Začnu tím, co mě na celé té kauze s Cathedralem a Anthropicem zarazilo nejvíc. Nebylo to dvanáct hodin. Bylo to, že útočníci neprolomili model. Prolomili cestu okolo něj — přes firemní aplikace od dodavatelů, které si Anthropic platí stejně jako každá jiná firma.
Jenže v české diskusi se z toho stal titulek „AI hackla Anthropic” a tím to skončilo. Přitom ta věta, která má cenu, zní jinak: slabé místo nebylo v tom, co firma vyvíjí, ale v tom, co používá a co nikdo netestuje.
Tohle je článek o té druhé polovině.
Kdo za co odpovídá, když je všechno v cloudu
Klasický argument českého jednatele zní: „Máme to u dodavatele, takže bezpečnost řeší on.” U infrastruktury to do určité míry platí. U aplikace, kterou firma používá, to neplatí skoro nikdy — a je to přesně ta část, kterou nikdo nečte ve smlouvě.
Dodavatel zaručuje, že aplikace běží, že má zálohy a že on sám není děravý v jádru. Nezaručuje, že vaši lidé mají správná práva, že odešlý zaměstnanec nemá pořád platný přístup a že někdo neposlal data přes nesprávné rozhraní.
Od 1. listopadu 2025 to není názor, ale paragraf. Zákon č. 264/2025 Sb. o kybernetické bezpečnosti nahradil starý zákon 181/2014 a rozšířil regulaci z pár desítek subjektů kritické infrastruktury na tisíce běžných firem. Hranice pro střední podnik je orientačně 50 zaměstnanců, nebo obrat a bilanční suma nad 10 milionů eur současně. U vybraných služeb velikost nehraje roli.
A pozor na dvě pasti, které v praxi lidi překvapí. Za prvé, nerozhoduje předmět podnikání v rejstříku, ale co firma reálně provozuje. Za druhé, do velikosti se počítají propojené a partnerské podniky — dvacetičlenná dcera spadne pod regulaci kvůli matce.
Režim se dělí na vyšší a nižší povinnosti. A v obou se mluví o dodavatelích:
- Nižší povinnosti (vyhláška 410/2025 Sb., § 3): firma musí mít přehled o dodavatelích, kteří mají přístup ke stanovenému rozsahu, a zajistit, že dodržují základní bezpečnostní pravidla.
- Vyšší povinnosti (vyhláška 409/2025 Sb., § 9): navíc procesy hodnocení dodavatelů ještě před uzavřením smlouvy, smluvní požadavky na bezpečnost, pravidelný dohled, možnost provádět audity a vyhodnocování incidentů na straně dodavatele.
Přečtěte si ten první bod ještě jednou. „Mít přehled o dodavatelích s přístupem.” To není o bezpečnostním softwaru. To je o tom vědět, kdo všechno se do vašich dat dívá.
Proč je „mít přehled” těžší, než to zní
Tady přichází číslo, které mě dostalo. Podle indexu Zylo z roku 2026 spravuje průměrný podnik zhruba 305 SaaS aplikací. Tři sta pět. Ne tři sta pět licencí na jednu věc — tři sta pět různých služeb, každá s vlastním přihlašováním, vlastním nastavením práv a vlastním místem, kde leží firemní data.
Do toho IBM ve zprávě Cost of a Data Breach za rok 2025 uvádí, že u pětiny organizací, které za poslední rok řešily únik dat, sehrála roli shadow AI. A hlavně: 97 % firem, které hlásily incident spojený s AI, nemělo odpovídající řízení přístupů. Ne že by neměly žádný nástroj. Neměly nastavené, kdo kam smí.
Když k tomu přidáte, že Gartner odhaduje, že do roku 2026 proběhne 70 % interakcí zaměstnanců s AI přes funkce zabudované v aplikacích, které firma už platí, dostanete obrázek, který nikdo nekreslí na poradě. Rizikový nástroj už není podezřelé rozšíření do prohlížeče. Je to ten AI shrnovač v aplikaci, kterou máte v rozpočtu dva roky, nastavený na „vždy zapnuto”.
Přesně tam mířil i Logan Graham z red teamu Anthropicu, když po kauze s Cathedralem řekl, že útočníci dnes míří hlavně na externí závislosti a že k tomu nepotřebují špičkový model — stačí takový, který je o jednu až dvě generace pozadu.
Co agent skutečně udělá a co ne
Teď ta část, kterou bych v jiném článku nenašla. Agent není kouzlo. Je to trpělivost, která neskončí v pět odpoledne.
Co zvládne dobře:
Zmapuje, co existuje. Projde e-maily, faktury, DNS záznamy, seznam domén a sestaví seznam aplikací, o kterých firma ani nevěděla, že je má. Tohle je dneska nejvíc podceňovaná práce a je to přesně ten „přehled o dodavatelích” z vyhlášky.
Najde práva, která nikdo nezrušil. Účty po lidech, kteří odešli před dvěma lety, servisní přístupy vytvořené pro jednorázovou migraci, API klíče v repozitářích a v konfiguracích. Umí to vzít napříč aplikacemi, ne jednu po druhé.
Projde konfigurace proti známým chybám. OWASP API Security Top 10 zůstává z roku 2023 a první místo pořád drží Broken Object Level Authorization — tedy to, že aplikace ověří, že jste přihlášení, ale už neověří, jestli ten záznam patří vám. Je to nejčastější a nejjednodušeji zneužitelná chyba v API a agent ji najde za odpoledne.
Zkusí to sám na sobě. Nonstop, dokola, bez přestávky na oběd. To je ta věc, kterou lidský tým za rozpočet na tři dny neudělá.
Co nedokáže:
Nepozná, že obrázek v CRM není zákazník, ale testovací data. Nerozhodne, jestli ten export je legitimní požadavek obchodníka nebo exfiltrace. A hlavně — nenese odpovědnost. Když agent sáhne na produkční data, je to váš incident, ne jeho.
Posledních pár měsíců se to ukázalo i na druhé straně. Anthropic letos v červenci přiznal, že jeho modely během interních testů ve třech případech napadly skutečné organizace. Stejná firma, kterou teď Cathedral testoval. Ta ironie není náhoda — je to vlastnost téhle technologie, ne selhání konkrétního dodavatele.
Kde je hranice
Tohle je pro mě nejdůležitější odstavec celého článku, protože bez něj je zbytek návod na průšvih.
Agent patří do písemně vymezeného rozsahu. Ne ústně, ne „koukej, ať to nikomu nerozbiješ”. Písemně, se seznamem domén a IP rozsahů, s časovým oknem a s tím, kdo to odsouhlasil. Přesně to Anthropic vyčítá Cathedralu — že útok na dodavatele a stahování dat přesáhly rámec, ve kterém program bug bounty výzkumníka právně kryje. A Cathedral oponuje, že postupoval podle zavedené praxe. Tahle hádka se bude v Česku opakovat, jen v menším.
Prakticky to znamená tři mantinely:
- Testovací prostředí, ne produkce. Agent má vlastní tenant s kopií dat, ne přístup k živému systému. Pokud nutně potřebujete produkci, tak read-only a s logem každého dotazu.
- Agent nesmí mít víc práv než ten, kdo ho pustil. Zní to banálně, ale je to přesně ta chyba, na kterou upozorňuje 97 % z IBM — přístupy se množí rychleji než jejich revize.
- Výstup je nález, ne akce. Agent najde a zdokumentuje. Opravuje člověk, který za to nese odpovědnost a který rozhodne, jestli je to opravdu chyba.
Co udělat v pondělí ráno
Ne jako velký projekt. Jako věci, které jdou udělat do oběda:
Udělejte si seznam aplikací. Ne z hlavy, ale z e-mailů, z faktur a z DNS. Kde se objeví doména, tam je služba. Tohle je jediný krok, bez kterého nejde splnit ani ten nižší režim povinností.
Projděte, kdo má přístup. U každé aplikace vypište lidi a jejich práva. Pak se podívejte na data posledního přihlášení u každého účtu. Účty bez přihlášení za 90 dní jsou první kandidáti na smazání, ne na kontrolu.
Najděte API klíče. Repozitáře, konfigurační soubory, CI pipeline. Klíč, který nikdo nerotoval dva roky, je stejně dobrý jako heslo na papíře na stole.
Zjistěte, co dělá AI, kterou už platíte. U každé služby s AI funkcí se podívejte, jaká data zpracovává a jestli je to stejný rozsah, jaký jste schválili při nákupu. Většinou není.
Až pak zvažte agenta. Ne jako první krok, ale jako třetí — až víte, co má projít.
Co si z toho vzít
Ten případ s Cathedralem je vlastně dobrá zpráva. Ne proto, že se to stalo, ale proto, že ukázal něco, co je v praxi běžné a v diskusi neviditelné: bezpečnostní díra nebývá v tom, co firma vyvíjí. Je v tom, co používá a co nikdo nikdy neprošel.
České firmy to teď mají i jako zákonnou povinnost. A poprvé k tomu mají nástroj, který zvládne pokrýt tři sta aplikací bez toho, aby to znamenalo tři sta auditorských dnů.
Jen si u toho musí přiznat, že agent je trpělivý, ne vševědoucí. Rozhodovat bude pořád člověk — a ten by měl vědět, co podepsal.
Zdroje: TechRadar (28. 10. 2026), The Decoder (28. 10. 2026), Decrypt (26. 10. 2026), The Washington Post (26. 10. 2026), Portál NÚKIB – Nový zákon o kybernetické bezpečnosti, Zákony pro lidi – 264/2025 Sb., Vyhláška 410/2025 Sb., Vyhláška 409/2025 Sb., Quantcom – NIS2 v praxi 2026, OWASP API Security Top 10 2023, IBM Cost of a Data Breach 2025, SaaS Mag – Shadow AI 2026
