Jak AI zmienia ataki i obronę: phishing 2.0, malware, UEBA/XDR, SOAR. Zobacz plan na 90 dni i checklistę kompetencji.

Każdego roku Twoja firma inwestuje znaczące środki w cyberbezpieczeństwo. Te budżety przekładają się na technologie i ekspertów, którzy mają chronić Waszą najcenniejszą walutę: dane i zaufanie klientów. Ale czy ta inwestycja jest gotowa na starcie z przeciwnikiem, który nie potrzebuje budżetu, by w ciągu minuty przeprowadzić tysiące spersonalizowanych, przekonujących ataków?

Sztuczna inteligencja radykalnie zdemokratyzowała zagrożenia, dając zaawansowane możliwości ofensywne praktycznie każdemu. To, w połączeniu z rosnącymi wymaganiami regulacyjnymi (NIS2, DORA, ISO 27001), zmusza liderów do ponownego przemyślenia strategii obronnej. Nie wystarczy już kupować technologii – trzeba inwestować w kompetencje ludzi, którzy potrafią myśleć o krok przed inteligentnym przeciwnikiem. Ten artykuł to przewodnik dla menedżerów, którzy chcą mieć pewność, że ich inwestycje w bezpieczeństwo są gotowe na wyzwania jutra.

Kluczowe informacje w 5 punktach

AI to jednocześnie broń i tarcza. Przestępcy używają AI do skalowania i personalizacji ataków (np. inteligentny phishing, deepfake), a obrońcy – do analizy zachowań (UEBA/XDR) i automatyzacji reakcji (SOAR).
Tradycyjne systemy to za mało. Same sygnatury i statyczne reguły nie wystarczają na dynamiczne, polimorficzne zagrożenia generowane i modyfikowane przez AI.
Człowiek w centrum strategii. O skuteczności decydują kompetencje zespołu: analityka, threat hunting, automatyzacja oraz głębokie rozumienie ryzyka biznesowego.
Czas reakcji to nowa waluta. AI w architekturze obronnej istotnie skraca MTTD/MTTR dzięki inteligentnej korelacji zdarzeń i automatycznym scenariuszom reakcji.
Regulacje wymuszają działanie. NIS2 wprost przypisuje odpowiedzialność organom zarządzającym za środki zarządzania ryzykiem, a DORA czyni zarząd „ostatecznie odpowiedzialnym” za ryzyko ICT w sektorze finansowym.

AI w cyberbezpieczeństwie to nowa kategoria szans i ryzyk

W kontekście biznesowym, AI w cyberbezpieczeństwie oznacza zdolność systemów do wykonywania zadań, które dotychczas wymagały ludzkiej analizy. Chodzi o uczenie się wzorców, wykrywanie anomalii i podejmowanie decyzji na podstawie miliardów zdarzeń w czasie zbliżonym do rzeczywistego. W praktyce AI działa jako obosieczny miecz. Z jednej strony, w obronie, modele AI budują profil odniesienia (baseline) dla każdego użytkownika i systemu, a każde istotne odstępstwo od tego wzorca jest natychmiast flagowane jako potencjalny incydent. Z drugiej strony, w ataku, dokładnie te same techniki służą cyberprzestępcom do automatyzacji kampanii i prowadzenia operacji ofensywnych w trybie „algorytm kontra algorytm”.

Phishing 2.0 i polimorficzny malware: AI w arsenale atakujących

Cyberprzestępcy wykorzystują dziś modele językowe do tworzenia tysięcy spersonalizowanych wiadomości, które z łatwością omijają tradycyjne filtry i ludzką czujność. Skuteczność tych metod jest alarmująca. Według badania Yubico 2025[1], aż 70% specjalistów ds. bezpieczeństwa IT uważa, że AI już zwiększa wolumen i skuteczność ataków phishingowych. Nowe wektory, takie jak QR-phishing (quishing), zyskują na popularności obok tradycyjnych złośliwych linków.

Jednocześnie AI pozwala na tworzenie złośliwego oprogramowania, które dynamicznie zmienia swój „kształt” i zachowanie (polimorfizm), aby uniknąć detekcji opartej na znanych sygnaturach. Zagrożenie staje się jeszcze bardziej namacalne w przypadku ataków typu Business Email Compromise (BEC) z użyciem technologii deepfake. Głośnym przykładem była strata około 25 mln USD przez firmę ARUP w Hongkongu (2024)[2], gdzie pracownik został oszukany podczas wideokonferencji z wykorzystaniem deepfake’a dyrektora finansowego.

Umysł jako pole bitwy: psychologia w dobie phishingu 2.0

Nowoczesne ataki AI nie wykorzystują już tylko luk w oprogramowaniu – celują w znacznie bardziej schematyczny i podatny system: ludzki umysł. Skuteczność phishingu 2.0 nie leży w finezji technicznej, ale w mistrzowskim wykorzystaniu naszych naturalnych skłonności i błędów poznawczych. Zrozumienie tego mechanizmu jest kluczowe, aby zbudować prawdziwie odporną organizację.

Cyberprzestępcy doskonale wiedzą, że jako ludzie jesteśmy podatni na pewne schematy myślowe, które AI potrafi instrumentalnie wykorzystać na masową skalę. Po pierwsze, efekt autorytetu sprawia, że jesteśmy biologicznie zaprogramowani, by ufać osobom postrzeganym jako przełożeni; wiadomość idealnie imitująca styl prezesa zostanie potraktowana jako polecenie. Po drugie, presja czasu i pośpiech drastycznie obniżają naszą zdolność do krytycznej analizy, co AI wykorzystuje, tworząc wiarygodne scenariusze nagłej potrzeby biznesowej. Po trzecie, efekt potwierdzenia powoduje, że faworyzujemy informacje pasujące do kontekstu – mail nawiązujący do projektu, nad którym właśnie pracujemy, automatycznie obniża naszą czujność.

Obrona przed tego typu zagrożeniami wykracza poza instalację filtrów antyspamowych. To konieczność budowania w zespole odporności psychologicznej i kultury zdrowego sceptycyzmu. Pracownicy muszą być trenowani nie tylko w rozpoznawaniu phishingu, ale w rozumieniu mechanizmów psychologicznych, które czynią ich podatnymi na manipulację.

Tradycyjne zabezpieczenia to za mało w starciu z inteligentnym przeciwnikiem

Kampanie napędzane przez AI są z natury dynamiczne i unikalne, dlatego mechanizmy oparte wyłącznie na sygnaturach nie wystarczą. Tradycyjne narzędzia generują ogromny szum alertowy, produkując tysiące fałszywych alarmów, przez co analitycy mogą łatwo przegapić subtelne sygnały rzeczywistego ataku.

Raporty, takie jak Verizon DBIR 2025[3], wskazują również na ewolucję technik obchodzenia uwierzytelniania wieloskładnikowego (MFA), m.in. poprzez prompt bombing (zalewanie użytkownika prośbami o akceptację logowania) i ataki AiTM. W tym kontekście, wdrażanie odpornego na phishing uwierzytelniania wieloskładnikowego (phishing-resistant MFA), takiego jak klucze FIDO2/passkeys, zwłaszcza dla kont uprzywilejowanych, staje się najszybszym sposobem na wzmocnienie odporności.

Analityka behawioralna i automatyzacja: jak AI wzmacnia obronę

Nowoczesne Centra Operacji Bezpieczeństwa (SOC) wykorzystują AI, aby przejść od modelu reaktywnego do proaktywnego. Po pierwsze, analityka zachowań użytkowników (UEBA) pozwala na naukę „normalności” i generowanie alertów na istotne odchylenia, co pomaga wykrywać skompromitowane konta. Po drugie, inteligentna priorytetyzacja automatycznie koreluje tysiące zdarzeń i ocenia ich ryzyko, dzięki czemu zespół widzi kilka najważniejszych incydentów zamiast setek powiadomień.

Dodatkowo, threat hunting umożliwia proaktywne poszukiwanie wskaźników zaawansowanych ataków (APT), zanim dojdzie do eskalacji. Całość spina technologia SOAR, która uruchamia automatyczne scenariusze obronne (playbooki) w odpowiedzi na alerty – na przykład izolując zainfekowany komputer czy blokując złośliwy adres IP w firewallu.

Scenariusz „Przed i Po”: Przed wdrożeniem AI skompromitowane konto menedżera pobierało dane klientów przez 28 dni bez detekcji (MTTD). Po wdrożeniu UEBA podobna anomalia w dostępie została wychwycona w 2 godziny, a SOARautomatycznie zablokował konto, redukując czas reakcji (MTTR) z dni do minut.

Kluczowe technologie obronne wspierane przez AI

Nowoczesna, warstwowa obrona opiera się na zintegrowanym ekosystemie narzędzi, gdzie AI odgrywa centralną rolę. U podstaw leży platforma SIEM Nowej Generacji wzbogacona o moduł UEBA, która centralizuje i koreluje dane z całej organizacji. Warstwę wyżej znajduje się XDR (Extended Detection and Response), czyli zaawansowana ochrona punktów końcowych i serwerów poprzez analizę sekwencji działań w czasie rzeczywistym. Całość jest orkiestrowana przez technologię SOAR (Security Orchestration, Automation and Response), która automatyzuje reakcje w całym tym ekosystemie.

Wdrożenie AI w obronie to projekt strategiczny, nie tylko techniczny

Wdrożenie AI w obronie to proces, który opiera się na trzech filarach. Po pierwsze, jakość danych decyduje o jakości detekcji – modele AI są tak dobre, jak dane, na których są trenowane. Po drugie, kalibracja wymaga czasu; pierwszy etap wdrożenia to nauka normalnych cykli biznesowych Twojej firmy i nie należy go na siłę skracać. Po trzecie i najważniejsze, ludzie są ważniejsi niż narzędzia. Sztuczna inteligencja to potężny wzmacniacz możliwości analityków, ale nigdy nie zastąpi ich wiedzy, intuicji i strategicznej ekspertyzy.

Człowiek w centrum strategii: rola zespołu w erze AI

AI odciąża zespoły od żmudnych, powtarzalnych czynności, dzięki czemu ludzie mogą skoncentrować się na strategii, formułowaniu hipotez, prowadzeniu złożonych dochodzeń i podejmowaniu ostatecznych decyzji. To zespół uczy i nadzoruje modele AI, projektuje scenariusze automatyzacji i, co najważniejsze, łączy sygnały techniczne z realnym ryzykiem biznesowym.

Mapa kompetencji: jak przygotować zespół na wyzwania jutra?

Poziom dojrzałości	Opis stanu obecnego	Kluczowe kompetencje	Rekomendowane działania
1: Reaktywny	Tradycyjne narzędzia, reakcja po fakcie	Podstawy SIEM/UEBA, różnice: sygnatura vs. behawior	Szkolenie „Wprowadzenie do cyberbezpieczeństwa nowej generacji”
2: Świadomy	Pierwsze AI/XDR, głównie ręczna weryfikacja alertów	Interpretacja wyników AI, analiza logów, triaż	Warsztaty „Analiza i reagowanie z XDR”
3: Zautomatyzowany	SOAR dla prostych playbooków, start threat huntingu	Skryptowanie (np. Python), playbooki, podstawy TH	Szkolenie „Automatyzacja w cyberbezpieczeństwie”
4: Proaktywny	Regularny threat hunting, strojenie modeli	Zaawansowany TH, Data Science w Sec, cloud security	Cykl „Threat Hunting w praktyce”, „Bezpieczeństwo AI/ML”
5: Predyktywny	Predykcja wektorów ataku, bezpieczeństwo w strategii	Analityka predykcyjna, zarządzanie ryzykiem, komunikacja z zarządem	Programy rozwojowe dla liderów IT/Sec

Kolejny horyzont: na jakie przyszłe trendy w cyberbezpieczeństwie AI musisz się przygotować?

Strategiczni liderzy nie tylko reagują na obecne zagrożenia, ale starają się przewidzieć, skąd nadejdzie kolejna fala. Krajobraz opisany w tym artykule to nie stan docelowy, a jedynie początek fundamentalnej transformacji. Obserwacja trendów na najbliższe 3-5 lat jest dziś kluczowym elementem budowania trwałej odporności cyfrowej.

Kluczowe trendy, które zdefiniują następny etap, to po pierwsze autonomiczna wojna algorytmów (AI vs AI), gdzie walka w cyberprzestrzeni będzie toczyć się w tempie maszynowym, często bez interwencji człowieka. Po drugie, ataki na samą sztuczną inteligencję (Adversarial AI), gdzie celem stanie się oszukiwanie lub „zatruwanie” Twoich własnych modeli obronnych. Wreszcie, ewolucja w kierunku bezpieczeństwa predykcyjnego (Predictive Security), gdzie zaawansowane systemy będą w stanie przewidywać najbardziej prawdopodobne wektory przyszłych ataków na Twoją firmę. Przygotowanie się na te zmiany wymaga budowania w organizacji kultury ciągłego uczenia się, zwinności i strategicznego prognozowania.

Quick Wins: plan na pierwsze 90 dni

Faza 1: Diagnoza i świadomość (dni 1–30)

Przeprowadź audyt kompetencji zespołu w kluczowych obszarach (analityka, automatyzacja).
Zorganizuj warsztaty dla menedżerów na temat nowych zagrożeń: phishing 2.0, deepfake, BEC.
Uruchom zaawansowaną symulację ataku phishingowego (w tym SMS/QR), aby zmierzyć realny poziom odporności.

Faza 2: Fundamenty technologiczne (dni 31–60)

Uruchom program pilotażowy (PoC) narzędzia XDR na wybranej grupie użytkowników.
Zorganizuj szkolenie zespołu z interpretacji alertów z systemów nowej generacji.
Zmapuj procesy reagowania na incydenty (IR) pod kątem kandydatów do automatyzacji.

Faza 3: Proaktywne działanie (dni 61–90)

Zaimplementuj jeden prosty, ale wartościowy playbook w SOAR (np. automatyczna obsługa zgłoszeń phishingu od pracowników).
Zorganizuj pierwsze wewnętrzne warsztaty z threat huntingu oparte na hipotezie („załóżmy, że konto jest skompromitowane – jakich śladów szukamy?”).
Przygotuj i przedstaw zarządowi roadmapę rozwoju kompetencji i technologii na kolejne 12 miesięcy.

Regulacje wymuszają działanie (NIS2 & DORA)

Nowe regulacje Unii Europejskiej nakładają bezpośrednią odpowiedzialność na kadrę zarządzającą za budowanie cyfrowej odporności. Dyrektywa NIS2 stanowi, że organy zarządzające zatwierdzają i nadzorują środki zarządzania ryzykiem w cyberbezpieczeństwie i mogą ponosić osobistą odpowiedzialność za naruszenia (art. 20). Rozporządzenie DORA (dla sektora finansowego) wprowadza zasadę pełnej i ostatecznej odpowiedzialności zarządu za ryzyko ICT (art. 5).

Pierwszym krokiem dla zarządów powinno być zidentyfikowanie luk w obecnych procesach względem wymogów art. 21 NIS2 oraz wprowadzenie kwartalnego przeglądu ryzyka ICT, zgodnie z duchem art. 5 DORA.

Jak przygotować zespół na nową erę cyberbezpieczeństwa?

Jako EITT, partner merytoryczny Sqoly w rozwoju zaawansowanych kompetencji technologicznych, wierzymy, że technologia jest tylko narzędziem – o jej skuteczności decydują ludzie. Pomagamy diagnozować luki kompetencyjne i projektujemy intensywne ścieżki rozwojowe: od interpretacji danych z SIEM/XDR, przez automatyzację w SOAR, po zaawansowany threat hunting. Uczymy „jak myśleć”, a nie tylko „co klikać”, w oparciu o realistyczne symulacje ataków napędzanych przez AI.

Krajobraz cyberbezpieczeństwa zmienił się bezpowrotnie. Nowoczesne systemy są ważne, ale prawdziwą tarczą jest świadomy, wykwalifikowany i pewny siebie zespół. Wiedza z tego artykułu to fundament – warto przekuć ją w praktykę.

W ramach partnerskiej współpracy EITT i Sqoly przygotowaliśmy ścieżkę rozwojową „Cyberbezpieczeństwo w erze AI”, która przekłada tę wiedzę na realne umiejętności. Sprawdź program na platformie Sqoly i wyposaż swój zespół w kompetencje niezbędne do obrony przed zagrożeniami jutra.

Autor artykułu: Marcin Godula | Prezes Zarządu EITT