Najveći sajber-rizik nisu hakeri, već šta vaši zaposleni koriste

Kada je Anthropic 7. aprila objavio da njihov novi AI model Claude Mythos može samostalno da pronađe bezbednosne propuste u svakom velikom operativnom sistemu i odmah odlučio da ga ne pusti u javnost, priča je obišla svet kao upozorenje na pretnju koja dolazi.

U istom mesecu kada je Mythos postao globalna vest, hakeri su kompromitovali AI startap vredan 10 milijardi dolara i jednu od najvećih klaud platformi na svetu, Vercel, bez ikakvog naprednog AI alata. Ulazna tačka bili su zaposleni i alati koje oni svakodnevno koriste.

 

Napad koji ne vidite dok ne bude kasno

Jedan zaposleni u kompaniji Vercel instalirao je dodatak za pretraživač i povezao ga sa poslovnim Google nalogom. Nije pitao šefove, nije prekršio nijedno pravilo, samo je koristio alat koji mu je olakšavao posao. Do kraja dana, virus je bio unutar internih sistema. Ukradeni podaci su se pojavili na hakerskom forumu sa cenom od dva miliona dolara.  

Tri nedelje ranije, Mercor, AI startap vredan 10 milijardi dolara, napadnut je kroz potpuno drugačiji kanal: LiteLLM, besplatnu programersku komponentu koju su koristili kao i hiljade drugih kompanija. Hakeri su ubacili virus (engl. malware, zlonamerni kod) u novu verziju LiteLLMa i objavili je na PyPI, javnom servisu odakle programeri širom sveta preuzimaju softverske komponente. 

Zaražena verzija bila je dostupna 40 minuta, dovoljno da je hiljade kompanija automatski preuzme i instalira. Rezultat: četiri terabajta ukradenih podataka i lični podaci 40.000 registrovanih korisnika na hakerskim forumima. 

Prema neslužbenim informacijama iz industrije, napad je imao direktan uticaj na odnose sa velikim klijentima kao što je Meta. 

 

 

Ako ne znate koje alate vaši zaposleni koriste preko poslovnih naloga, ne možete zaštititi ni sopstvene podatke. AI servisi i programerski dodaci šire se brže nego što IT timovi stižu da ih evidentiraju, i svaki novi alat koji zaposleni instalira bez znanja kompanije potencijalni je ulazni punkt za napad.

Kako se region bori sa sajber-napadima 

Kompanije u Adria regionu koriste iste programerske alate kao i napadnute firme u Silicijumskoj dolini. Razlika je u tome šta se dešava posle napada. Hrvatska i Slovenija, kao članice EU, imaju NIS2 direktivu koja kompanije obavezuje da prijave ozbiljan incident u roku od 24 sata. 

Kazne za neprijavljivanje mogu dostići i do 10 miliona evra u zavisnosti od veličine kompanije i incidenta koji je zabeležen.

U ostatku regiona ta obaveza ne postoji, a prema izveštaju BIRN-a, napadi na institucije često ne budu javno prijavljeni ni kada se dogode.

Krajem aprila 2026. pojavio se i konkretan primer iz Srbije. Dunav osiguranje našlo se na meti hakerske grupe APT73/Bashe, koja je objavila da je uspešno kompromitovala sisteme kompanije i zapretila objavljivanjem osetljivih podataka ukoliko zahtevi ne budu ispunjeni. 

Detalji napada nisu zvanično potvrđeni, ali sam obrazac je poznat: ulazak kroz pristupne tačke, enkripcija sistema i pritisak kroz pretnju curenja podataka.

Odsustvo obaveze prijavljivanja direktno utiče na poslovne odluke. Bez obaveze prijavljivanja, menadžment ne dobija signale koji bi ga naterali da reaguje, a industrija ostaje bez podataka koji bi pokazali koliko je problem zapravo velik. 

Prema analizi Kloudle, Bosna i Hercegovina je najizloženija zemlja u Evropi za sajber-napade, a odmah posle nje je Srbija. Nisu primamljivije mete od ostalih, ali automatizovani napadi ne prave razliku između kompanije u Beogradu i Briselu. 

Tri pitanja koja svaki menadžer treba da postavi sutra

Anthropic je oko svog modela Mythos okupio konzorcijum od 50 kompanija da rade na pronalaženju propusta u kritičnom softveru. To je dobar znak za globalnu bezbednost, ali ne menja situaciju za kompanije u regionu.

Bez odgovora na ova pitanja, bezbednosna strategija ostaje mrtvo slovo na papiru. Jim Zemlin, izvršni direktor fondacije Linux  i partner u Glasswingu, sumirao je problem za Bloomberg: "Odlični smo u pronalaženju grešaka, ali smo užasni u njihovom ispravljanju." 

Ovo je trenutno stanje u većini kompanija u regionu. Bez promene, broj incidenata će rasti, a posledice će biti sve skuplje.

                      

Mythos, novi AI model Anthropica, pokrenuo je novi talas dilema i kontroverzi na Wall Streetu, sastancima Međunarodnog monetarnog fonda i vlada i ministarstava odbrane. Tvorci Mythosa tvrde da taj model može da skenira nepregledne nizove koda i pronalazi i eksploatiše slabe tačke unutar sistema. Lični podaci, platni i operativni sistemi lako bi mogli da se nađu na meti zloupotreba, koje bi vlade i kompanije mogle da koštaju bilione dolara. Uprkos tome, Anthropic je već odabrao nekoliko kompanija koje testiraju Mythos, a potencijalni rizici bili su i tema sastanaka najviših američkih državnih rukovodilaca. O tome može li sajber-bezbednost da drži korak sa ovakvim tehnologijama i odakle dolazi žurba da se one uprkos svemu integrišu, za TV Bloomberg Adria govorio je Jake Bleiberg sa Bloomberga. "Trenutno se čini da Anthropic i kompanije koje koriste ovaj alat imaju prednost jer su uspele da ga drže pod kontrolom, ali ono što svi u prostoru AI i sajber bezbednosti očekuju jeste da će, pre ili kasnije, ovaj model ili drugi modeli sličnih sposobnosti omogućiti ljudima da provale u sisteme koji su ranije bili bezbedni. Iz tog razloga postoji zabrinutost da će tada napadači biti u prednosti, jer su svi sistemi koje kompanije i vlade koriste izgrađeni, sloj po sloj, na osnovu relativno starog računarskog koda. Ovaj alat će omogućiti napadačima da detaljno istraže sisteme kako bi otkrili njihovu ranjivost", navodi Bleiberg. Anthropic je zasad predstavio samo ograničeno izdanje modela, ali postoji zabrinutost među ljudima koji rade u sajber-bezbednosti u privatnom sektoru, kao i onima koji rade za vladu u agencijama za nacionalnu bezbednost u SAD i inostranstvu da neće proći dugo pre nego što alat poput ovog postane široko dostupan, rekao je, dodajući da smatra da je Anthropic bio željan da stavi ovaj alat u ruke finansijskih institucija i firmi za sajber-bezbednost, da im omogući da proaktivno preduzmu odbrambene mere.