## Wprowadzenie Firmy coraz częściej używają modeli językowych, agentów AI i narzędzi automatyzacji w sprzedaży, obsłudze klienta i pracy operacyjnej, ale ta sama warstwa AI staje się dziś nową powierzchnią ataku. Jednym z najnowszych przykładów jest phantom squatting, czyli przejmowanie domen „wymyślonych” przez modele AI i wykorzystywanie ich do phishingu, malware oraz podszywania się pod marki. Z perspektywy bezpieczeństwa biznesu to ważna zmiana, ponieważ użytkownik lub agent nie trafia na fałszywą stronę przez spamowy e-mail, ale przez odpowiedź wygenerowaną przez narzędzie, któremu ufa. To właśnie dlatego temat łączy klasyczne bezpieczeństwo domen, ochronę marki i nowy obszar zabezpieczania procesów opartych na AI. ## Czym jest phantom squatting Phantom squatting polega na tym, że model AI podaje wiarygodnie brzmiący, ale nieistniejący adres strony, a atakujący rejestruje tę domenę, zanim zrobi to właściciel marki lub obrońca. Badacze Unit 42 opisali, że duże modele językowe potrafią w sposób powtarzalny generować te same błędne domeny dla znanych marek, co czyni ich przewidywanie praktycznym dla przestępców. W badaniu obejmującym 913 marek zadano modelom 685 339 pytań, co dało 2,1 mln linków; 13 229 z nich było już oznaczonych jako złośliwe, a około 250 000 halucynowanych domen pozostawało wolnych do rejestracji. To pokazuje, że problem nie dotyczy pojedynczych pomyłek modelu, ale skali wystarczającej do budowy realnych kampanii phishingowych. ## Dlaczego atak omija klasyczne zabezpieczenia Nowo zarejestrowana domena nie ma jeszcze historii reputacyjnej, więc klasyczne blacklisty, feedy threat intel i filtry reputacyjne często nie mają czego zablokować w pierwszej fazie ataku. Jeśli link pochodzi z odpowiedzi AI, użytkownik lub proces automatyczny może potraktować go jako prawidłowy zanim systemy ochronne zdążą go skategoryzować. Problem zwiększa się w środowiskach, gdzie agenty AI otwierają linki, pobierają pliki lub wykorzystują adresy URL w integracjach API bez ręcznej walidacji. W takim modelu bezpieczeństwo strony internetowej nie kończy się już na WAF, aktualizacjach i kopiach zapasowych, ale obejmuje też kontrolę źródeł, z których AI pobiera i rekomenduje adresy. ## Co zrobić w firmie Najbardziej praktyczna linia obrony składa się z kilku działań wdrażanych równolegle: - Monitorować, jakie domeny modele AI przypisują marce, i obserwować, czy ktoś ich nie rejestruje. - Rejestrować najbardziej ryzykowne warianty domen, w tym literówki, wersje językowe i wzorce wychwycone w odpowiedziach modeli. - Traktować każdy link wygenerowany przez AI jako niezweryfikowany do momentu potwierdzenia go w oficjalnej dokumentacji, na whitelistach lub w źródłach właściciela marki. - Ograniczyć agentom AI możliwość automatycznego otwierania nowych domen, pobierania plików i używania niesprawdzonych endpointów. - Utrzymywać twardą higienę warstwy domenowo-mailowej, w tym SPF, DKIM i restrykcyjny DMARC, bo phishing oparty na podszywaniu się pod markę nadal łączy się z klasycymi wektorami oszustw. Dla właściciela strony oznacza to także potrzebę stworzenia prostej polityki „AI trust layer”: które domeny są dozwolone, które źródła są autorytatywne i jakie operacje wymagają walidacji człowieka. Taka polityka jest dziś równie ważna jak polityka haseł czy MFA, ponieważ ryzyko przesuwa się z samej sieci w stronę tożsamości, workflowów i decyzji podejmowanych przez systemy AI. ## Trendy cyber security 2026 Badania i obserwacje rynkowe wokół phantom squatting pokazują szerszy trend: AI staje się nie tylko narzędziem obrony, ale także pełnoprawną powierzchnią ataku. W praktyce oznacza to wzrost znaczenia ochrony agentów, kontroli promptów, walidacji wyników modeli i monitoringu tego, jak systemy automatyczne wykorzystują wygenerowane linki oraz nazwy pakietów. Najważniejszy wniosek dla firm jest prosty: nie wystarczy już zabezpieczyć infrastrukturę, trzeba również zabezpieczyć zaufanie do odpowiedzi AI. Organizacje, które szybciej wdrożą kontrolę nad domenami, whitelisty i walidację odpowiedzi modeli, zmniejszą ryzyko phishingu, wycieku danych i błędnych integracji zanim taki atak stanie się incydentem operacyjnym.