AI najde díru ve webu za pár minut. Co to znamená pro malou firmu a obec

Na webu jedné české obce visel v aktualitách sedm týdnů článek o online kasinu. Mezi zprávami o svozu odpadu a o tom, kdy bude zavřená silnice. Zjevně si ho nikdo nevšiml, protože na vlastní web se málokdo dívá očima návštěvníka.

Našel jsem ho obyčejným skriptem, který koncem září prošel titulní stránky téměř tří tisíc obecních webů. Bez jakékoli umělé inteligence. A právě proto stojí za to mluvit o tom, co se letos v kyberbezpečnosti změnilo.

Ve zkratce:

• Nové modely umělé inteligence, například Claude Mythos od společnosti Anthropic, samy hledají a zneužívají zranitelnosti. NÚKIB je v červnu 2026 označil za „reálné a závažné riziko“.
• Při pasivním průchodu 2 966 obecních webů jsem v září 2026 našel pět napadených, a to bez jakékoli umělé inteligence.
• Útoky nejsou nové, jen rychlejší a levnější. Pořád proti nim funguje aktuální software, dvoufázové ověření, zálohy a přehled o přístupech.
• Jestli je váš web napadený, zjistíte za minutu: do Googlu zadejte site:vasedomena.cz casino.

Co se letos v kyberbezpečnosti změnilo

V dubnu 2026 představila společnost Anthropic model Claude Mythos. Umí sám procházet kód, hledat v něm dosud neznámé zranitelnosti, ověřovat je a skládat menší chyby do vážných. Anthropic ho proto nevydal veřejně. V rámci projektu Glasswing ho dostala jen omezená skupina firem, které spravují kritický software, a ty s ním mezi dubnem a červencem našly nejméně 129 000 ověřených zranitelností.

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) k tomu 18. června vydal situační report, podle kterého je zneužití takových modelů útočníky „otázkou času“. Z reportu:

• Schopnost těchto modelů „představuje reálné a závažné riziko pro kybernetickou bezpečnost“.
• Mythos v testování úspěšně zneužil nově objevené zranitelnosti přibližně v 72 % případů.
• Téměř jistě (90–100 %) se srovnatelné schopnosti dostanou i ke státním a nestátním útočníkům, pokud je už nemají.
• Velmi pravděpodobně (75–85 %) se výrazně zkrátí doba mezi nalezením zranitelnosti a jejím zneužitím. Tempo oprav ale dál omezují lidé a jejich kapacity.

Proč o tom píšu zrovna teď

Pod značkou ajtak.it se starám o IT malých firem a obcí na Příbramsku. Anthropic 6. října zpřístupnil Mythos ověřeným bezpečnostním specialistům, kteří brání vlastní systémy. Od 7. října jsem jedním z nich. Přístup je omezený na obranu: hledání a ověřování zranitelností v systémech, které spravuji, a rozbor škodlivého kódu. Cizí systém bez souhlasu vlastníka testovat nesmím. To platí s umělou inteligencí i bez ní.

Pro vás z toho plyne jedna věc: vidím zblízka nástroj, jaký budou podle NÚKIB téměř jistě do roka mít k dispozici i útočníci. A můžu ho použít dřív než oni.

Co našel obyčejný skript

Koncem září jsem kvůli průzkumu trhu prošel 2 966 obecních webů ve Středočeském, Jihočeském a Plzeňském kraji a na Vysočině. Pasivně: jedno načtení titulní stránky, pomalu a s pauzami, nic víc, než udělá běžný návštěvník.

U pěti obcí byl na titulní stránce podvržený obsah. Typicky šlo o:

• článek o online kasinu viditelně zařazený mezi aktuality,
• desítky odkazů na sázkové weby posunutých mimo obrazovku. Návštěvník je nevidí, vyhledávač ano.

Další tři nálezy se při ruční kontrole ukázaly jako planý poplach. I to je poučení: automatický nález je teprve začátek a každý se musí ověřit, než se kvůli němu někomu volá.

Weby jmenovat nebudu. Podstatné je, že tohle zvládl jednoduchý skript. Útočník s umělou inteligencí nehledá jen spam na titulní stránce. Hledá zastaralé redakční systémy, neopravené pluginy a zapomenuté administrace, a hledá je ve všech webech najednou.

Co to znamená pro malou firmu a obec

• Věta „jsme moc malí, nás nikdo hackovat nebude“ přestává platit úplně. Automatizovaný útok si cíl nevybírá podle velikosti, ale podle toho, kde najde díru. Napadený web malé firmy nebo obce poslouží k šíření spamu, podvodných odkazů nebo škodlivého kódu stejně dobře jako velký.
• Zkracuje se čas na opravu. Mezi zveřejněním chyby a jejím hromadným zneužitím dřív bývala rezerva. NÚKIB čeká, že se výrazně zkrátí. Web, který se aktualizuje „jednou za čas“, zůstává otevřený čím dál déle.
• Víc rizika přichází přes dodavatele. Podle NÚKIB je nejpravděpodobnější scénář, že útok nezasáhne přímo vás, ale velkou firmu, jejíž službu používáte: cloud, platby, software. Pak rozhoduje, jak rychle se o problému dozvíte a jestli máte zálohu, která neleží jen u dodavatele.

Co se nemění

NÚKIB to ve svém doporučení říká přímo: tyto modely „nepřinášejí zásadně nové postupy v identifikaci a zneužití zranitelností, ale výrazně zvyšují rychlost a škálovatelnost těchto procesů“.

Útoky jsou tedy stejné, jen rychlejší a levnější. A proti nim pořád funguje totéž co dřív: aktuální software, dvoufázové ověření, zálohy, které jde obnovit, a přehled o tom, kdo co spravuje. Rozdíl je jen v tom, že si už nemůžete dovolit to odkládat.

Jak poznat napadený web a co zkontrolovat ještě tento týden

1. Podívejte se na svůj web očima Googlu. Do vyhledávání zadejte site:vasedomena.cz casino a pak totéž se slovy kasino, sázky nebo viagra. Pokud Google ukáže stránky, které jste nepsali, web je napadený.
2. Zjistěte, kdo web spravuje a kdy ho naposledy aktualizoval. Redakční systém i všechny pluginy. Když odpověď neznáte vy ani váš dodavatel, je to první díra.
3. Zapněte dvoufázové ověření u e-mailu, správy webu, registrace domény a bankovnictví. Ukradené heslo je pořád nejlevnější cesta dovnitř.
4. Sepište, kdo má jaké přístupy. Kdo zná heslo k webu, doméně a hostingu? Heslo, které znají tři lidi, není heslo.
5. Zkuste obnovit zálohu. Ne jen ověřit, že existuje, ale opravdu ji obnovit. Proč na tom tolik záleží.
6. Zaregistrujte web v Google Search Console. Je zdarma a v části „Zabezpečení a ruční akce“ vás upozorní, když Google na webu najde škodlivý obsah.

S čím pomůžu

Pokud si u některého bodu nejste jistí, ozvěte se. Projdu váš web stejně pasivně jako obecní weby výše, nálezy ověřím a řeknu vám, co je skutečné riziko a co ne. Hlubší testování dělám jen se smlouvou a s písemným souhlasem vlastníka systému, u vašeho webu tedy s vaším.

Domluvit kontrolu webu

Zdroje

• NÚKIB: Nové AI frontier modely významně navyšují schopnost autonomně detekovat a zneužívat zranitelnosti (situační report, 18. 6. 2026)
• Anthropic: Expanding the Cyber Verification Program (6. 10. 2026)
• Anthropic: Claude Mythos