76% agentów AI w firmach nie działało od 60 dni, a nadal ma dostęp do danych

Według raportu Arrakis Security 2026 Autonomous Agents Threat Report 76% włączonych agentów AI nie działało od 60 dni, a nadal ma poświadczenia i połączenia z systemami firmy. Raport opisuje wyniki badania, a nie błąd w jednym produkcie, więc nie ma poprawki do zainstalowania. Badanie objęło przez 12 tygodni tysiące agentów działających produkcyjnie u klientów firmy. 44% agentów nie uruchomiło się od 180 dni. Około jedną czwartą nieaktywnych agentów dało się uruchomić spoza firmy przez niepodpisany webhook. Czasem wystarczyło znać adres URL. Prezes Arrakis Security Tal Baron wyjaśnia, że gdy agent przestaje być używany, nikt niczego nie usuwa, bo w większości firm nikt nie odpowiada za agenta.

Kogo dotyczy

Dotyczy firm, w których agenci AI czytają i zapisują dane, wywołują narzędzia i uruchamiają procesy. 22,9% agentów miało co najmniej jeden niezabezpieczony wyzwalacz. 70% łączyło się z wrażliwą integracją, na przykład z magazynem w chmurze, usługami AI albo platformą marketingową. 99,4% z nich nie miało potwierdzonej ochrony przed wyciekiem danych. 19% używało kluczy API i tokenów bez terminu ważności, zapisanych w konfiguracji.