AI agenti ve firmách: 60 % z nich má přístup ke všemu

Průměrná firma dnes provozuje jednoho AI agenta na jednoho zaměstnance — a 60 % z těch, u kterých někdo sáhl na výchozí nastavení, dostalo přístup ke všemu. Vyplývá to ze studie State of Agentic Adoption 2026, kterou 5. srpna 2026 zveřejnila výzkumná divize Opsin Labs. Pro české firmy, které teprve rozjíždějí první AI automatizace, přichází varování v dobrou chvíli: postavit dnes AI agenta zvládne skoro kdokoli, nastavit mu rozumná oprávnění už ne.

Co studie o AI agentech ve firmách zjistila

Opsin Labs analyzoval reálná produkční prostředí firem z osmi odvětví v období od března 2025 do června 2026. Nejde tedy o dotazník, ale o pohled do skutečně běžících systémů. Klíčová čísla:

• Jeden agent na jednoho zaměstnance. Tolik jich firmy v průměru mají — spuštěných nebo rozepsaných v konceptu.
• 14× více interakcí zaměstnanců s AI agenty mezi lednem a červnem 2026. Za půl roku.
• 67 % agentů staví lidé bez technického vzdělání — obchod, zákaznická podpora, provoz.
• 60 % agentů, u kterých někdo měnil výchozí nastavení, dostalo režim „allow-all“ místo práv omezených na konkrétní úkol.
• 60 % agentů mělo nakonfigurované schopnosti, které přesahovaly jejich původní deklarovaný účel.

Opsin v reportu popisuje čtyři nejčastější cesty útoku, na které narazil. Všechny čtyři vedou ke stejnému kořeni: agent dostal víc přístupů, než jeho úkol vyžaduje, a mezi jeho rozhodnutím a akcí nestojí žádný člověk.

„Tvorba agentů předběhla bezpečnostní kontrolu už před měsíci a většina rizika se dá vystopovat zpátky k rozhodnutím o oprávněních, ke kterým se nikdo nevrátil. Hledat rizikové chování až poté, co je agent nasazený, je pozdě,“ říká James Pham, CEO a spoluzakladatel Opsinu.

Proč to vzniká: agenty staví lidé mimo IT

Ten údaj o 67 % je jádro problému. Klasický firemní software prochází nákupem, bezpečnostním review a nastavením rolí. AI agent v Copilot Studiu, Agentforce nebo n8n vznikne za odpoledne — a postaví ho člověk z obchodu, který chce jen automaticky odpovídat na poptávky.

Ten člověk není nedbalý. Jen před sebou vidí přepínač „dej agentovi přístup ke CRM“ a nemá důvod tušit, že tím agentovi otevřel i cizí obchodní případy, mzdové podklady ve stejném prostoru nebo možnost odesílat e-maily jménem firmy. Provisioning — tedy disciplína přidělovat jen ta práva, která jsou potřeba — je bezpečnostní řemeslo, které se nikdo z obchodu učit nemá.

Jak se přemrštěná oprávnění zneužívají v praxi

Že to není teorie, ukázal v dubnu 2026 výzkum firmy Capsule Security, o kterém psal server Dark Reading. Šlo o dvě zranitelnosti typu prompt injection u dvou největších dodavatelů na trhu:

• PipeLeak (Salesforce Agentforce). Útočník vložil pokyn do veřejného poptávkového formuláře na webu. Agent ho vyhodnotil jako důvěryhodnou instrukci od svého provozovatele, ne jako text od cizího člověka — a poslal seznam kontaktů z CRM na adresu útočníka. Žádný exploit, žádný kód. Jedna věta ve formuláři.
• ShareLeak (Microsoft Copilot Studio, CVE-2026-21520). Zranitelnost s hodnocením závažnosti 7,5 podle CVSS. Vstup do formuláře v SharePointu spustil napojeného Copilota, který zákaznická data odeslal na e-mail útočníka. Data odtekla i ve chvíli, kdy bezpečnostní mechanismy útok označily.

Obě chyby jsou dnes opravené. Princip ale zůstává. Naor Paz z Capsule Security pro Dark Reading popsal takzvanou „lethal trifecta“ — smrtící trojici, která z agenta dělá díru v bezpečnosti: agent má přístup k citlivým datům, zároveň zpracovává obsah z nedůvěryhodných zdrojů a zároveň umí komunikovat ven. Jakmile se sejdou všechny tři, útok je otázkou formulace, ne technické dovednosti.

Firmy to samy vědí — a stejně to neřeší

Průzkum State of AI Agent Identity Security od společnosti Akeyless a MRA Research mezi 400 IT a bezpečnostními manažery z počátku roku 2026 ukazuje stejný obrázek z druhé strany:

• 94 % organizací už AI agenty nějakým způsobem používá.
• Více než osm z deseti uvádí, že jejich agenti mají přístup k citlivým datům.
• Přes dvě třetiny mají podezření, že se agent dostal k datům mimo svůj určený rozsah.
• Více než šest z deseti už muselo agentovi rušit nebo měnit přihlašovací údaje kvůli podezření na únik.
• Jen 7 % věří, že jejich současné kontroly by zabránily kompromitovanému agentovi jednat škodlivě.
• Odhalení kompromitovaného agenta trvá v průměru 14 hodin, jeho zastavení a náprava pak téměř týden.

Co z toho plyne pro české firmy

Česká firma o padesáti lidech nemá bezpečnostní tým ani rozpočet na governance platformu. Má ale stejný problém v menším měřítku — a dvě věci, které pro ni platí bez ohledu na velikost.

GDPR. Když agent sáhne na osobní údaje zákazníků nebo zaměstnanců, jde o zpracování osobních údajů se vším všudy. Zásada minimalizace údajů (čl. 5 odst. 1 písm. c GDPR) říká, že zpracovávat se mají jen data nezbytná pro daný účel. Agent v režimu „allow-all“ je s tímhle principem v přímém rozporu — a odpovědnost nese firma, ne dodavatel nástroje. Podrobněji jsme to rozebrali v článku Jak bezpečně používat AI ve firmě.

Odpovědnost za akci. Agent, který umí odeslat e-mail, vystavit fakturu nebo změnit záznam v systému, dělá právně závazné kroky jménem firmy. „To udělala AI“ není obhajoba vůči zákazníkovi ani vůči úřadu.

Dobrá zpráva: většina rizika se dá odstranit nastavením, ne nákupem dalšího nástroje. Pokud si nejste jistí, kolik agentů u vás vlastně běží a co všechno smějí, projdeme to s vámi krok za krokem — AI poradenství od Praxia začíná nezávaznou konzultací zdarma a nezávislým pohledem bez vazby na konkrétního dodavatele. Řekneme vám i to, co slyšet nechcete.

Pět kroků, které zvládnete tento týden

1. Udělejte si soupis. Zeptejte se napříč odděleními, kdo si postavil jakého agenta a v jakém nástroji. Většina firem je překvapená, kolik jich najde.
2. U každého agenta odpovězte na jednu otázku: ke kterým konkrétním datům musí mít přístup, aby splnil svůj úkol? Všechno ostatní odeberte.
3. Oddělte nedůvěryhodný vstup od instrukcí. Cokoli přišlo z webového formuláře, e-mailu nebo od zákazníka je data, ne příkaz. Nástroje na to mají nastavení — najděte ho a zapněte.
4. Zaveďte lidský checkpoint u akcí ven. Odeslání e-mailu, platba, změna záznamu v CRM. Zpomalí to agenta o minutu a odstraní většinu scénářů úniku.
5. Logujte, co agent dělá. Bez záznamu přístupů a akcí nemáte jak zjistit, že se něco stalo — natož co přesně.

Kde s automatizací začít a co má vůbec smysl svěřit agentovi, si můžete zmapovat v našem AI kompasu, konkrétní příklady nasazení najdete v sekci AI v praxi.

Časté otázky

Co znamená, že je AI agent „over-permissioned“?

Že má přidělená práva, která ke svému úkolu nepotřebuje. Typicky přístup ke všem záznamům v systému místo k té části, se kterou má pracovat. Podle studie Opsin Labs se to týká 60 % agentů, u kterých někdo měnil výchozí nastavení. Riziko není v tom, že by agent práva zneužil sám od sebe — ale v tom, že když ho někdo zvenčí přesměruje, může použít všechno, co má k dispozici.

Je bezpečnější agenty ve firmě zakázat?

Zpravidla ne. Zákaz obvykle vede k tomu, že si lidé postaví agenty mimo firemní systémy — na osobních účtech, mimo dohled i mimo zálohy. Účinnější je dát k dispozici schválené nástroje s rozumně nastavenými právy a jednoduché pravidlo, kdo agenta smí vytvořit a kdo mu schvaluje přístupy.

Jak poznám, že je náš agent zabezpečený?

Projděte „smrtící trojici“: má agent přístup k citlivým datům, zpracovává obsah z nedůvěryhodných zdrojů a umí komunikovat ven? Pokud platí všechny tři body zároveň, je zranitelný. Odstranění kterékoli z nich riziko výrazně snižuje — nejčastěji se to řeší lidským schválením u akcí směřujících mimo firmu.

Zdroje: Opsin Labs — State of Agentic Adoption 2026 (Business Wire, 5. 8. 2026), Dark Reading — Microsoft, Salesforce Patch AI Agent Data Leak Flaws, Akeyless — 2026 State of AI Agent Identity Security.