Jeśli sądzisz, że sztuczna inteligencja służy głównie do pisania postów na LinkedIn i generowania grafik, to mam złą wiadomość: Korea Północna ma inne plany. Podczas gdy działy marketingu przepalają budżety na „AI-driven customer experience”, hakerzy z APT45 właśnie zdemokratyzowali dostęp do broni cyfrowej, która do tej pory była zarezerwowana dla mocarstw. Infrastruktura firm przestała być aktywem – stała się długiem technologicznym, którego odsetki właśnie drastycznie skoczyły.
Raport Google Threat Intelligence Group (GTIG) to akt zgonu dla korporacyjnego samozadowolenia. Po raz pierwszy czarno na białym udowodniono to, o czym analitycy szeptali od roku: AI z sukcesem wygenerowała działający exploit zero-day. Mówiąc językiem zarządu: bariera wejścia do najbardziej niszczycielskich ataków spadła niemal do zera. To, co kiedyś wymagało miesięcy pracy świetnych programistów i milionów dolarów, dziś jest kwestią odpowiednio skalowalnego modelu i zestawu powtarzalnych promptów.
PR-owa wydmuszka kontra brutalna fizyka kodu
Większość traktuje AI jako zabawkę do optymalizacji wizerunku. Tymczasem w rękach grup takich jak APT45, modele językowe stały się maszynami do masowej wiwisekcji kodu. AI potrafi przeglądać logikę i przepływ kodu na skalę, która dla człowieka jest nieosiągalna.
To koniec „bezpieczeństwa przez niejasność”. Jeśli system firmy opiera się na tym, że „nikt jeszcze nie znalazł tej luki”, to właśnie została zlicytowana. Grupy finansowane przez państwa-agresorów używają Claude’a i innych narzędzi do automatycznego wykrywania słabości w krytycznej infrastrukturze. Przykład meksykańskich wodociągów to tylko przystawka. Hakerzy nie muszą już pukać do drzwi – oni budują klucz uniwersalny, podczas gdy korpo debatują o etyce czatbotów w HR.
Rachunek zysków i strat
Spójrzmy na to przez pryzmat P&L. Koszt ataku dzięki AI spadł o rząd wielkości. Koszt obrony? Wzrósł wykładniczo. To najgorsza możliwa dynamika biznesowa. Każda złotówka wydana na „innowacyjną aplikację AI”, która nie ma fundamentów bezpieczeństwa, jest w rzeczywistości dotacją dla północnokoreańskiego PKB.
Rynkowy konsensus zakłada, że AI zwiększy produktywność. To błąd. W krótkim terminie AI drastycznie zwiększa ryzyko operacyjne i obniża marżę przez konieczność łatania dziur, o których istnieniu nie firmy nie miały pojęcia. Jeśli CFO nie widzi w budżecie na przyszły rok potężnej rezerwy na cyber-incydenty, to znaczy, że uprawia myślenie życzeniowe. Zero-day w cenie subskrypcji za 20 dolarów miesięcznie to nowa rzeczywistość rynkowa.
Perspektywa CEE: Hub technologiczny czy poligon doświadczalny?
Dla regionu Europy Środkowo-Wschodniej (CEE) ten trend jest szczególnie toksyczny. Nasza przewaga konkurencyjna opierała się na „polskiej szkole programowania” i byciu zapleczem technologicznym dla Zachodu. Jeśli jednak nasze kody, tworzone masowo w ramach nearshoringu, staną się sitami łatwymi do przeskanowania przez AI, stracimy jedyny atut: zaufanie.
Jesteśmy krajem przyfrontowym – nie tylko w sensie fizycznym, ale i cyfrowym. Ataki APT45 czy grup chińskich nie są wymierzone w abstrakcję, ale w konkretne łańcuchy dostaw, w których firmy z CEE są kluczowymi ogniwami. Jeden udany exploit zero-day stworzony przez skrypt w Pythonie może wyparować wycenę giełdową polskiego software house’u w jedno popołudnie. Inwestorzy nie wybaczą nam „eksperymentowania”, gdy stawką jest ciągłość operacyjna globalnych korporacji.
Czy warto przestać gonić za „innowacją” tylko dla poklasku na konferencjach? Odpowiedź, choć bolesna, jest raczej oczywista. Innowacja, która nie obniża kosztów produkcji ani nie podnosi marży przy jednoczesnym zabezpieczeniu tyłów, jest marnotrawstwem kapitału.
