AI agentai įsilaužė į 100+ svetainių: ką tai reiškia jūsų verslui
Data: 2026 m. spalio 20 d.
Vienas įsilaužėlis su AI agentais pateko į svetaines. Ataka kainavo 50 dolerių. Trys dalykai, kuriuos patikrinti dabar, kad jūsų svetainė neliktų sąraše.
Trumpai (TL;DR):
Vienas įsilaužėlis, naudodamas AI agentus DeepSeek ir Claude Code, pateko į daugiau nei 100 įmonių svetainių, tarp jų John Deere, SharkNinja ir Cummins.
Viena sėkminga ataka truko apie 23 valandas ir kainavo maždaug 50 dolerių tokenais – tiek mokama AI modeliui už apdorotą informaciją.
Automatizuota ataka nesirenka taikinių pagal dydį: jei svetainė turi nepataisytą spragą, 50 dolerių pakanka ir jai.
Spalio 19 d. Reuters paskelbė faktą, kuris turėtų sunerimti kiekvieną, kam priklauso bent vienas domenas. Vienas įsilaužėlis, naudodamas AI agentus, pateko į daugiau nei 100 įmonių svetainių. Tarp aukų: John Deere, SharkNinja, Cummins. Atakos kaina – apie 50 JAV dolerių ir kantrybė.
Skaičiai, kurie keičia kontekstą
Viena sėkminga ataka truko apie 23 valandas. Prie ekrano nesėdėjo žmogus – dirbo AI agentas, programa, gebanti savarankiškai atlikti kelių žingsnių užduotis be žmogaus įsikišimo kiekviename žingsnyje. Įsilaužėlis tiesiog paleido procesą ir nuėjo miegoti.
50 dolerių – tai tokenų kaina. Tokenas yra AI modelių apskaičiavimo vienetas: mokėjimas už tai, kiek modelis apdorojo informacijos. Naudoti įrankiai: DeepSeek (Kinijos įmonės atvirojo kodo modelis, prieinamas pigiau nei daugelis Vakarų alternatyvų) ir Claude Code (Anthropic automatizuoto kodavimo agentas). Abu prieš porą metų buvo programuotojų produktyvumo įrankiai. Dabar – ir atakų infrastruktūra.
Tikslus pažeistų duomenų ar sistemų mastas oficialiai nepatvirtintas. Ar įsilaužėlis sulaikytas, iš viešų šaltinių taip pat neaišku.
Kodėl tai nauja
Anksčiau kibernetinė ataka reikalavo specializuotų žinių arba brangaus žmogiškojo darbo. Dabar agentas pats ieško spragų, pats jas išbando, pats dokumentuoja rezultatus. Žmogaus vaidmuo sumažėjo iki užduoties suformulavimo ir rezultato patikrinimo.
John Deere nėra svetainė be IT skyriaus. Jie turi kibernetinio saugumo komandas, biudžetus, procesus. Tai nereiškia, kad jų komanda buvo prasta. Tai reiškia, kad automatizuotų atakų greitis ir mastas pakito taip, kad tradicinis saugumo modelis nebespėja.
Kodėl tai svarbu mažam verslui
Automatizuota ataka nesirenka taikinių pagal pardavimų apimtį. Agentas tiesiog tikrina, ar svetainė turi žinomą spragą. Jei turi, ji atsiduria sąraše, nesvarbu, ar tai Fortune 500 įmonė, ar Kauno grožio salonas su WordPress svetaine.
Lietuvos smulkaus ir vidutinio verslo svetainės dažnai kuriamos su pasenusiomis TVS (content management system, turinio valdymo sistemos) versijomis ir paliekamos be priežiūros po paleidimo. Automatizuoti agentai tokias spragas ieško pirmiausia: jose gausu viešai žinomų ir nepataisytų pažeidžiamumų.
Trys dalykai, kuriuos patikrinti dabar
Pirma: atnaujinimai. WordPress, Joomla, Drupal, visų įdiegtų papildinių versijos. Jei paskutinis atnaujinimas buvo prieš pusmetį, tai jau yra problema.
Antra: administratoriaus prisijungimai. Slaptažodis "admin123" ar bet koks lengvai atspėjamas žodžio ir skaičių derinys nebėra pakankamas. Dviejų žingsnių patvirtinimas administratoriaus paskyroje nėra paranoja.
Trečia: API raktai kode. API raktas yra slaptažodžio tipo kodas, leidžiantis programoms susisiekti tarpusavyje. Jei jis pateko į viešą kodų saugyklą ar svetainės failus, juo gali pasinaudoti bet kas. Patikrink, ar jokie raktai nėra matomi viešai.
Ponas Obuolys sako:
Atakai prieš tavo svetainę dabar pakanka 50 dolerių ir kantraus AI agento. Žinau, skamba kaip baidymas. Bet John Deere irgi manė, kad jiems taip nenutiks.
Trys dalykai, kuriuos daugelis atideda "vėlesniam laikui": atnaujinimai, administratoriaus slaptažodžiai ir API raktai, kurių neturi būti kode. Ne paranoja. Higiena. Kaip dantų valymas: niekas nesako, kad tai įdomu, bet reikia.
Jei svetainę sukūrė agentūra ar laisvai samdomas specialistas prieš 3–4 metus ir nuo to laiko jos niekas nepalietė, atnaujinimai tikėtina seniai laukia. Tai pirmasis skambutis.
Šaltiniai: Reuters / Yahoo News "One hacker used AI agents to breach more than 100 company websites", 2026 m. spalio 19 d.; The Verge "AI Agents Hacked John Deere, SharkNinja, and Cummins", 2026 m. spalio 19 d.