Dark Sourcery: Zatrute strony internetowe, 374 marki i odpowiedzi, których nikt nie sprawdził

23 września 2026 r. firma zajmująca się bezpieczeństwem Vigilance Security opublikowała badanie opisujące aktywną kampanię, którą nazywa Dark Sourcery: atakujący zalewają otwarty internet zoptymalizowanymi postami, plikami PDF, recenzjami i fałszywymi stronami pomocy technicznej, tak aby ChatGPT, Google Gemini i Google AI Overviews zwracały oszukańcze numery telefonów, adresy e-mail i strony logowania jako oficjalne dane kontaktowe firmy. Dark Reading poinformował o badaniu tego samego dnia, wymieniając Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb i TripAdvisor wśród co najmniej 374 firm uwikłanych w tę sprawę, za którymi stoi dziesiątki tysięcy złośliwych stron. Nie włamano się do żadnego modelu — zatrute strony były po prostu tym, co czytały modele, a oszustwo przybyło, niosąc wiarygodność samego asystenta. Ten rekord jest jednym z wpisów w OrcaRouter AI Incident Archive, gdzie śledzi się incydenty AI i wyniki badań przy użyciu tych samych pól, co tutaj: dotkliwości, pewności, statusu spornego i rzeczywistych szkód.

Co tak naprawdę opublikował Vigilance Security

Badanie to post na Medium autorstwa Ariela Simona, wiceprezesa ds. badań w Vigilance, zatytułowany „Dark Sourcery: How Hackers Manipulate AI to Scam You”, opublikowany 23 września 2026 r. Relacja Dark Reading autorstwa współpracującej autorki Elizabeth Montalbano, oznaczona tego dnia znacznikiem czasu 14:47 UTC, zawiera bezpośredni link do niego i przez cały tekst cytuje Simona. Post opisuje operację treściową, a nie exploit: nie jest wykorzystywana żadna luka, atakujący nie kradnie bezpośrednio żadnych danych uwierzytelniających i nic nie jest wysyłane do modelu, czego model mógłby się nauczyć odmawiać.

Vigilance twierdzi, że zidentyfikował „dziesiątki tysięcy złośliwych stron” zawierających fałszywe numery wsparcia, adresy e-mail, strony logowania, informacje o aktualizacjach oprogramowania i inne oszukańcze dane, stworzonych, by kształtować to, co mówią chatboty. Liczbę uwikłanych firm określa na „co najmniej 374”, które – jak opisano – obejmują organizacje z Fortune 100, główne linie lotnicze, banki, firmy turystyczne i dostawców oprogramowania. Wymienione marki w raporcie Dark Reading to Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb i TripAdvisor.

Ani wpis badawczy, ani późniejsze doniesienia nie podają zestawienia według marek — który fałszywy numer należał do której firmy, ile zatrutych stron było wymierzonych w każdą z nich ani kiedy pojawiła się jakakolwiek pojedyncza strona. Liczba 374 jest przedstawiona jako suma i w taki sam sposób ujmuje ją zapis.

Simon cytuje również badanie Exploding Topics opublikowane w sierpniu 2026 r., które wykazało, że 91% osób korzystających z chatbotów AI nie weryfikuje udzielanych odpowiedzi. Liczba ta jest raczej założeniem kampanii niż jej pomiarem: jest cytowana w badaniu i powtarzana przez Dark Reading oraz IANS, a jej własnej metodologii nie opisano w żadnym z omawianych tu materiałów. W ujęciu Simona: „jeśli atakujący kontrolują AI, a my ślepo jej ufamy, to zasadniczo kontrolują nas”.

Jak zbudowane jest zatrucie

Mechanizm składa się z trzech części i tylko pierwsza z nich przypada atakującemu w jakimkolwiek konwencjonalnym sensie. Po pierwsze, zapełnij sieć stronami podającymi fałszywy szczegół kontaktowy. Po drugie, spraw, aby te strony wyglądały, jakby pochodziły z miejsca, któremu system wyszukiwania powinien ufać. Po trzecie, pozwól asystentowi zająć się cytowaniem.

Największy nacisk Vigilance kładzie na drugi krok. „Podejrzewamy, że domeny o wysokim autorytecie (uczelnie, instytucje rządowe) w połączeniu ze źródłami opinii publicznej (media społecznościowe, fora, recenzje użytkowników) osiągnęły duży sukces w zatruwaniu odpowiedzi AI” — powiedział Simon „Dark Reading”. „W zależności od modelu AI patrzy na źródło i bardziej ufa treści, jeśli pochodzi ona od autorytatywnego podmiotu”. To opis pożyczonej reputacji: przejęta lub nadużyta strona uniwersytecka dostarcza autorytetu, a rozproszone posty na forach i recenzje stwarzają pozór, że twierdzenie jest potwierdzane gdzie indziej.

Ground Truth, serwis sprawdzający twierdzenia AI względem ich źródeł, podsumował taktyki zasiewania wymienione w poście Simona: ten sam lub podobny fałszywy kontakt rozproszony po postach tworzonych przez użytkowników, plikach PDF, hostowanych stronach, recenzjach, platformach do zbiórek i ofert pracy oraz treściach w stylu pytań i odpowiedzi; szczegóły dostrojone pod kątem wyszukiwania dzięki powtarzanemu formatowaniu i frazom takim jak „24/7” i „updated 2026”; oraz ten sam numer telefonu zapisany ze spacjami, kropkami, emoji, znakami Unicode łudząco podobnymi do innych lub słownie. Ta ostatnia technika pełni podwójną funkcję — obchodzi wykrywanie zduplikowanych ciągów, podczas gdy model nadal odczytuje jeden numer. Ground Truth precyzyjnie opisuje cel: nie jedna viralowa strona, lecz „pozór niezależnego potwierdzenia”.

Omówienie badania przez GIGAZINE podaje jeden konkretny przykład: sfabrykowany wpis i grafikę dotyczące pomocy technicznej dla drukarek HP, zawierające numer telefonu, który nie należał do HP. Jest to przykład tego schematu, a nie zweryfikowany przypadek, a redakcja przypisuje go badaniom Vigilance, a nie własnemu śledztwu.

To nie jest prompt injection — ale zostało tak zgłoszone.

To rozróżnienie ma znaczenie, a Simon wyraźnie je podkreśla. Dark Reading cytuje go, gdy mówi, że kampania różni się od prompt injection „tym, że nie polega na tym, że atakujący przekazuje AI wyraźne instrukcje lub prompty, które mogłyby zostać udaremnione przez zabezpieczenia AI”. Jego ostrzejsze sformułowanie brzmi: „Tutaj dezinformacja przedstawiana jako fakty powoduje, że AI odpowiada użytkownikowi fałszywymi informacjami, nigdy nie wykonując żadnej instrukcji/promptu atakującego, zasadniczo omijając wszystkie zabezpieczenia”.

Różni się to również od zatruwania danych treningowych, które psuje to, czego model nauczył się przed wdrożeniem. Wszystko tutaj dzieje się w momencie wyszukiwania, na bieżącym internecie, po wydaniu modelu — dlatego żadne ponowne trenowanie tego nie naprawia i dlatego zatrutą stronę można usunąć, niekoniecznie zmieniając odpowiedź.

Archiwum klasyfikuje ten rekord pod IPI, swoją etykietą indirect-prompt-injection. Czytaj uważnie: etykieta i badanie opisują rzeczy pokrewne, ale nie to samo: IPI obejmuje treści, które docierają do modelu pośrednio, wewnątrz materiału, który model ma przetworzyć, a nie są wpisywane przez jego użytkownika. Dark Sourcery to ten kanał z usuniętą instrukcją — ładunek jest faktem, nie poleceniem. Etykieta to decyzja o zaklasyfikowaniu dotycząca kanału; relacja Simona to twierdzenie o ładunku, i te dwie rzeczy nie są sprzeczne. Etykiety nie należy jednak odczytywać jako twierdzenia, że dostarczono prompt atakującego, ponieważ według samego badania żaden nie został dostarczony.

Co ustala dokumentacja, a czego nie ustala

Archiwum ocenia ten zapis na B — udokumentowany, ale na podstawie pojedynczego lub wtórnego źródła — i ta ocena jest najbardziej użyteczną rzeczą w nim. Nic w przejrzanym tutaj materiale nie przeczy badaniom. Problemem nie jest sprzeczność; problem polega na tym, że łańcuch dowodowy opiera się na zaledwie jednym dokumencie.

Ustalono: Vigilance Security opublikowała badanie 23 września 2026 r. pod nazwiskiem Simona i zawiera ono opisane powyżej twierdzenia — 374 firm, dziesiątki tysięcy stron, wymienione marki, mechanizm, taktykę zapożyczonego autorytetu.

• Ustalono: badanie zostało opisane tego samego dnia przez {{1}}Dark Reading{{/1}}, a w ciągu pięciu dni przez {{2}}IANS{{/2}} (24 września), {{3}}GIGAZINE{{/3}} i {{4}}Ground Truth{{/4}} (25 września), {{5}}NEWSru.co.il{{/5}}, powołujący się na izraelski portal {{6}}Israel Defense{{/6}} (27 września), oraz strony badawcze dostawców: {{7}}Aviatrix{{/7}} (23 września) i {{8}}Kronus Intelligence Group{{/8}} (28 września).

• Nie zostało to potwierdzone przez: niezależną weryfikację. Każda z tych publikacji wywodzi się z wpisu Simona lub z relacji Dark Reading na jego temat, więc rozpowszechniają one te twierdzenia, zamiast je weryfikować. Drugi URL cytowany przez samo archiwum, bestsec.net, to codziennie aktualizowany przegląd wiadomości o cyberbezpieczeństwie; 26 października 2026 r. na jego stronie głównej nie było żadnej pozycji o Dark Sourcery, więc trwałym źródłem cytowania pozostaje artykuł Dark Reading.

• Nie ustalono: skala. Ground Truth stwierdza wprost, że „twierdzenia ujawnienia o 374 dotkniętych firmach i dziesiątkach tysięcy stron nie zostały niezależnie zweryfikowane” oraz że nie opublikowano żadnego publicznego zbioru danych, korpusu złośliwych stron ani odtwarzalnego dziennika zapytań. Analiza Kronus Intelligence Group z 28 września dochodzi do tego samego wniosku i proponuje użyteczne określenie: opisać mechanizm jako ustalony, a skalę jako „zgłoszoną, ale niezweryfikowaną”.

• Nie ustalono: odtwarzalność — jak przyznają sami badacze. Ground Truth podaje, że Simon opisał wyniki jako statystyczne i powiedział, że nie powtarzały się przy każdym wykonaniu zapytania. Jest to zwyczajna właściwość systemów z rozszerzonym wyszukiwaniem — rankingi, wersje modeli, lokalizacja, czas i sposób sformułowania ulegają zmianie — i jest to również powód, dla którego tego ustalenia nie można było wykazać na żądanie.

• Nie ustalono: skali szkód. Archiwum odnotowuje rzeczywiste szkody jako występujące, a podstawa tego jest wąska. Simon powiedział Dark Reading, że Vigilance zaobserwował „kilka przypadków”, w których ludzie skarżyli się, że zostali oszukani i przekazali dane do płatności lub dane karty płatniczej z powodu fałszywych numerów podanych w odpowiedziach chatbota. Badacze sami zadzwonili też pod niektóre z fałszywych numerów i dodzwonili się do przedstawiciela, który zaproponował „zmianę naszego lotu” lub „odblokowanie naszego konta bankowego”, a następnie poprosił o dane karty. Nie podano nazwiska żadnej ofiary, nie określono ilościowo żadnych strat i nie powołano się na żadną skargę ani działanie organów egzekwowania prawa.

• Bezsporne: archiwum odnotowuje ten wpis jako niekwestionowany i to się broni — otwarte pytania w relacji to braki w ujawnieniu, a nie spory z nim.

Co powiedziały te dwie platformy

Jak podaje NEWSru.co.il, powołując się na Israel Defense, badacze zgłosili to zachowanie obu dostawcom. Według doniesień stanowisko Google było takie, że tego rodzaju dezinformacja wykracza poza zakres jego programu ujawniania podatności. OpenAI miało zamknąć zgłoszenie na tej podstawie, że wyników nie można było wiarygodnie odtworzyć ze względu na zmienność odpowiedzi modeli językowych. Oba podsumowania są parafrazami: artykuł nie wymienia rzecznika żadnej z firm, nie podaje bezpośredniego cytatu ani nie datuje odpowiedzi.

Żadna z odpowiedzi nie zaprzecza, że zatrute odpowiedzi istnieją. Odczytane jako decyzje triage, a nie riposty, obie są co najmniej wewnętrznie spójne — bug bounty służy nagradzaniu odtwarzalnego błędu w kodzie, a to nie jest ani odtwarzalne na żądanie, ani błędem w kodzie. Zatruta strona znajduje się na czyjejś innej witrynie. To, co wymiana pokazuje, to luka: szkoda jest wystarczająco realna, by generować ofiary, a zachowanie wystarczająco zmienne, by nie przejść testu reprodukcji, więc trafia w przestrzeń między „podatnością bezpieczeństwa” a „problemem z treścią”, gdzie żaden kanał ujawniania na nie nie czeka.

Ani OpenAI, ani Google nie potwierdziły publicznie ani nie zaprzeczyły liczbie 374 firm według stanu na dzień analizy Kronusa z 28 września, a w żadnym z przejrzanych tu materiałów nie pojawia się oświadczenie którejkolwiek z tych firm.

Co się potem zmieniło?

W odpowiedzi nie ogłoszono żadnej zmiany platformy. W momencie publikacji 23 września kampanię opisano jako trwającą, a sama ocena Simona jest taka, że rozliczenie nie zostało dokończone: „Uważamy, że rzeczywisty wpływ tych oszustw następuje teraz i nadal nie jesteśmy w stanie w pełni pojąć ani zmierzyć pełnego wpływu”.

Tym, co istnieje zamiast tego, są porady. Rekomendacje Simona, opisane przez Dark Reading, idą w trzech kierunkach. Dla użytkowników: weryfikuj to, co mówi asystent, zamiast traktować jego słowa jako nieomylne. Dla marek: poważnie traktuj skargi klientów dotyczące oszustw, monitoruj odpowiedzi AI, które klienci faktycznie otrzymują, oraz źródła, na które te odpowiedzi się powołują, a także priorytetowo traktuj kategorie, w których błędny numer dużo kosztuje — obsługa klienta, odzyskiwanie kont, zwroty, płatności i pobieranie oprogramowania. Dla organizacji uruchamiających agentów: monitoruj w czasie działania, weryfikuj każde źródło i każdą treść, która trafia do kontekstu modelu, i sprawdzaj kluczowe szczegóły — numery telefonów, linki, pakiety oprogramowania, wiersze poleceń — zanim podejmiesz na ich podstawie działania. Proponowany przez niego etap porównania jest celowo ręczny: „Porównaj zwrócone numery telefonów, adresy e-mail i adresy URL ze zweryfikowanymi danymi firmy, a następnie zbadaj nieznane szczegóły i powtarzające się wskaźniki na niepowiązanych witrynach”.

IANS poddało tę samą poradę przeglądowi przez swój zespół ekspertów, przy czym Josh More umieścił kampanię w szerszym ciągu — „Widzimy to w wyszukiwarkach od lat” — a George Gerchow ujął mechanizm w zdaniu wartym zapamiętania: „Nikt nie włamał się do modelu. Zasiali źródła, którym ufa, i pozwolili mu mówić. Chatbota nie zhakowano; został nakarmiony”. Rekomendacje ekspertów IANS dodają monitorowanie marki i ograniczenia autonomii agentów do porad dotyczących weryfikacji, a żadna z nich nie stanowi rozwiązania.

Dlaczego ten rekord warto zachować

Zatruwanie wyników wyszukiwania jest stare. To, co opisuje ten zapis, to moment, w którym wynik wyszukiwania przestał być tym, co widzi użytkownik. W konwencjonalnej wersji ofiara trafia na stronę, a strona jest dowodem — z błędami ortograficznymi, dziwnie hostowana, wyraźnie niebędąca bankiem. Tutaj strona nigdy nie jest renderowana. Model ją czyta, zgadza się z nią i pisze zdanie, które zaczyna się nazwą marki, a kończy numerem atakującego. Przypis może tam być, ale ocena, którą przypis zwykle potwierdza, została już dokonana przez coś, co się nie męczy ani nie nabiera podejrzliwości.

Dlatego właśnie stopień pewności tego zapisu odgrywa rzeczywistą rolę, a nie pełni jedynie funkcji porządkowej. Sam mechanizm nie budzi poważnych wątpliwości — w ten sposób buduje się systemy z rozszerzonym wyszukiwaniem, a analitycy branżowi, którzy o nim pisali, uznali go za wiarygodny na pierwszy rzut oka. Skala budzi wątpliwości i będzie je budzić, dopóki ktoś nie udostępni korpusu lub dziennika zapytań. Pomiar przeprowadzony przez jedną firmę, rozpowszechniony przez media, które wszystkie powołują się na ten sam wpis, jest powodem, by odnotować incydent, i powodem, by nie powtarzać tej liczby tak, jakby została policzona dwa razy.

Archiwum samo klasyfikuje to jako wysoką wagę, z potwierdzonym udziałem AI, odnotowaną rzeczywistą szkodą i bez odnotowanego sporu. To, co wpis naprawdę dokumentuje, to transfer zaufania: reputacja marki jest surowcem, płynność językowa asystenta — mechanizmem dostarczania, a etap weryfikacji, który by to wychwycił, jest tym, który według doniesień pomija 91% użytkowników.