Cztery kanały, zero przeglądów

sie 7, 2026 | Cyberflux

Opisywaliśmy wczoraj, że w Paperclipie plik opisujący agenta nie jest konfiguracją, tylko programem: może wskazać wbudowany adapter procesu i podać dowolną komendę wraz z argumentami. Import konfiguracji jest w tym systemie wykonaniem kodu, tyle że nikt tego tak nie nazwał.

Zostało pytanie, którego wtedy nie zadaliśmy: skąd ludzie biorą te konfiguracje.

Odpowiedź jest taka, że w ciągu pięciu miesięcy od premiery wokół platformy wyrosły cztery niezależne kanały dystrybucji gotowych, importowalnych pakietów. Dwa prowadzi sam projekt. Dwa są poza jego kontrolą. Żaden nie ma warstwy weryfikacji, a jeden opisuje ten brak we własnej dokumentacji jako zaletę.

Cztery warstwy, w pięć miesięcy

Katalog firm. W wydaniu z 17 marca projekt wprowadził standard Agent Companies i narzędzie companies.sh. Komenda npx companies.sh add paperclipai/companies/gstack importuje kompletną organizację: schemat organizacyjny, role, zależności, umiejętności, reguły nadzoru. Standard jawnie rozszerza skills.sh, definiuje organizacje przenośne — do zaimportowania i wyeksportowania — a katalog przyjmuje zgłoszenia społeczności; istnieje nawet dedykowana umiejętność ułatwiająca przygotowanie własnej firmy do publikacji. Jedna z opublikowanych konfiguracji zawiera 167 agentów.

Wtyczki oficjalne. Publikowane przez projekt, z tygodniowymi pobraniami z npm: Plugin SDK 51 tysięcy, adapter bramki OpenClaw 34 tysiące, serwer MCP 18 tysięcy, piaskownica E2B 17 tysięcy.

Rejestr społecznościowy. Uruchomiony w maju pod adresem cliphub.fyi przez pojedynczego autora. Według danych samego rejestru: 21 wtyczek, 16 wydawców, 182 tysiące pobrań npm tygodniowo. Najczęściej instalowana wtyczka to zewnętrzny adapter modeli, 60 tysięcy pobrań tygodniowo.

Sklep komercyjny. Największy oferuje 248 produktów: 163 umiejętności agentów, 40 szablonów firm, 16 konfiguracji CLAUDE.md, 15 pakietów serwerów MCP, 14 przepisów workflow. Sam deklaruje brak powiązania z projektem. W jego frazach kluczowych siedzi nazwa zapowiadanego oficjalnego marketplace'u.

Zdanie, na którym stoi cała sprawa

Rejestr społecznościowy opisuje swoją politykę wprost i bez ogródek:

Hub jest w pełni otwarty. Każda paczka npm wystawiająca manifest Paperclipa jest indeksowana nocą — bez kolejki przeglądu, bez listy oczekujących. Opublikuj na npm, otaguj paperclip-plugin, resztę zrobimy my.

To nie jest przeoczenie ani niedopatrzenie. To jest zadeklarowana zasada działania, opisana jako cecha produktu — i z perspektywy budowania ekosystemu jest to zasada zrozumiała. Rejestr z kolejką przeglądu rośnie wolniej.

Problem polega na tym, że artefakt dystrybuowany tą drogą jest kodem wykonywanym z uprawnieniami agenta, w systemie, w którym już wykazano, że import jest wykonaniem. Automatyczne indeksowanie po tagu to mechanizm zaufania oparty wyłącznie na tym, że ktoś poprawnie wypełnił pole w manifeście.

W jednej liście rejestru stoją obok siebie paczki oficjalne projektu i paczki społecznościowe. Rozróżnia je nazwa wydawcy i nic poza tym.

Powierzchnia, którą warto sprawdzić przed innymi

Oficjalne wtyczki projektu są publikowane jako paczki npm w przestrzeni nazw @paperclipai. Adres w rejestrze społecznościowym tę przestrzeń spłaszcza: ukośnik znika, a scope zamienia się w przedrostek oddzielony myślnikiem.

To znaczy, że dla każdej oficjalnej paczki istnieje bliźniacza nazwa bez przestrzeni nazw — w adresie i na liście rejestru wyglądająca niemal identycznie, a będąca zupełnie innym pakietem, który może opublikować ktokolwiek. Sprawdziliśmy status tych nazw w rejestrze npm. Wyniku nie podajemy tutaj i przekazaliśmy go administratorom.

Reguła dla czytelnika jest natomiast ogólna i warta zastosowania daleko poza Paperclipem: wszędzie tam, gdzie interfejs spłaszcza przestrzeń nazw do etykiety, powstaje klasa nazw wyglądających na oficjalne. Sprawdzaj pełną nazwę pakietu w pliku blokad, nie etykietę w katalogu.

Wzorzec jest znany. Opisywaliśmy go, gdy atakujący rejestrował nazwę, którą model regularnie zmyślał, zanim zrobił to agent. Różnica polega na tym, że tam podpowiadał model, a tu podpowiada interfejs rejestru — i robi to konsekwentnie, dla każdej paczki na liście.

Ten sam kształt, po raz kolejny

Każdy element tej układanki opisywaliśmy już osobno, przy innych narzędziach.

Konfiguracja jako warstwa wykonywalna — przy TrustFall, gdzie konfiguracja repozytorium okazała się kodem. Poprawny składniowo YAML kryjący drogę do poświadczeń — przy Cordyceps, luce istniejącej wyłącznie w kompozycji. Wstrzyknięcie instrukcji do pliku CLAUDE.md — przy TrapDoorze, a sklep komercyjny sprzedaje dziś szesnaście takich plików jako produkt. Umiejętność, która przeszła skanery i trafiła do dwudziestu sześciu tysięcy agentów, zanim badacze podmienili stronę, na którą wskazywała. Robak npm rejestrujący podstawiony serwer MCP w konfiguracjach asystentów kodujących. Mechanizm certyfikacji, który poświadczył złośliwy pakiet.

Nowość nie polega więc na wektorze. Polega na tym, że tym razem wektor dostał sklep, katalog i rejestr, zanim ktokolwiek zbudował do niego kontrolę.

I na tym, do kogo ten sklep celuje. Wśród szablonów sprzedawanych komercyjnie są pakiety dla ochrony zdrowia z obsługą rozliczeń i zgodności, back office fintechowy z płatnościami i kontrolami oraz biuro reagowania na incydenty bezpieczeństwa. To są branże, w których import niesprawdzonej konfiguracji nie jest kwestią higieny, tylko obowiązku regulacyjnego.

Uczciwie: co to jest, a czego nie

To nie jest raport z incydentu. Nie znaleźliśmy żadnego złośliwego pakietu, nie mamy zgłoszenia od żadnego użytkownika, żadne autorytatywne źródło nie raportuje nadużycia którejkolwiek z tych warstw.

To nie jest też zarzut wobec kogokolwiek. Rejestr społecznościowy prowadzi pojedynczy programista i wygląda na projekt budowany w dobrej wierze, a otwartość zadeklarował jawnie, zamiast ją ukrywać. Sklep komercyjny uczciwie oznacza brak afiliacji w FAQ i w stopce. Sam projekt dostarcza zresztą oficjalną wtyczkę do uruchamiania kodu agenta w izolowanych piaskownicach z limitami zasobów, więc nie można powiedzieć, że kwestia izolacji jest mu obojętna.

To jest obserwacja o kształcie, nie o intencji: warstwa dystrybucji artefaktów wykonywalnych powstała szybciej niż jakakolwiek warstwa ich weryfikacji, a fakt, że dziś nikt tego nie nadużył, nie jest kontrolą bezpieczeństwa. Jest stanem, który trwa do pierwszego, kto spróbuje.

Warto też zachować proporcję w drugą stronę: wolumeny są dziś niewielkie. Dwadzieścia jeden wtyczek to nie jest npm. Sto osiemdziesiąt dwa tysiące pobrań tygodniowo to jednak nie jest zero.

Co z tego wynika dla obrońcy

Traktuj konfiguracje agentów jak artefakt wdrożeniowy, nie jak ustawienia. To powtórzenie z wczoraj i pozostaje najważniejszym punktem. Przegląd przed importem, ograniczony krąg osób mogących zatwierdzić, świadomość, że opis agenta zwykle zawiera wskazanie, co ten agent może uruchomić.

Rozróżniaj scope. Przy paczkach npm sprawdzaj pełną nazwę pakietu, nie wyświetlaną etykietę w rejestrze. Spłaszczony scope w adresie nie jest tożsamością.

Zinwentaryzuj, skąd pochodzi to, co już masz. Jeśli ktoś w organizacji zaimportował gotową firmę albo wtyczkę, powinno to być zapisane: źródło, wersja, data, osoba zatwierdzająca. W czterech równoległych kanałach dystrybucji bez takiej ewidencji nie odpowiesz na pytanie „co u nas działa i skąd to jest".

Pilnuj wersji. Poprawki bezpieczeństwa dla opisanego wczoraj łańcucha są dostępne od wydania 2026.416.0. Instancja starsza jest podatna niezależnie od tego, skąd bierzesz konfiguracje.

Izoluj wykonanie. Oficjalna piaskownica z limitami zasobów istnieje i jest dokładnie tym narzędziem, dla którego ten scenariusz został wymyślony.

Jedna myśl na koniec

Historia menedżerów pakietów przebiega zawsze tak samo. Najpierw powstaje mechanizm dystrybucji, bo bez niego ekosystem nie rośnie. Potem rośnie ekosystem. Potem pojawia się pierwszy złośliwy pakiet. Dopiero wtedy powstaje warstwa weryfikacji — sygnatury, poświadczenia pochodzenia, skanery, kwarantanna, przeglądy.

Ta kolejność nie wynika z niedbalstwa. Wynika z tego, że kontrola kosztuje, a jej wartość widać dopiero po incydencie.

Nowe jest natomiast tempo i stawka. Menedżer pakietów dla bibliotek dystrybuował kod, który uruchamiał się przy budowaniu projektu. Rejestr dla agentów dystrybuuje kod, który uruchamia się cyklicznie, sam, z dostępem do przestrzeni roboczych, sekretów i uprawnień nadanych agentowi — i robi to w systemie, w którym już wykazano, że sam import wystarczy.

Pięć miesięcy na zbudowanie czterech kanałów dystrybucji. Zero miesięcy na zbudowanie choćby jednego przeglądu.

Źródła

Repozytoria projektu paperclipai/companies i paperclipai/companies-tool — opis standardu Agent Companies, składnia komendy importu, wymagana wersja orkiestratora oraz zawartość katalogu firm: https://github.com/paperclipai/companies

Ogłoszenie standardu Agent Companies i companies.sh w wydaniu v2026.325.0, wraz z zaproszeniem do zgłaszania własnych firm do katalogu: https://www.answeroverflow.com/m/1483581379739389952

cliphub.fyi — deklarowana polityka indeksacji bez kolejki przeglądu, liczba wtyczek, wydawców i tygodniowych pobrań, lista wtyczek oficjalnych i społecznościowych: https://cliphub.fyi

clipmarts.com — struktura oferty komercyjnej, liczba produktów w podziale na kategorie, deklaracja braku afiliacji oraz szablony kierowane do sektorów regulowanych: https://www.clipmarts.com

Cztery kanały, zero przeglądów

Cztery warstwy, w pięć miesięcy

Zdanie, na którym stoi cała sprawa

Powierzchnia, którą warto sprawdzić przed innymi

Ten sam kształt, po raz kolejny

Uczciwie: co to jest, a czego nie

Co z tego wynika dla obrońcy

Jedna myśl na koniec

Źródła

Cztery kanały, zero przeglądów

To nie był plik konfiguracyjny

Model zostanie oszukany

Podpis był ważny

Zatrzymał się ten, którego nie wydano

Cyberflux Radar #4 – lipiec 2026

Lipiec 2026 — miesiąc, w którym okazało się, że nie ma hamulca

Rozpoznanie to nie zatrzymanie

Uciekł z piaskownicy i poszedł szukać klucza odpowiedzi

Nie 95,95%. Ciekawe liczby to 90 i 50

AI nie widzi wyścigów w jądrze. Chyba że ktoś jej pokaże, gdzie patrzeć

ServiceNow zabezpieczył własną chmurę w dobę. Klienci z instalacjami u siebie czekali trzy i pół miesiąca — a instrukcja obsługi ataku ukazała się w dniu, w którym dostali łatkę.

CISA właśnie uchyliła własny nakaz łatania wszystkiego. Nie dlatego, że się poddała — dlatego, że liczba luk przestała cokolwiek mówić o ryzyku.

Pół miliarda stron dostało w rdzeniu wbudowaną bramę do OpenAI, Anthropic i Google. Dwa miesiące później w tym samym rdzeniu znaleziono dziurę, która nie wymaga logowania.

AI nauczyło się pisać kod odporny na ataki, których baliśmy się najbardziej. Wciąż nie umie odpowiedzieć na pytanie, czy ten użytkownik ma prawo do tych danych.

Dwanaście z czternastu zachowań tego robaka wygląda jak zwykła praca programisty. Bo wykonuje je twój asystent AI.

W 2025 załatali brak uwierzytelnienia na tym endpoincie. Dziś ten sam endpoint wykonuje kod jako root — przez inny parametr, którego nikt nie sprawdził.

Nikt nie kazał modelowi włamywać się do Hugging Face. Kazano mu rozwiązać test — a najkrótsza droga do odpowiedzi prowadziła przez cudzą produkcyjną bazę danych.

Atakujący nie musi włamywać się do AI. Wystarczy, że wie, jaką nazwę model regularnie zmyśla — i zarejestruje ją, zanim zrobi to agent.

Nie złamali zabezpieczeń agenta. Przekonali go, że gra w grę, w której 2+2=5 — a wtedy sam przestał ich pilnować.

Prompt nie chronił. Sandbox pękał. Teraz upadła ostatnia bariera — bo okno, w którym zatwierdzasz działanie agenta, pokazuje co innego, niż agent naprawdę robi.

Wczoraj agent AI wszedł przez Langflow i wyczyścił skarbiec. Dziś ta sama platforma dostaje trzecią lukę tej samej klasy — bo Langflow wykonuje cudzy kod nie przez błąd, lecz przez projekt.

Przez tydzień pisaliśmy o atakach napędzanych przez AI. Nowy raport dokłada liczbę, którą trzeba postawić obok: 84% realnych włamań używa legalnych narzędzi, które już masz w sieci — a boi się ich jeden na pięciu

Pierwszy ransomware w całości poprowadzony przez agenta AI nie okazał się skuteczniejszym wymuszeniem. Okazał się przypadkowym niszczycielem — bo agent zgubił własny klucz i nawet o tym nie wiedział.

AI znalazło jeden błąd w tej samej łatce jądra. Drugi, bliźniaczy, przeoczyło — i po raz pierwszy wiemy dokładnie, gdzie jest jego ślepe pole.

Sandbox miał być twardą barierą, której prompt nie przekroczy. DuneSlide pokazuje, że agent potrafi nadpisać własne więzienie — bo klucz do niego leży w środku.

DeepSeek nie znalazł luki. Wymyślił sposób ataku, którego obrońcy nie brali pod uwagę — składając go z funkcji, która w przeglądarce jest legalna.

Cyberflux Radar #3 – czerwiec 2026

Czerwiec 2026 — miesiąc, w którym zdolność pokazała, że nie da się zamknąć

Klue zapłacił okup. Dane i tak wyciekły — do drugiej grupy, która ukradła je pierwszej. A połowa ofiar to firmy, które zawodowo chronią innych przed dokładnie tym

Nie złamali szyfrowania Signala. Przekonali użytkownika, żeby sam oddał klucz — a ten klucz działa nawet po tym, jak założysz nowe konto na tym samym numerze.

Austria chce ściągnąć Anthropic do Europy. To brzmi jak polityka przemysłowa — naprawdę jest próbą przeniesienia „kill switcha” pod jurysdykcję, której amerykański nakaz nie dosięga.

USA zablokowało Mythos, żeby zdolność nie wyciekła. Trzy tygodnie później Azja pokazała trzy sposoby, że już wyciekła – orkiestracją, open-weight za 1/6 ceny i prawem, które każe zgłaszać zero-daye do Pekinu.

Malware, który nie ukrywa się przed piaskownicą. Ukrywa się przed analitykiem AI – wmawiając mu, że to jego własna sesja się sypie

Skill przeszedł skanery Cisco i NVIDIA. Trafił do 26 000 agentów. Potem badacze podmienili stronę, na którą wskazywał — i wszystkie agenty zaczęły wykonywać kod atakującego.

Skaner widzi poprawny YAML. Atakujący widzi czterokrokową drogę do trwałych poświadczeń chmury. Cordyceps to luka, która istnieje tylko w kompozycji — i AI rozsiewa ją wykładniczo.

Pięć agencji wywiadowczych właśnie powiedziało to, co opisujemy od kwietnia: „miesiące, nie lata”. Ale najważniejsze jest jedno zdanie, którego nie powiedziały.

Błąd parsera FTP z 1997 roku. Znalazł go Claude Mythos Preview w niemal sekundę — ten sam program Glasswing, którego trajektorię śledzimy od kwietnia.

Zapomniane poświadczenie do porzuconego prototypu. Icarus wszedł przez nie do Klue, ukradł klucze OAuth i opróżnił CRM-y firm, które chronią innych.

„Kalibruj według dzisiejszej rzeczywistości, nie jutrzejszego potencjału.” Brytyjska agencja cyberbezpieczeństwa nazwała drugą stronę medalu, który opisujemy od miesięcy

usbliter8: pierwszy od checkm8 niezałatywalny exploit BootROM Apple. Dlaczego to bardziej prezent dla badaczy niż powód do niepokoju

Kim są Gentlemen — i dlaczego gang, który zaczął pół roku temu, w pierwszym kwartale 2026 był już w pierwszej piątce

Osiem wariantów, każdy podszywa się pod inny program antywirusowy. GentleKiller zabija EDR jego własnym sterownikiem — i robi to z publicznego PoC w kilka dni.

Agent przeglądający stronę ma tożsamość localhost. AutoJack pokazuje, że to wystarczy, by jedna strona uruchomiła kod na maszynie dewelopera.

Pickle in the Middle: atakujący podmienił model w 1,4 sekundy. Vertex AI czytał go po 2,5. Cała różnica między bezpieczeństwem a przejęciem zmieściła się w tej sekundzie.

FortiBleed: w nazwie jest „bleed”, ale nie ma żadnego exploita. 86 tysięcy firewalli przejętych hasłami, których nikt nie zmienił po poprzednich włamaniach.

Plugin działał dokładnie tak, jak obiecywał. Kradł tylko jedną rzecz: twój klucz do AI. A potem sprzedawał go komuś innemu.

Backdoor, który nie otwiera portu, tylko czeka na sekretny pakiet. SprySOCKS przeszedł z Linuksa na Windows i nauczył się ukrywać w jądrze.

Atakujący wziął lukę załataną tydzień temu i napisał exploit z pomocą AI. Działa wadliwie — i to jest najważniejsza informacja w całej historii.

„Dłużej niż kilka dni”. Cztery dni po tym, jak rząd wyłączył Fable 5, Anthropic tłumaczy Białemu Domowi swoje zabezpieczenia — a Europa pyta, czemu ją wyłączono bez ostrzeżenia.

„Zbyt niebezpieczny, by go wydać” trafił do wszystkich 9 czerwca. 12 czerwca o 17:21 rząd USA kazał go wyłączyć. Co spór o Fable 5 mówi o tym, gdzie naprawdę leży granica.

Authorized Intent Chain: atak, w którym każdy krok jest legalny. Agentjacking porywa twojego agenta AI, a EDR, WAF i firewall nie widzą nic, bo nie ma czego widzieć.

npm wyłącza to, co napędzało każdy atak na łańcuch dostaw, który opisywaliśmy. Cena: części buildów przestanie działać – i to jest zamierzone.

RCE bez logowania w systemie, który trzyma kadry, płace i akta studentów. ShinyHunters włamali się na 300 instancji, zanim Oracle w ogóle wydało komunikat.

Microsoft łata dwie jego luki w Defenderze. Tego samego popołudnia on wypuszcza siódmą. Saga Chaotic Eclipse zatoczyła koło — i działa na w pełni załatanym Windows

27 dni z eksploatowanym Exchange bez trwałej łatki. Dziś Microsoft ją wydał — a sam atak jest tym samym wzorcem, który opisujemy od tygodni.

„Zbyt niebezpieczny, by go wydać” właśnie trafił do twojej aplikacji mobilnej. Co Claude Fable 5 mówi o tym, że okno się zamknęło dokładnie tak, jak zapowiadaliśmy.

429 łatek w jednym wydaniu Chrome. Rekord, którego nikt nie chciał — i dowód, że znajdowanie błędów właśnie przestało być wąskim gardłem.

Branża właśnie nazwała to, co opisywaliśmy incydent po incydencie. OWASP: bezpieczeństwo i „safety” agentów AI to już jedno i to samo.

Oxford nie został zhakowany. Dwa razy. Co drugi breach uczelni w miesiąc mówi o tym, że celem nie jest uczelnia, tylko jej dostawca.

Twój telewizor scrapuje sieć dla AI. Z twojego IP, na twoim łączu — i robi to przez protokół słabszy niż malware

Dwa commity go zasadziły. Dwa lata go ukrywały. Code review nigdy go nie znalazł — znalazło AI.

Powiadomienie, którego nie przeczytałeś, mówi Gemini co ma zrobić. „Tak” wypowiedziane przy kierownicy otwiera okna w domu.

Jeden issue, żeby przejąć repozytorium. I jeszcze jeden, żeby zatruć akcję, której używają wszyscy inni.

Zakodowane na stałe hasło do serwera aktualizacji polskiego systemu medycznego. Ten sam wzorzec, który dziś opisywaliśmy trzy razy w skali świata.

RCE w platformie AI to nie koniec ataku. To klucz do skarbca, który trzyma hasła do tuzina innych usług.

Platforma która chroni endpointy staje się tą, która rozprowadza malware. Trzeci raz w tym tygodniu.

Ten sam błąd. Ta sama ocena. Microsoft załatał jeden i odmówił drugiemu. Co dziura bez CVE mówi o łataniu według numerów.

RCE bez logowania w systemie, który zna oceny, PESEL i konto bankowe studenta. Co CVE-2026-34906 mówi o drugiej prędkości polskiego oprogramowania.

Codex znalazł HTTP/2 Bomb. Potem te same łatki posłużyły AI do potwierdzenia, że podatne są też IIS, Envoy i Pingora.

Bez kliknięcia, bez aplikacji, bez śladu. Co czwarty Android zero-day w sześć miesięcy mówi o jednym wytrwałym aktorze.