Podle zprávy týmů GTIG a Mandiant začali kybernetičtí útočníci při reálných incidentech aktivně zneužívat open-source agentní penetrační rámce ARTEX, Hexstrike nebo CAIRN k vysoce automatizovaným útokům. Nástroje poháněné velkými jazykovými modely zvládají autonomně provádět laterální pohyb, eskalaci oprávnění i přípravu dat k exfiltraci v řádu sekund až minut. Mezi aktéry využívající ARTEX patří finančně motivované vyděračské skupiny i státem podporovaní špioni napojení na Čínu.
Podle analýzy společnosti Microsoft severokorejští státní útočníci stále častěji integrují generativní i agentní AI do svých kybernetických operací. Umělá inteligence jim slouží jako multiplikátor sil k urychlení a škálování průzkumu, sociálního inženýrství, vývoje škodlivého kódu i správy falešných identit, operace však zůstávají řízené lidmi.
Kritické zranitelnosti CVE-2026-88771 a CVE-2026-88772 s hodnocením CVSS 9.5 v produktech Citrix NetScaler ADC a NetScaler Gateway umožňují neautentizovaným vzdáleným útočníkům spuštění libovolného kódu. Obě chyby jsou aktivně zneužívány v reálném provozu a výrobce i bezpečnostní autority uvádějí dostupnost opravných verzí.
Kaspersky popsal pokročilý infekční řetězec a zavaděč NetamLoader, který cílí na upravenou verzi Windows 10 využívanou výhradně vládními institucemi v Asii. Kampaň vykazuje znaky útoku na dodavatelský řetězec a k načtení škodlivých .NET a XAML modulů zneužívá legitimní nástroj Patch My PC spolu s technikou AppDomainManager injection. Útočníci navíc zneužívají deserializační zranitelnost ve třídě BinaryFormatter k obcházení bezpečnostních kontrol včetně AMSI.
Útočníci ze skupiny ShinyHunters aktivně zneužívají zranitelnost CVE-2026-35273 v Oracle PeopleSoft, která umožňuje vzdálené spuštění kódu a původně byla zneužita jako nultodenní. Podle bezpečnostních expertů se aktéři zaměřili na desítky organizací v různých odvětvích a pravidla WAF obcházejí pomocí URL kódování cesty k rozhraní PSEMHUB.
Podle společnosti Tenable rozšiřuje umělá inteligence útočnou plochu kritické infrastruktury spravované státními a místními samosprávami i školstvím. Útočníci využívají AI k rychlejšímu hledání slabin a zneužívají nedostatečně zabezpečené menší subjekty, například vodárny, k laterálnímu postupu do rozsáhlejších systémů. Organizace proto doporučuje přístup obrany na úrovni celého státu se sdíleným dohledem a službami.
Analytici ze společnosti Kaspersky odhalili kampaň přisuzovanou skupině APT41, která cílila na diplomatické organizace ve Střední Asii pomocí UEFI bootkitu BlackX odvozeného z malwaru BlackLotus. Útočníci po získání administrátorských oprávnění zneužili chybu Baton Drop (CVE-2022-21894) k obejití Secure Bootu, zavedení škodlivého ovladače narušujícího bezpečnostní řešení a nasazení špionážních nástrojů.
Podle společnosti Microsoft využila čínská státní skupina Storm-0940 agentní penetrační framework ARTEX k automatizaci útoků na stovky organizací. Nástroj útočníkům umožnil radikálně zrychlit kompromitaci dodavatelského řetězce u ConnectWise a získat privilegovaný přístup ke cloudové infrastruktuře zákazníků často za méně než tři hodiny.
Výzkumníci z Unit 42 analyzovali špionážní kampaň využívající umělou inteligenci, která cílí na vládní linuxovou infrastrukturu. Útočníci podle zprávy nasazují vlastní malware, web shelly a pokročilé techniky krádeže přihlašovacích údajů.
Pravidelný přehled od Cisco Talos rozebírá nárůst počtu evidovaných CVE, který přesáhl 70 tisíc, a srovnává jej s pomalejším růstem katalogu aktivně zneužívaných zranitelností KEV. Zdroj dále upozorňuje na špionážní kampaň skupiny UAT-6275 cílící na vládní sektor a kritickou infrastrukturu v SNS a přináší týdenní souhrn bezpečnostních událostí.
Společnost Graylark vyvinula nástroj Raven AI, který dokáže určit polohu nemovitosti pouze z fotografie interiéru porovnáním vizuálních prvků s veřejnými nabídkami realit. Podle zprávy technologii využívají policejní složky a vyvolává obavy ze ztráty soukromí a možného zneužití.
Cisco Talos a Recorded Future odhalily špionážní aktivitu skupiny UAT-6275, která cílí na vládní instituce, energetiku a vodní hospodářství v zemích SNS. Útočníci využívají několik infekčních řetězců včetně zneužití zranitelnosti CVE-2025-8088 ve WinRARu či CVE-2025-25257 ve FortiWebu k nasazení reverzních shellů. Výzkumníci díky chybám v zabezpečení infrastruktury útočníků získali přehled o vývoji jejich malwaru a nástrojích.
NÚKIB varuje před phishingovými kampaněmi napojenými na Rusko, které cílí na uživatele aplikace Signal především v bezpečnostním sektoru, státní správě a politice. Útočníci neprolamují šifrování, ale snaží se pomocí sociálního inženýrství, podvodných odkazů a QR kódů připojit k účtu oběti vlastní zařízení nebo získat její PIN.
Podle zprávy Microsoft Digital Defense Report byly vládní agentury a služby v roce 2026 nejvíce zasaženým sektorem kybernetickými hrozbami, na které připadlo 27 % zaznamenané aktivity. Společnost Microsoft doporučuje vládám zaměřit se na pět priorit včetně přípravy na rychlejší hrozby, zabezpečení AI ekosystému, plánování šíření incidentů, obousměrného sdílení informací a odolnosti klíčových služeb.
Cisco Talos odhalil kampaň skupiny UAT-11587 napojené na Čínu, která cílila na vládní, diplomatické a akademické instituce v Asii. K infikování zhruba 350 koncových stanic útočníci využili spear-phishing a nový backdoor Antino napsaný v jazyce Rust, jenž komunikuje s řídicí infrastrukturou prostřednictvím služeb Microsoft 365.
Podle společnosti Microsoft ruská státní skupina Star Blizzard přešla na rozsáhlejší phishingové kampaně a zavedla novou techniku šíření malwaru označovanou jako RedFlick. Tato technika vyžaduje pouze jedinou interakci uživatele a slouží k nasazení vlastního zadního vrátku CosmicPulse. Kampaně cílily na ukrajinské instituce, nevládní organizace, think tanky i vládní a finanční instituce podporující Ukrajinu.
Tým Microsoft Threat Intelligence analyzoval modulární malware NeedyMantis, který útočníci nasazují po kompromitaci sítě k dlouhodobému udržení přístupu. Škodlivý kód je spojován s aktéry z Číny a cílil na telekomunikace, univerzity, zdravotnické neziskové organizace či vládní dodavatele.
Microsoft zveřejnil rozbor aktivit skupiny Storm-2570, která působí jako affiliate pro vícero ransomwarových skupin včetně Qilin, DragonForce, Anubis a BERT. Podle analýzy útočník konzistentně používá stejné nástroje pro vzdálenou správu jako MeshAgent, Atera či NinjaRMM, techniky krádeže přihlašovacích údajů i tunelovací nástroje bez ohledu na to, jaký ransomware nakonec nasadí.
Podle společnosti Volexity nejméně tři čínské kyberšpionážní skupiny zneužívaly řetězec zranitelností v prohlížeči Google Chrome (CVE-2026-85046, CVE-2026-87491) a jádře systému Windows (CVE-2026-85880). Útoky probíhaly prostřednictvím phishingu a podvržených webů k nasazení různého malwaru na cílové stanice.
GreyNoise uvádí, že od začátku června 2026 sleduje škodlivou IP adresu využívanou ke skenování a útokům na různé technologie. Podle zprávy došlo mimo jiné ke krádeži více než 18 000 citlivých záznamů západní vlády prostřednictvím zneužití platformy WordPress.
Společné vyšetřování médií 404 Media a WIRED odhalilo, že kamery Flock Safety určené ke čtení registračních značek obsahují software schopný rozpoznávat i osoby a jízdní kola. Data získaná z fyzicky odebrané kamery navíc podle zprávy umožnila prolomit šifrování zařízení, přičemž policie ve Washingtonu DC čelí stížnostem kvůli sledování vlastních příslušníků.
Skupina Google Threat Intelligence Group uvádí, že útočníci přecházejí od pouhého zadávání promptů k autonomním agentním systémům a automatizaci útoků. Zpráva popisuje rychlé kompromitace dodavatelských řetězců otevřeného softwaru, krádeže proprietárních modelů a zneužívání výpočetních kapacit v cloudu, přičemž zmiňuje kampaň finančně motivované skupiny UNC6780 zneužívající repozitáře a kradoucí přihlašovací údaje.
Cisco Talos analyzoval útočné řetězce zneužívající techniku ClickFix a WebDAV k doručení zlodějského malwaru Amatera do systémů včetně ukrajinské vládní organizace. Podle výzkumníků kód vložený přes Cloudflare Worker a BNB Smart Chain zobrazil falešnou ověřovací výzvu, která vedla ke spuštění knihovny z WebDAV a instalaci dalších nástrojů jako ZigCryptoStealer či NetSupport Manager.
Podle Check Point Research cílí čínsky mluvící skupina Gambling Goblin od poloviny roku 2025 na brazilské vládní a vzdělávací instituce. Útočníci na kompromitované linuxové servery instalují škodlivé moduly pro Apache, které návštěvníky skrytě přesměrovávají na phishingové stránky propagující online hazard a zneužívají reputaci legitimních domén k manipulaci vyhledávačů.
Microsoft varuje před aktivní kampaní zneužívající podvržené weby známých aplikací k distribuci škodlivých instalátorů. Útoky zasáhly řadu odvětví v Číně a Microsoft je s mírnou jistotou spojuje se skupinou Silver Fox.
Zdroj popisuje hrozbu kvantových počítačů pro současné asymetrické šifrování a taktiku útočníků 'harvest now, decrypt later', při které si dnes ukládají zašifrovaná data k pozdějšímu dešifrování. Podle textu je nezbytné vytvořit komplexní inventář kryptografických prostředků a postupně migrovat na kvantově odolné algoritmy, což mandatují nové regulace včetně amerického Executive Order 14412.
Zpráva Rapid7 uvádí, že ve 2. čtvrtletí 2026 prudce vzrostl počet zveřejněných zranitelností a útočníci díky automatizaci a AI zkracují dobu do jejich zneužití. Téměř dvě třetiny zneužitých chyb nevyžadovaly interakci uživatele a zranitelnosti chybějící autentizace vzrostly meziročně o 247 %.
Tým Tenable RSO analyzoval shluk sedmi incidentů spojených s autonomními AI agenty, mezi něž patří i rozsáhlý útok na vládní infrastrukturu na Tchaj-wanu. Autonomní agenti při něm zneužili slabá hesla, špatné konfigurace a přihlašovací rozhraní k mapování systémů a krádeži personálních dat bez nutnosti zneužití konkrétní CVE zranitelnosti.
Podle Microsoft Threat Intelligence skupina Storm-2945, podskupina ruských aktérů Midnight Blizzard, manipuluje síťový provoz v hotelích a konferenčních centrech přes kompromitované přihlašovací portály Wi-Fi. Útočníci přesměrovávají uživatele na phishingové stránky k odcizení přístupů k Microsoft Entra ID a pomocí falešných aktualizací šíří infostealer a trojan CornFlake. Cílem této operace podpořené umělou inteligencí je špionáž zaměřená na firemní a vládní cestovatele.
Zpráva Cisco Talos Incident Response za druhé čtvrtletí 2026 uvádí výrazný nárůst zneužívání autentizace a sofistikovaných phishingových taktik, které tvořily přes polovinu případů. Podle vydavatele operátoři ransomwaru stále častěji zneužívají legitimní nástroje pro vzdálenou správu k zajištění trvalého přístupu a pokračuje cílení na zdravotnictví a veřejnou správu. Zpravodaj dále přináší souhrn bezpečnostních událostí a podcastů týmu Talos.
Výzkumníci z Check Point Research uvádějí, že umělá inteligence přešla z role pouhého pomocníka do pozice přímého operátora kybernetických útoků. Zpráva poukazuje na zneužívání komerčních modelů při špionáži i běžné kriminalitě, generování rozsáhlého škodlivého kódu a nárůst útoků typu indirect prompt injection.
Výzkumníci Check Point Research odhalili nový modulární C2 framework Cavern využívaný íránskou skupinou Cavern Manticore proti cílům v Izraeli, zejména ve vládním a IT sektoru. Celý nástroj je postaven na platformě .NET, ale využívá tři různé kompilace k výraznému ztížení analýzy a obcházení detekce.
Bezpečnostní výzkumníci identifikovali dvě hrozby označené jako SHADOW-AETHER-040 a SHADOW-AETHER-064, které pomocí autonomních agentů AI vedou útočné operace proti vládním a finančním organizacím v Latinské Americe. Podle zprávy jde o jedny z prvních zaznamenaných případů, kdy agenti umělé inteligence provádějí celou škálu útoku od počátečního přístupu až po exfiltraci dat.
Bezpečnostní tým ESET Research odhalil novou pročínskou APT skupinu pojmenovanou GopherWhisper. Podle výzkumníků se tato skupina zaměřuje na mongolské vládní instituce.
Bezpečnostní experti analyzovali nejnovější kampaň skupiny Pawn Storm zacílenou na ukrajinský obranný dodavatelský řetězec. Podle zjištění útočníci využívali steganografii, zneužívání cloudových služeb a e-mailová zadní vrátka k nasazení nástroje PRISMEX.