Wprowadzenie

Firmy coraz częściej używają modeli językowych, agentów AI i narzędzi automatyzacji w sprzedaży, obsłudze klienta i pracy operacyjnej, ale ta sama warstwa AI staje się dziś nową powierzchnią ataku. Jednym z najnowszych przykładów jest phantom squatting, czyli przejmowanie domen „wymyślonych” przez modele AI i wykorzystywanie ich do phishingu, malware oraz podszywania się pod marki.

Z perspektywy bezpieczeństwa biznesu to ważna zmiana, ponieważ użytkownik lub agent nie trafia na fałszywą stronę przez spamowy e-mail, ale przez odpowiedź wygenerowaną przez narzędzie, któremu ufa. To właśnie dlatego temat łączy klasyczne bezpieczeństwo domen, ochronę marki i nowy obszar zabezpieczania procesów opartych na AI.

Czym jest phantom squatting

Phantom squatting polega na tym, że model AI podaje wiarygodnie brzmiący, ale nieistniejący adres strony, a atakujący rejestruje tę domenę, zanim zrobi to właściciel marki lub obrońca. Badacze Unit 42 opisali, że duże modele językowe potrafią w sposób powtarzalny generować te same błędne domeny dla znanych marek, co czyni ich przewidywanie praktycznym dla przestępców.

W badaniu obejmującym 913 marek zadano modelom 685 339 pytań, co dało 2,1 mln linków; 13 229 z nich było już oznaczonych jako złośliwe, a około 250 000 halucynowanych domen pozostawało wolnych do rejestracji. To pokazuje, że problem nie dotyczy pojedynczych pomyłek modelu, ale skali wystarczającej do budowy realnych kampanii phishingowych.

Dlaczego atak omija klasyczne zabezpieczenia

Nowo zarejestrowana domena nie ma jeszcze historii reputacyjnej, więc klasyczne blacklisty, feedy threat intel i filtry reputacyjne często nie mają czego zablokować w pierwszej fazie ataku. Jeśli link pochodzi z odpowiedzi AI, użytkownik lub proces automatyczny może potraktować go jako prawidłowy zanim systemy ochronne zdążą go skategoryzować.

Problem zwiększa się w środowiskach, gdzie agenty AI otwierają linki, pobierają pliki lub wykorzystują adresy URL w integracjach API bez ręcznej walidacji. W takim modelu bezpieczeństwo strony internetowej nie kończy się już na WAF, aktualizacjach i kopiach zapasowych, ale obejmuje też kontrolę źródeł, z których AI pobiera i rekomenduje adresy.

Co zrobić w firmie

Najbardziej praktyczna linia obrony składa się z kilku działań wdrażanych równolegle:

  • Monitorować, jakie domeny modele AI przypisują marce, i obserwować, czy ktoś ich nie rejestruje.
  • Rejestrować najbardziej ryzykowne warianty domen, w tym literówki, wersje językowe i wzorce wychwycone w odpowiedziach modeli.
  • Traktować każdy link wygenerowany przez AI jako niezweryfikowany do momentu potwierdzenia go w oficjalnej dokumentacji, na whitelistach lub w źródłach właściciela marki.
  • Ograniczyć agentom AI możliwość automatycznego otwierania nowych domen, pobierania plików i używania niesprawdzonych endpointów.
  • Utrzymywać twardą higienę warstwy domenowo-mailowej, w tym SPF, DKIM i restrykcyjny DMARC, bo phishing oparty na podszywaniu się pod markę nadal łączy się z klasycymi wektorami oszustw.

Dla właściciela strony oznacza to także potrzebę stworzenia prostej polityki „AI trust layer”: które domeny są dozwolone, które źródła są autorytatywne i jakie operacje wymagają walidacji człowieka. Taka polityka jest dziś równie ważna jak polityka haseł czy MFA, ponieważ ryzyko przesuwa się z samej sieci w stronę tożsamości, workflowów i decyzji podejmowanych przez systemy AI.

Trendy cyber security 2026

Badania i obserwacje rynkowe wokół phantom squatting pokazują szerszy trend: AI staje się nie tylko narzędziem obrony, ale także pełnoprawną powierzchnią ataku. W praktyce oznacza to wzrost znaczenia ochrony agentów, kontroli promptów, walidacji wyników modeli i monitoringu tego, jak systemy automatyczne wykorzystują wygenerowane linki oraz nazwy pakietów.

Najważniejszy wniosek dla firm jest prosty: nie wystarczy już zabezpieczyć infrastrukturę, trzeba również zabezpieczyć zaufanie do odpowiedzi AI. Organizacje, które szybciej wdrożą kontrolę nad domenami, whitelisty i walidację odpowiedzi modeli, zmniejszą ryzyko phishingu, wycieku danych i błędnych integracji zanim taki atak stanie się incydentem operacyjnym.