strony. Warto wiedzieć, kto ma do nich klucz.

Źródła

Briefing Senteri · lipiec 2026 · senteri.pl — jak maszyny czytają sieć. Ten briefing jest analizą, nie poradą prawną ani rekomendacją bezpieczeństwa dla konkretnego środowiska. Tam, gdzie argument łączy osobno wykazane ustalenia drogą wnioskowania, a nie bezpośredniego dowodu, zaznaczono to w tekście.