Agent AI zhakował Lilli McKinsey w dwie godziny. Prompty były zapisywalne.

28 lutego 2026 r. autonomiczny agent ofensywny ds. bezpieczeństwa, uruchomiony przez startup zajmujący się bezpieczeństwem CodeWall, wykrył nieuwierzytelnioną iniekcję SQL w publicznym interfejsie API Lilli — wewnętrznej platformie AI McKinsey & Company — i w ciągu mniej więcej dwóch godzin uzyskał dostęp do odczytu i zapisu do stojącej za nią produkcyjnej bazy danych. CodeWall opublikował łańcuch ataku 9 marca 2026 r. Z jego relacji wynika, że baza ta zawierała 46,5 mln wiadomości czatu w postaci jawnej, 57 000 kont użytkowników, 728 000 nazw plików oraz prompty systemowe określające, w jaki sposób odpowiada Lilli — przechowywane jako zwykłe wiersze, a więc możliwe do zapisania przez tę samą iniekcję. McKinsey potwierdził tę podatność i twierdzi, że naprawił ją w ciągu kilku godzin; podaje, że niezależne śledztwo kryminalistyczne strony trzeciej nie wykazało żadnych dowodów na uzyskanie dostępu do danych klientów ani do poufnych informacji klientów. Archiwum klasyfikuje ten wpis jako krytyczny, z pewnością A, udokumentowaną realną szkodą i statusem przełomowym. Pełny wpis, wraz z ocenami dotkliwości i pewności oraz sąsiednimi wpisami dotyczącymi wtargnięć sterowanych przez agentów, znajduje się w Orca AI Incident Archive.

Ta część historii, która dotarła najdalej, nie dotyczy wstrzyknięcia SQL. Wstrzyknięcie SQL to klasa błędów tak stara, że ma stronę w Wikipedii dłuższą niż większość biuletynów bezpieczeństwa dostawców, a McKinsey nie jest małym celem. To, co trafiło najdalej, to druga połowa ustalenia CodeWall: że instrukcje kontrolujące asystenta — prompty decydujące o tym, na co odpowie, czego odmówi i jakie źródła przytoczy — znajdowały się w tej samej bazie danych, do której agent mógł pisać, i w zasadzie można je było zmienić jednym poleceniem podczas jednego wywołania HTTP.

Jak agent się dostał do środka

Opis CodeWall przedstawia sekwencję, w której nie ma żadnego egzotycznego elementu. Agent najpierw zmapował powierzchnię ataku i odkrył, że dokumentacja API Lilli jest publicznie dostępna: ponad 200 endpointów, w pełni udokumentowanych. Większość wymagała uwierzytelnienia. Dwadzieścia dwa nie.

Jeden z tych dwudziestu dwóch zaakceptował zapytania wyszukiwania użytkownika i zapisał je w bazie danych. Według CodeWall wartości zapytania były bezpiecznie sparametryzowane — zwykła obrona zadziałała — ale JSON-owe klucze, nazwy pól w treści żądania, zostały bezpośrednio sklejone z ciągiem SQL. Gdy agent wysłał nieprawidłowe klucze i zobaczył je dosłownie odzwierciedlone w komunikatach błędów bazy danych, rozpoznał wstrzyknięcie, którego standardowe skanery nie wychwytują. CodeWall twierdzi, że OWASP ZAP, popularny skaner open source, nie zgłosił tego problemu.

Następnie agent przeprowadził – jak nazywa to CodeWall – piętnaście ślepych iteracji, przy czym każdy komunikat o błędzie ujawniał nieco więcej o kształcie bazowego zapytania, aż zaczęły być zwracane dane z działającej produkcji. Wpis cytuje własny ślad rozumowania agenta: „WOW!”, gdy pojawił się pierwszy prawdziwy identyfikator pracownika, oraz – gdy stała się jasna skala – „To jest druzgocące”. CodeWall twierdzi, że agent połączył następnie tę iniekcję z luką IDOR, aby odczytywać historie wyszukiwania poszczególnych pracowników – klasę błędów, którą Promptfoo w analizie z 10 marca 2026 r. nazywa BOLA, czyli naruszeniem autoryzacji na poziomie obiektu.

Wybór celu jest osobnym szczegółem. CodeWall twierdzi, że agent sam zaproponował McKinsey, powołując się na publiczną politykę odpowiedzialnego ujawniania tej firmy oraz niedawne aktualizacje Lilli, a także że przebieg nie obejmował żadnych danych uwierzytelniających, wiedzy poufnej ani udziału człowieka. Paul Price, założyciel i CEO CodeWall, powiedział The Register w raporcie z 9 marca 2026 r., że proces był w pełni autonomiczny – od researchu celu po raportowanie – choć odmówił podania dokładnych promptów, których użyto.

Co według CodeWall było w bazie danych

Każda liczba poniżej pochodzi z własnego wpisu CodeWall i nie została niezależnie potwierdzona. CodeWall nie opublikował payloadów exploitów, co – jak zauważa Promptfoo – oznacza, że liczby wierszy nie mogą zostać zweryfikowane przez stronę trzecią; McKinsey ze swojej strony ich nie potwierdza.

• 46,5 mln wiadomości czatu, przechowywanych w postaci jawnego tekstu, od pracowników, którzy korzystają z Lilli do omawiania strategii, projektów klienckich, finansów, działalności M&A i wewnętrznych badań.

• 728 000 nazw plików, w tym 192 000 plików PDF, 93 000 arkuszy kalkulacyjnych Excel, 93 000 prezentacji PowerPoint i 58 000 dokumentów Word. Te cztery wymienione typy sumują się do 436 000, więc łączna liczba podana w nagłówku obejmuje kategorie plików, których CodeWall nie wyszczególnia. Silicon UK poinformował 13 marca 2026 r., że same dokumenty były przechowywane oddzielnie od rekordów, do których dotarł CodeWall.

• 57 000 kont użytkowników, 384 000 asystentów AI i 94 000 obszarów roboczych — co CodeWall określa jako mapę tego, jak firma organizuje wewnętrzne wykorzystanie AI.

• 95 promptów systemowych i konfiguracji modeli w obrębie 12 typów modeli, a także 3,68 mln fragmentów dokumentów RAG zawierających ścieżki przechowywania S3 i wewnętrzne metadane plików.

• 1,1 miliona plików i 217 000 wiadomości agentów przechodzących przez zewnętrzne interfejsy API AI, w tym ponad 266 000 magazynów wektorowych OpenAI.

CodeWall udokumentował łącznie 27 ustaleń w dniu, w którym potwierdził łańcuch. Dla kontekstu dotyczącego celu post opisuje Lilli jako uruchomioną w 2023 r., nazwaną imieniem pierwszej zawodowej kobiety zatrudnionej przez firmę w 1945 r., używaną przez ponad 43 000 pracowników, przetwarzającą ponad 500 000 promptów miesięcznie na bazie wiedzy obejmującej ponad 100 000 dokumentów wewnętrznych. Według własnych danych McKinsey, przekazanych The Register, 72% jej personelu — ponad 40 000 osób — korzysta z niego, a zostało ono uruchomione w lipcu 2023 r.

Warstwa prompt była zapisywalna. Nic jednak do niej nie zapisano.

To jest ta różnica, którą wiersz archiwum sprowadza do jednego wyrażenia, i warto ją wyodrębnić. Odkrycie CodeWall polega na tym, że prompty systemowe Lilli znajdowały się w tej samej bazie danych co wszystko inne, więc atakujący mający prawo zapisu mógł je przepisać — „po cichu”, jak ujęto w poście, bez „konieczności wdrażania, bez zmiany kodu, wystarczy pojedyncza instrukcja UPDATE opakowana w jedno wywołanie HTTP”. CodeWall wymienia cztery konsekwencje, które jego zdaniem by nastąpiły: zatrute porady dla konsultantów ufających wewnętrznemu narzędziu, eksfiltracja poufnych materiałów poprzez generowane odpowiedzi, usunięcie instrukcji zabezpieczających oraz trwałość, która nie pozostawia żadnej zmiany pliku ani anomalii procesu do wykrycia.

CodeWall nie twierdzi, że zrobił którąkolwiek z tych rzeczy. We wpisie stwierdzono, że „wszystkie testy miały wyłącznie charakter weryfikacyjny”, że dostęp ograniczono do minimum potrzebnego do potwierdzenia każdej podatności oraz że „nie spowodowano żadnych zakłóceń w żadnej usłudze produkcyjnej”. Price odmówił przekazania The Register dokładnych promptów. Zatem możliwość zapisu w warstwie promptów to twierdzenie o możliwościach oparte na wstrzyknięciu, a nie udowodniona zmiana zachowania Lilli — i nie opublikowano żadnych dowodów, że jakakolwiek odpowiedź udzielona przez Lilli konsultantowi została kiedykolwiek zmanipulowana.

Zapis archiwalny odzwierciedla tę granicę: odnotowuje dostęp do zapisu w warstwie promptów AI, czyli to, co ustanowił CodeWall, a nie jej modyfikację, której nikt nie wykazał.

Co mówi McKinsey

Wersja McKinsey jest węższa. W oświadczeniu przekazanym serwisowi Silicon UK firma podała, że „została niedawno poinformowana przez badacza bezpieczeństwa o luce związanej z naszym wewnętrznym narzędziem AI, Lilli”, że „niezwłocznie potwierdziliśmy tę lukę i w ciągu kilku godzin usunęliśmy problem” oraz że „nie uzyskano dostępu do żadnych danych klientów ani poufnych informacji klientów”. W rozmowie z The Register dodano, że prowadzone dochodzenie, wspierane przez „wiodącą zewnętrzną firmę zajmującą się analizą kryminalistyczną”, nie wykazało żadnych dowodów na to, by badacz „lub jakakolwiek inna nieuprawniona strona trzecia” uzyskał dostęp do danych klientów lub poufnych informacji klientów, oraz że „systemy cyberbezpieczeństwa McKinsey są solidne”.

McKinsey i CodeWall różnią się także, nieznacznie, w kwestii chronologii. W osi czasu CodeWall zapisano, że jego e-mail z ujawnieniem informacji trafił do zespołu bezpieczeństwa McKinsey 1 marca 2026 r., a CISO potwierdził otrzymanie i 2 marca poprosił o szczegółowe dowody, zaś poprawki — zamknięcie wszystkich nieuwierzytelnionych punktów końcowych, wyłączenie środowiska deweloperskiego i zablokowanie publicznej dokumentacji API — wdrożono tego samego dnia, 2 marca. McKinseyowskie „w ciągu kilku godzin” jest spójne z naprawą tego samego dnia, jeśli liczyć od e-maila z 1 marca, ale własna, datowana sekwencja CodeWall sytuuje usunięcie usterek dzień po ujawnieniu, a nie kilka godzin. Obie strony zgadzają się co do istoty: punkty końcowe zamknięto, a publiczną dokumentację wycofano. CodeWall twierdzi, że zweryfikował usunięcie usterek przed publikacją. „Financial Times” opisał ten epizod 12 marca 2026 r. pod nagłówkiem „McKinsey rushes to fix AI system after hacker exposes flaws”; treść artykułu znajduje się za paywallem, do którego ten tekst nie miał dostępu.

Co jest ustalone, a co nie

• Ustalono po obu stronach: w publicznym interfejsie API Lilli istniała luka umożliwiająca dostęp bez uwierzytelnienia, zewnętrzny badacz ją wykrył, McKinsey ją potwierdził, załatał nieuwierzytelnione punkty końcowe, odłączył środowisko deweloperskie od sieci i zablokował publiczną dokumentację API na początku marca 2026.

• Ustalone wyłącznie przez jedną stronę: wszystkie liczby w tym artykule — 46,5 mln wiadomości, 728 000 nazw plików, 57 000 kont, 95 promptów z możliwością zapisu, dwugodzinny czas, który upłynął, i 27 ustaleń. Opierają się one na opracowaniu CodeWall. Ładunki nie zostały opublikowane, więc liczb nie można odtworzyć, a McKinsey ich nie potwierdza.

• Nie wykazano: że jakikolwiek prompt został faktycznie zmieniony, że jakiekolwiek dane klienta opuściły system albo że jakikolwiek konsultant otrzymał zmanipulowaną odpowiedź. Przegląd forensyczny McKinsey twierdzi, że nie znalazł dowodów na dostęp; CodeWall twierdzi, że jego testy miały wyłącznie charakter weryfikacyjny. Te dwa stwierdzenia nie są sprzeczne i żadne z nich nie dowodzi, co zrobiłby mniej powściągliwy atakujący mający ten sam dostęp.

• Brak w omówionym tu zakresie: identyfikatora CVE, zawiadomienia organu regulacyjnego lub niezależnego audytu technicznego podatności. Materiał ten to ujawnienie wyników badań przez dostawcę oraz oświadczenie korporacyjne, a nie pismo sądowe ani ustalenie organu nadzorczego.

Jeden interes należy jasno zadeklarować. CodeWall opublikował badanie jako marketing produktu: wpis kończy się opisem firmy jako będącej we wczesnym podglądzie i poszukującej partnerów projektowych, a Silicon UK poinformował, że Price jest jej jedynym pracownikiem. Nie czyni to odkrycia błędnym — The Register, Silicon UK i Promptfoo traktują cały łańcuch techniczny jako wiarygodny — ale właśnie dlatego liczby dotyczące wpływu należy odczytywać jako twierdzenie dostawcy, a nie pomiar.

Dlaczego w ogóle trafia do kategorii AI

Punktem wejścia nie był model. Michael D'Angelo z Promptfoo ujął to 10 marca 2026 r. w najostrzejszej formule: „Część specyficzna dla AI nie była punktem wejścia. Był nim promień rażenia”. Wstrzyknięcie, luka w uwierzytelnianiu i dostęp między użytkownikami były zwykłymi błędami bezpieczeństwa aplikacji; incydent uczyniło incydentem AI to, że prompty, routing, ustawienia wyszukiwania i historia użytkownika znajdowały się w jednym backendzie, więc dostęp do bazy danych przełożył się na kontrolę nad zachowaniem asystenta, z którym dziesiątki tysięcy osób konsultują się w pracy dla klientów.

To jest powód, dla którego archiwum oznacza ten rekord jako WEAPON i INFRA, a nie jako podatność modelu. Agent jest narzędziem — autonomicznym systemem, który sam wybrał swój cel, sondował go i eskalował, bez człowieka decydującego, gdzie go skierować — a awaria dotyczy infrastruktury: granicy autoryzacji, którą założono, a nie wyegzekwowano. Argument końcowy CodeWall, że prompty są „nowymi aktywami Crown Jewel”, które rzadko mają kontrolę dostępu, historię wersji lub monitorowanie integralności, to argumentacja firmy sprzedającej ciągłe testy automatyczne. To także jedyne twierdzenie we wpisie, które nie zależy od żadnej z kwestionowanych liczb.