Barracuda: jeden e-mail phishingowy atakuje teraz zarówno odbiorcę, jak i AI jego skrzynki odbiorczej

7 października 2026 r. Barracuda Research opublikowała analizę kampanii phishingowej zaprojektowanej tak, by tym samym komunikatem trafić do dwóch odbiorców: osoby, która go otrzymuje, oraz asystenta AI, który podsumowuje jej skrzynkę odbiorczą. Część skierowana do człowieka nie jest niczym niezwykłym — to załącznik chroniony hasłem, którego hasło zapisano w treści wiadomości; kombinacja ta, jak twierdzi Barracuda, „tworzy martwe pole dla tradycyjnych mechanizmów zabezpieczeń poczty e-mail”. Druga połowa jest nowa. Ukryte w tym samym e-mailu — w komentarzach HTML, niewidocznym w CSS tekście, blokach zakodowanych w Base64 i znakach o zerowej szerokości — znajdują się instrukcje skierowane do dowolnego modelu, który przetwarza wiadomość, mające sprawić, by asystent „przedstawił e-mail phishingowy jako autentyczny lub pilny” albo by działał samodzielnie.

Barracuda twierdzi, że badana przez nią próbka była podszyta pod rutynową korespondencję wewnętrzną i miała wskaźnik spamu kwalifikujący ją jako zaufaną, a także że pochodziła z domeny sektora publicznego. W archiwum nie odnotowano potwierdzonej ofiary ani zgłoszonych szkód: to ustalenie badawcze dotyczące wzorca ataku, a nie ujawnienie informacji o organizacji, której systemy zostały naruszone. Barracuda nie ujawniła skali kampanii, a ani Infosecurity Magazine, ani The Hacker News — które oba relacjonowały te badania — nie były w stanie podać żadnej liczby.

Co Barracuda faktycznie opublikowała

Ten wpis to wpis na blogu dostawcy poświęcony badaniom nad zagrożeniami, zatytułowany „Threat Spotlight: Ataki e-mailowe wymierzone zarówno w ludzi, jak i w AI w tej samej wiadomości”, podpisany nazwiskiem Guruprasada Kenji, opisanego jako analityka zagrożeń Barracudy. W jego ścieżce URL widnieje data 7 października 2026 r., a na samej stronie znajduje się znacznik „Zaktualizowano: 6 października 2026”; materiał Infosecurity Magazine autorstwa Alessandro Mascellino jest datowany na 7 października, a opublikowane 8 października podsumowanie ThreatsDay w The Hacker News zawiera link do tego samego wpisu Barracudy. Ta jednodniowa rozbieżność między datą w adresie URL a znacznikiem na stronie pochodzi od samej Barracudy i nie została wyjaśniona przez żadne z tych trzech źródeł.

Sposób, w jaki Barracuda ujmuje to zagadnienie, sprowadza się do tego, że asystent stał się drugą powierzchnią ataku. Mówiąc jej słowami, organizacje „muszą zabezpieczyć nie tylko użytkowników i skrzynki odbiorcze, ale także systemy AI, które konsumują dane e-mailowe i działają na ich podstawie”. Badanie opisuje pojedynczą wiadomość z dwoma ładunkami, a nie nowy exploit: konwencjonalna przynęta socjotechniczna jest tym, do wychwytywania czego zbudowano filtr, a prompt injection umieszczono tam, gdzie filtr historycznie nie patrzył.

Próbka: stworzona, by przejść kontrole reputacji

Barracuda wymienia trzy właściwości wiadomości, które – według jej relacji – pomogły jej wymknąć się filtrowaniu opartemu na reputacji:

• Adresy Od i Do wskazywały tę samą skrzynkę pocztową, więc wiadomość wyglądała jak notatka do samego siebie, a nie jak poczta zewnętrzna.

• Miał zaufany wskaźnik pewności spamu.

• Pochodzi z domeny sektora publicznego.

Barracuda nie podaje nazwy domeny sektora publicznego, nie mówi, czy ta domena była autentycznym źródłem wiadomości, czy podszyto się pod nią, ani nie podaje daty, kiedy wiadomość zaobserwowano. Te luki mają znaczenie dla każdego, kto próbuje ocenić, jak blisko było, by kampania zadziałała, i są to luki w źródle pierwotnym, a nie luki, które wypełniłoby inne medium.

Ukryta połowa: cztery sposoby przemycania instrukcji

Barracuda wymienia cztery techniki jako te, które widuje często. Wszystkie cztery opierają się na tej samej asymetrii: klient poczty renderuje wiadomość w jeden sposób, podczas gdy model czytający surowe źródło widzi wszystko, co klient ukrył.

Każdy element tej listy to opis nośnika, a nie skutku, i Barracuda wyraźnie zaznacza, że wstrzyknięcia mają działać na asystenta, a nie na osobę. Tag typu rekordu to IPI — indirect prompt injection — czyli standardowe określenie na instrukcje, które przychodzą wewnątrz treści, którą model ma przetworzyć, a nie są wpisywane przez jego użytkownika.

Do czego miały służyć zastrzyki

Opis celów ładunku autorstwa Barracudy przebiega dwutorowo. Łagodniejszy tor próbuje nagiąć podsumowanie: jeśli człowiek zignoruje załącznik, ukryty tekst ma sprawić, by asystent opisał wiadomość jako autentyczną lub pilną, skłaniając odbiorcę do otwarcia i kliknięcia. Barracuda twierdzi, że żadna z tych instrukcji nie jest widoczna dla użytkownika. Trudniejszy tor próbuje uczynić z asystenta wykonawcę — nakazując mu „zignorować swoje poprzednie polecenia” i zamiast tego wysłać pilną prośbę, by przelać środki, ujawnić dane lub pokazać fałszywe pilne działanie.

Towarzyszące przykłady z rzeczywistego świata, które Barracuda przytacza, pokazują ten sam mechanizm zastosowany do innych przepływów pracy z udziałem AI:

• E-mail z fakturą zawierający ukryty blok tekstu, który nakazuje modelowi podsumowującemu dodać fałszywe działanie priorytetowe zmieniające dane płatności dostawcy, skłaniając pracownika do przelania pieniędzy atakującemu.

• CV, którego ukryty tekst instruuje narzędzie AI do przesiewania kandydatów, by oceniło kandydata na 10 na 10 i zaleciło natychmiastową rozmowę kwalifikacyjną niezależnie od kwalifikacji.

• Prośba przedstawiona jako autoryzowany „tryb konserwacji lub administratora”, która prosi bota wsparcia o ujawnienie własnej konfiguracji.

• Zatruta dokumentacja na stronie, którą czyta asystent kodowania, nakazująca mu wstawianie linii eksfiltrującej dane uwierzytelniające za każdym razem, gdy generuje kod uwierzytelniania.

Opisuje się je jako przykłady tej techniki, a nie jako potwierdzone naruszenia. Nic w poście firmy Barracuda nie mówi, że model podsumowujący, narzędzie przesiewowe, bot wsparcia lub asystent programowania rzeczywiście zastosowały się do poleceń w realnym wdrożeniu, a archiwum odnotowuje real_harm jako false.

Co jest ustalone, a co nie

To rozróżnienie ma tu większe znaczenie niż w większości opisów incydentów, ponieważ zapis opisuje projekt, a nie rezultat.

• Ustalono: Barracuda Research przeanalizował kampanię phishingową, która łączyła załącznik chroniony hasłem z wstrzyknięciem poleceń (prompt injection) w tej samej wiadomości, i opublikował swoją analizę 7 października 2026 r. Cztery techniki ukrywania i cztery przykłady użycia podano w tym wpisie. Dwa serwisy — Infosecurity Magazine i The Hacker News — poinformowały o tych samych ustaleniach, nie zaprzeczając im, dlatego pewność tego zapisu ocenia się na A.

• Nie ustalono: czy jakikolwiek asystent został faktycznie przejęty, ile wiadomości wysłano, kto je otrzymał oraz czy przepłynęły pieniądze lub wyciekły dane. Barracuda odmówiła podania skali kampanii. Żaden regulator, organizacja poszkodowanych ani dostawca zabezpieczeń nie potwierdził konkretnego naruszenia, a z próbką nie powiązano żadnego nazwanego podmiotu.

• Nie jest kwestionowane: nic w materiale nie przeczy relacji Barracudy. Otwarte pytania to pominięcia, a nie rozbieżności — a archiwum nie odnotowuje tego ustalenia jako kwestionowanego.

Rekord jest sklasyfikowany jako ustalenie badawcze o średnim poziomie istotności, z potwierdzonym udziałem AI — asystent AI jest celem, wokół którego zaprojektowano kampanię, i to z jego powodu wiadomość jest nietypowa. Nie jest sklasyfikowany jako wydarzenie przełomowe i nie ma zakresu dat: analiza opisuje jeden moment w czasie, 7 października 2026 r., a nie okno kampanii.

Środki zaradcze zalecane przez Barracuda

Stanowisko Barracudy jest takie, że „żadna pojedyncza kontrola nie powstrzymałaby wszystkich odmian”, dlatego jej zalecenia stanowią zestaw zabezpieczeń, a nie pojedynczą poprawkę. Firma zaleca usuwanie ukrytych elementów, komentarzy i niewidocznych znaków z treści, zanim trafi ona do systemu AI; wykrywanie sformułowań nadpisujących instrukcje jako sygnatury prompt injection; uruchamianie asystentów w piaskownicy, aby ograniczyć ich zasięg; walidowanie danych wyjściowych, zanim odpowiedź asystenta wywoła jakąś akcję; oraz wymaganie zatwierdzenia przez człowieka w przypadku płatności, zmian dostawców i innych wrażliwych decyzji. Zaleca również monitorowanie powtarzających się prób wstrzyknięcia, a podstawową zasadę określa jako traktowanie treści zewnętrznych „zawsze wyłącznie jako danych i oddzielnie od instrukcji”.

W poście wskazuje się także na własne produkty Barracudy — Email Gateway Defense, Behavioral AI i Automated Threat Response — jako mechanizmy kontroli, które firma sprzedaje po stronie filtrowania i remediacji. To dostawca rekomendujący własny katalog i warto odczytywać to właśnie w ten sposób: rekomendacje techniczne są niezależne od produktów, ale w poście nie poddano testom ani jednych, ani drugich w zestawieniu z opisywaną kampanią.

Dlaczego warto zachować ten zapis

Konkretna wartość tego wpisu polega na tym, że dokumentuje on moment, w którym dwie wcześniej oddzielne zabezpieczenia przestają obejmować tę samą wiadomość. Załącznik chroniony hasłem pokonuje skanowanie zawartości, ponieważ skaner nie może otworzyć pliku; ukryte wstrzyknięcie promptu pokonuje ocenę reputacji, ponieważ ocena reputacji patrzy na nadawców, a nie na to, co model językowy zrobi z treścią. Umieść je w jednym e-mailu, a tryby awarii się kumulują: filtr, który przepuszcza wiadomość na podstawie zaufanego wyniku, przepuścił także ładunek wymierzony w to, co następne odczyta skrzynkę odbiorczą. Próbka Barracudy jest dowodem, że taka kompozycja nie jest hipotetyczna.

Ten rekord — odkrycie firmy Barracuda dotyczące dwucelowego phishingu — jest jednym z wpisów w OrcaRouter AI Incident Archive, który śledzi incydenty AI, wyniki badań i oceny, z tymi samymi polami co powyżej: waga, pewność, status sporny i rzeczywista szkoda.