Sztuczna inteligencja generuje dziś nagrania wideo i audio, które trudno odróżnić od prawdziwych, a cyberprzestępcy coraz częściej wykorzystują tę technologię do wyłudzania danych i pieniędzy. Jak pokazuje tegoroczny raport „Cyberportret polskiego biznesu” ESET i DAGMA Bezpieczeństwo IT, już 23% Polaków pracujących przy komputerze zostało oszukanych przez sfałszowane materiały. Problem w tym, że mimo rosnącej liczby takich incydentów, poziom wiedzy o zjawisku deepfake nie zmienił się od roku – wciąż 57% badanych nie wie, co oznacza to pojęcie. Czy sytuację poprawi unijny AI Act, który stopniowo wchodzi w życie?
Najważniejsze dane:
- 23% pracowników zostało oszukanych przez sfałszowane materiały,
- Niemal co 10. spotkał się na służbowym sprzęcie z próbą oszustwa związaną z podszywaniem się pod współpracownika lub kontrahenta za pomocą materiałów deepfake,
- 70% nie jest przekonanych, że w ogóle rozpoznałaby treść wygenerowaną przez AI,
- 57% obawia się kradzieży tożsamości za pomocą ataków wspieranych przez AI,
- Nieznajomość pojęcia deepfake pozostaje na niemal identycznym poziomie rok do roku: 57% w 2026 r. wobec 58% rok wcześniej.
Deepfake’i, czyli materiały cyfrowe, zmanipulowane przy pomocy AI, przestał być zjawiskiem kojarzonym wyłącznie z internetową rozrywką czy głośnymi aferami politycznymi. Z raportu ESET i DAGMA Bezpieczeństwo IT wynika, że 9% pracowników spotkało się na służbowym sprzęcie z realną próbą oszustwa wykorzystującego cyfrowo sklonowany głos lub wizerunek osoby, którą znają. Mimo to wiedza o samym mechanizmie zagrożenia nie rośnie. Odsetek osób nieznających pojęcia deepfake wynosi obecnie 57%, podczas gdy rok temu było to 58%. Różnica jest niewielka, a tempo upowszechniania się technologii deepfake wciąż przyspiesza.
Skalę rozwoju zjawiska dobrze ilustruje niedawny przykład Google Earth. Firma zintegrowała ze swoją platformą generator obrazów Nano Banana 2, pozwalający tworzyć fikcyjne obrazy na bazie prawdziwych zdjęć satelitarnych, lotniczych i modeli 3D. Jak podaje BBC, dziennikarze z zespołu BBC Verify byli w stanie wygenerować m.in. zawaloną Wieżę Eiffla, a Google przyznał, że zauważył użytkowników udostępniających zrzuty ekranu z treściami, które wydają się naruszać zasady platformy. Niespełna 48 godzin po ogłoszeniu integracji Google wstrzymał funkcję, tłumacząc to pracami nad wdrożeniem „silniejszych zabezpieczeń”. Pokazuje to, że problem odróżnienia prawdy od fałszu generowanego przez AI dotyczy już nie tylko pojedynczych ofiar phishingu, ale całych ekosystemów, w których użytkownicy ufają źródłom danych uznawanym za wiarygodne.
Boimy się, że nie rozpoznamy manipulacji
Skoro pracownicy stykają się już z realnymi próbami oszustw, pojawia się pytanie, na ile czują się przygotowani, by je wychwycić. Odpowiedź z raportu nie jest optymistyczna: 70% nie jest w pełni przekonanych, że są w stanie odróżnić treść stworzoną przez AI od autentycznej. Problemem nie jest więc już tylko nieznajomość samego terminu – nawet osoby, które wiedzą, co oznacza deepfake, nie czują się kompetentne, by go rozpoznać w praktyce. Idzie za tym konkretna obawa: 57% pracowników liczy się z możliwością kradzieży tożsamości za pomocą ataków wspieranych przez AI.
– Zbliżamy się do momentu, gdy głos rozmówcy po drugiej stronie telefonu może być cyfrowym klonem. Niezależnie od poziomu zaawansowania technologii zasada pozostaje ta sama: każde działanie mające wpływ na bezpieczeństwo danych należy potwierdzić u źródła – mówi Dawid Koziorowski, offensive cybersecurity team leader, DAGMA Bezpieczeństwo IT.
Czy AI Act może być wsparciem?
Od 2 sierpnia obowiązują przepisy unijnego rozporządzenia o sztucznej inteligencji (AI Act), które nakładają m.in. obowiązek oznaczania treści wygenerowanych przez algorytmy oraz podwyższone wymogi transparentności dla systemów tworzących deepfaki. Nie ograniczy to jednak działalności cyberprzestępców, którzy z definicji nie stosują się do przepisów. Realny wpływ regulacji może być raczej pośredni: częstszy kontakt z widocznym oznaczeniem „treść wygenerowana przez AI”, a także towarzysząca przepisom publiczna dyskusja, mogą stopniowo budować czujność użytkowników – zwłaszcza tej ponad połowy, która dziś nie zna nawet pojęcia deepfake. To jednak proces długofalowy, a zdaniem ekspertów kluczem pozostaje edukacja i codzienne nawyki w organizacjach.
– Do krajobrazu zagrożeń, który nieustannie się zmienia, dochodzi fakt, że phishing generowany przez AI i deepfaki przestały być scenariuszami hipotetycznymi. Dlatego właściwe podejście to połączenie lepszej detekcji, uważności na nietypowe wzorce komunikacji i, a być może przede wszystkim, zadbania o to, żeby pracownicy wiedzieli, na co zwracać uwagę. Czynnik ludzki nadal ma ogromne znaczenie – mówi Juraj Jánošík, ESET VP of Artificial Intelligence.
Regulacje takie jak AI Act mogą wymusić większą transparentność po stronie dostawców technologii, ale nie zastąpią podstawowej czujności. Realną zmianę przyniosą praktyczne szkolenia i symulacje ataków, dzięki którym firmy będą deepfake’om zapobiegać, a nie reagować na nie po fakcie.
