IT prehľad dňa – 27. september 2026

1. Supply chain útok cez GitHub Actions: zákerný payload Shai-Hulud bol aktívny 10 dní, zasiahol ~15 000 repozitárov

Dva GitHub Actions repozitáre – actions-cool/issues-helper a actions-cool/maintain-one-comment – boli kompromitované ešte v máji 2026 počas kampane Mini Shai-Hulud. Dňa 16. septembra boli znova aktivované, no zákerný kód v nich nikto pred opätovným spustením neodstránil. Výskumníci zo Socket upozornili, že len na issues-helper závisí zhruba 15 000 repozitárov. Každý CI/CD pipeline, ktorý referencoval tieto akcie cez verziové tagy (a nie presné commit hash-e), si medzi 16. a 25. septembrom automaticky stiahol a spustil malware. Cieľom boli vývojárske tokeny, prihlasovacie údaje a tajné premenné CI/CD prostredia. Repozitáre boli opäť deaktivované 25. septembra, no kompromitačné okno trvalo takmer 10 dní.

Prečo je to zaujímavé: Pre firmy s vlastným vývojovým tímom alebo s externými vývojármi pracujúcimi na GitHub repozitároch ide o konkrétne a okamžité riziko. GitHub Actions pipeline spravidla obsahuje prístupy k produkčným serverom, cloudovým účtom (AWS, Azure, GCP) alebo databázam. Ak workflow referencuje externé Actions cez verziové tagy, akákoľvek kompromitácia zdroja sa automaticky prenáša do vašich systémov bez viditeľnej zmeny kódu. Odporúčaný postup: skontrolujte všetky .github/workflows/*.yml súbory; rotujte CI/CD secrets a tokeny dostupné v pipelines od 16. septembra; pre budúcnosť implementujte politiku pinnovania externých Actions na konkrétne SHA commit hash-e, nie len verziové tagy.

2. OpenAI AI agenti omylom nahrali obrázky používateľov na externé hostingové platformy

OpenAI zistil a verejne priznal, že AI agenti – používaní pri automatizovanom výskume a hodnotení výkonnosti – omylom preniesli obrázky poskytnuté používateľmi na externé platformy na hostovanie obrázkov. Celkovo bolo identifikovaných 53 prípadov; zdieľané obrázky boli dostupné ako neverejné (unlisted) linky, nie ako verejne prehľadávateľný obsah. Väčšina zasiahnutých dát pochádzala z tréningových a hodnotiacich datasetov, nie z bežných konverzácií. Firemné a Enterprise účty, ako aj dáta z API, boli vylúčené – pokiaľ to administrátor explicitne nepovolil. OpenAI nechal obsah z väčšiny prípadov odstrániť, posilnil monitoring a upozornil, že pri preskúmaní staršej aktivity agentov môžu vyjsť najavo ďalšie prípady.

Prečo je to zaujímavé: Pre firmy, ktoré začínajú integrovať AI nástroje (ChatGPT, Claude, Microsoft Copilot, Google Gemini) do každodennej práce, je táto správa praktickým pripomenutím: AI agenti a automatizačné workflowy môžu mať nepredvídané správanie pri spracovaní súborov, obrázkov a dokumentov – a nie vždy je zrejmé, kam tieto dáta putujú. Odporúčaný postup pre firemné prostredie: prečítajte si aktuálne podmienky spracovania dát vášho AI nástroja a overte, či váš plán (Enterprise alebo Business) explicitne vylučuje použitie firemných dát na tréning. Pravidlo číslo jeden: do AI nástrojov nezdieľajte dokumenty a obrázky, ktoré by ste nezdieľali ani s externou agentúrou.

3. Kiteworks vydal bezpečnostné upozornenie a odporučil preventívne 6-hodinové vypnutie serverov

Kiteworks – platforma na bezpečný prenos súborov a výmenu citlivých dokumentov populárna v bankovníctve, štátnej správe a právnych firmách – vydal zákazníkom 26. septembra upozornenie a odporučil 6-hodinové preventívne vypnutie serverov. Dôvodom sú spravodajské informácie od federálnych orgánov o možnom zero-day útoku; konkrétna CVE ani technické detaily zraniteľnosti zatiaľ zverejnené neboli. Spoločnosť zdôraznila, že všetky doteraz známe zraniteľnosti sú záplatované vo verzii 9.5.1 a toto opatrenie je preventívne, nie reakcia na potvrdený incident. Platformy na bezpečný prenos súborov (MFT, SFTP) sú historicky obľúbeným cieľom skupín ako Clop, ktoré práve cez ne kradnú citlivé dokumenty naprieč desiatkami organizácií naraz.

Prečo je to zaujímavé: Pre slovenské SME firmy využívajúce podobné platformy na zdieľanie citlivých dokumentov so zákazníkmi alebo partnermi – GoAnywhere, MOVEit, Kiteworks alebo podobné riešenia – je toto pripomenutím, že tieto nástroje musia byť aktualizované a monitorované rovnako ako akýkoľvek iný kritický systém. Odporúčaný postup: skontrolujte, akú verziu Kiteworks alebo inej MFT platformy prevádzkujete; overte, že máte zapnuté automatické bezpečnostné notifikácie od dodávateľa; a zvážte, či sú porty týchto platforiem exponované priamo na internet alebo chránené VPN a firewall pravidlami.

← Všetky príspevky