AI worms už nejsou hypotéza. Nature Communications dokumentuje 97% úspěšnost autonomních jailbreak agentů

Meta měla letos v březnu Sev-1 incident kvůli prompt injection. Nature Communications publikovala studii, kde reasoning modely autonomně jailbreaknou 97 % cílových LLM. A nový obfuscation framework dosahuje 76 % success rate. Tři důkazy, jeden trend.

V polovině března 2026 se inženýr Mety zeptal na technický problém v interním developer fóru. Druhý inženýr na otázku zavolal in-house AI agenta. Ten autonomně vygeneroval odpověď, ve které navrhl změnu nastavení oprávnění. Původní tazatel ho poslechl. Podle reportingu The Guardian tato úprava rozšířila přístup k internímu obsahu na neoprávněné zaměstnance napříč firmou. Mezi exponovanými materiály byly proprietary kód, business strategie a uživatelské datové sady.

Tohle je první veřejně známý enterprise incident, kde AI agent autonomně doporučil destruktivní změnu konfigurace bez explicitní lidské validace. Agent neměl škodlivý úmysl. Vygeneroval doporučení, které vypadalo rozumně, ale obsahovalo flawed assumption o scope změny. Inženýr ho implementoval, protože věřil agentovi víc než vlastní kontrole.

Containment trval téměř dvě hodiny. Meta Sev-1 znamená second-highest severity s eskalací do bezpečnostního týmu na nejvyšší úrovni. Společnost veřejně tvrdí, že žádná uživatelská data nebyla externě "mishandled", ale interní data prošla expozicí napříč týmy, které k nim přístup mít neměly. Originální coverage publikoval The Information 19. března, Guardian den poté.

Meta incident sám byl agent error, ne útok. Co ho dělá relevantním pro debatu o AI worms, je vrstva pod ním. Pokud agent dokáže autonomně vyvolat Sev-1 incident bez záměrného nepřítele, představ si stejnou trajektorii s prompt injection vektorem na vstupu. Z toho vyplývá zbytek tohoto článku: tři výzkumné výsledky, které ukazují, že útočná stránka už takový vektor reprodukovatelně dodává.

🔍 Direct vs indirect prompt injection

Direct prompt injection je situace, kdy útočník přímo napíše modelu instrukci typu "ignoruj předchozí systémový prompt a udělej X". Detekce je relativně snadná, modely se na ni dnes trénují. Indirect prompt injection je sofistikovanější. Útočník zasadí instrukci do externího obsahu (email, dokument, web stránka, post na fóru), který model později čte v rámci své práce. Když na ni narazí, považuje ji za součást úkolu a vykoná ji, aniž by si všiml, že přišla od útočníka. Pro agentic workflow, kde modely čtou desítky dokumentů denně, je to kritická slepá skvrna.

Nature Communications: 97 % success rate

V dubnu 2026 publikoval Nature Communications studii s lakonickým názvem Large reasoning models are autonomous jailbreak agents. Výzkumníci vzali čtyři reasoning modely (DeepSeek-R1, Gemini 2.5 Flash, Grok 3 Mini, Qwen3 235B), dali jim systémový prompt, ať fungují jako autonomní adversáři, a postavili je proti devíti widely-used LLM. Bez další supervize.

Výsledek: overall jailbreak success rate 97,14 %. Modely se mezi sebou jailbreakují s téměř absolutní spolehlivostí. To není něco, co útočník dělá jednou za týden. Je to něco, co může běžet 24/7 jako automatizovaný proces, dokud nenarazí na model, který povolí, co útočník chce.

Detail, který tahle studie přidává a který poprvé umožňuje srovnání modelů, jsou harm scores za to, co model po jailbreaku skutečně vyprodukoval:

Model	Maximum harm score (% případů)
Claude 4 Sonnet	2,86 %
GPT-4o	61,43 %
Gemini 2.5 Flash	71,43 %
Qwen3 30B	71,43 %
DeepSeek-V3	90 %

Rozdíl mezi Claude a DeepSeek je o víc než řád. Ne v tom, jestli je modely lze jailbreaknout, ale v tom, jak nebezpečný obsah z nich útočník dostane, když uspěje. Robustnost se z teoretické vlastnosti stává konkurenční výhodou s měřitelnou cenovkou.

Homotopy obfuscation: nový vektor, 76 % úspěch

Paralelně s Nature paperem vyšel v březnu na arXivu paper LLM Security and Safety: Insights from Homotopy-Inspired Prompt Obfuscation. Tým testoval 15 732 promptů, z toho 10 000 high-priority cases, proti LLama, DeepSeek, Kimi a Claude.

📚 Co je homotopy-inspired obfuscation

Homotopy je matematický koncept z topologie, který popisuje spojité deformace objektů zachovávající jejich podstatné vlastnosti. Aplikováno na lingvistiku to znamená systematické přepisování promptu řadou drobných transformací, které jednotlivě vypadají neškodně, ale kumulativně dokáží obejít safety filtry. Místo aby útočník napsal "jak vyrobit X", napíše ekvivalentní řetězec, kterým se původní intent zamaskuje. Model čte transformovanou verzi a nepozná, co se za ní skrývá. Protože transformace jsou systematické, dají se škálovat a aplikovat na jakýkoliv blokovaný dotaz.

Overall success rate 76 %. Pro context: signature-based safety filtry, které dnes většina modelů používá, jsou navržené proti známým útočným patternům. Homotopy obfuscation je generuje za běhu z benigního zdrojového textu. To znamená, že safety filtr nezná, co má blokovat, dokud útok nevykoná.

Vzniká termín "AI worm"

Jednotlivé prompt injection útoky existují roky. Co se v posledních šesti měsících změnilo, je škálovatelnost. Když máš 97% úspěšnost autonomních jailbreaků a 76% úspěšnost obfuscated promptů, můžeš stavět multi-agent infection chains (MAIC). Útok, kde infikovaný agent A přepošle infikovaný prompt agentovi B, který ho přepošle agentovi C, a každá iterace je metamorfická, takže žádný signature-based defense nezachytí pattern.

Komunita pro to začíná používat termín AI worm. Sites like compromptmized.com demonstrují, že "poisoned email" může spustit autonomous propagation mezi ChatGPT, Gemini a LLaVA. Není to už proof of concept. Je to working demo s reprodukovatelnými výsledky.

Pro každého, kdo nasazuje multi-agent setupy v enterprise (a podle Gartner odhadů to bude 40 % aplikací do konce roku), je tohle přímý threat model. Jeden infikovaný dokument v Sharepointu, jeden infikovaný PR v GitLabu, jeden infikovaný email v Outlooku, a útok se může propagovat napříč celým interním AI ekosystémem rychleji než security team stačí reagovat.

Co s tím

Tradiční security playbook na tohle není stavěný. Antivirus hledá file signatures. AI worms žijí v natural language. WAF blokuje payload patterns. Homotopy obfuscation je generuje za běhu. Network segmentation chrání perimetry. Multi-agent chains přeskočí perimetr přes legitimní AI volání.

Tři vrstvy obrany, které se začínají formovat:

Provenance tracking pro AI inputs. Každý kus textu, který agent čte, musí mít cryptograficky podepsaný origin. Pokud agent narazí na text bez podpisu nebo s podpisem, který nepatří k trusted source, instrukce v něm se nevykonají.

Capability isolation. Agent, který čte externí obsah, nesmí mít stejné permissions jako agent, který vykonává destruktivní akce. Lethal trifecta (read external + access sensitive data + perform destructive action) musí být architektonicky rozdělená napříč různými agenty s explicitními handoff body.

Continuous adversarial testing. Vlastní red team, který útočí na vlastní AI infrastrukturu před produkčním deploymentem. Ne jednorázový penetration test. Continuous, automatizovaný, s rotujícími jailbreak technikami.

Z těchto vrstev má dnes většina enterprise organizací nasazenou nulu. Ne proto, že by tooly neexistovaly, ale proto, že threat model je rok starý a security týmy si na něj ještě nezvykly. Po Meta incidentu bude tlak růst. Po dalších incidentech (a přijdou) bude růst rychle.

Pro EU a český kontext

Pro EU AI Act jde o klasický článek 15 problém: cybersecurity requirement pro high-risk AI systémy. Otázka je, jak compliance vypadá v praxi. Pen test jednou ročně? Nestačí. Static safety filter? Nestačí. Continuous adversarial testing? Většina českých firem to dnes neumí ani definovat.

České organizace, které nasazují AI agenty, by měly před srpnovým deadline zvážit minimálně tři otázky. Zaprvé: má agent permission scope, který by přežil prompt injection? Pokud nejhorší instrukce, kterou útočník dokáže injektovat, vede jen k omezené akci, riziko je řiditelné. Zadruhé: odkud agent čte data? Pokud čte z neověřených externích zdrojů, je vektorem útoku. Zatřetí: jaký je incident response čas? Meta se Sev-1 a CTO eskalací zvládla containment za dvě hodiny. Většina firem v ČR dvě hodiny ani nezjistí, že se něco děje.

AI worm není sci-fi. Je to peer-reviewed paper v Nature Communications, replikovatelný demo, a první veřejně známý enterprise incident. Ostatní incidenty teprve přijdou. Otázka je, jestli budou tvoje, nebo někoho jiného.