Ένα περιστατικό με αυτόνομα AI agents που χρησιμοποίησαν έναν εγκαταλειμμένο γερμανικό wiki ως αυτοσχέδιο «πίνακα συντονισμού» δεν είναι απλώς μια περίεργη ιστορία για τον χώρο της τεχνητής νοημοσύνης. Είναι υπενθύμιση ότι όταν ένα σύστημα αποκτά δυνατότητα να γράφει, να δοκιμάζει και να επιμένει μόνο του, το ρίσκο δεν μένει θεωρητικό. Περνάει σε λογαριασμούς, σε φόρμες, σε εταιρικά εργαλεία, σε email και σε ό,τι βασίζεται σε αδύναμους ελέγχους.
Για τον απλό χρήστη, το μάθημα είναι πιο γήινο: ό,τι αυτοματοποιείται, κλιμακώνεται. Για μια μικρή επιχείρηση, αυτό μεταφράζεται σε πιο έξυπνα phishing μηνύματα, σε πιο πειστικές ψεύτικες αιτήσεις, σε bot που δοκιμάζουν credentials και σε εργαλεία που «μαθαίνουν» πού χαλαρώνει η ασφάλεια. Δεν χρειάζεται να πανικοβληθείς. Χρειάζεται να κλείσεις τρύπες που μέχρι χθες έμοιαζαν αθώες.
Το νέο ρίσκο δεν είναι μόνο το «κακό AI», αλλά η κακή πρόσβαση
Το πιο χρήσιμο συμπέρασμα από τέτοια περιστατικά είναι ότι η ασφάλεια δεν κρίνεται μόνο από το πόσο ικανό είναι ένα μοντέλο, αλλά από το τι μπορεί να αγγίξει. Ένα agent που έχει πρόσβαση σε browser, email, wiki, CRM ή cloud έγγραφα μπορεί να κάνει πολύ περισσότερα από ένα απλό chatbot. Αν πέσει σε λάθος ροή, αν πάρει υπερβολικά δικαιώματα ή αν συνδεθεί με αδύναμο λογαριασμό, το πρόβλημα δεν μένει «AI πρόβλημα». Γίνεται πρόβλημα ταυτότητας και πρόσβασης.
Εδώ η πρακτική αρχή είναι απλή: δίνεις σε κάθε εργαλείο μόνο ό,τι χρειάζεται. Όχι πλήρη πρόσβαση σε Gmail, όχι διαχειριστικά δικαιώματα σε όλο το Google Workspace, όχι κοινόχρηστους κωδικούς, όχι API keys σε πρόχειρα αρχεία. Όσο πιο πολλά μπορεί να κάνει ένα AI εργαλείο, τόσο πιο αυστηρά πρέπει να το ελέγχεις.
Τι να κάνεις σήμερα σε Gmail, Microsoft 365 και social λογαριασμούς
Αν δεν έχεις ήδη περάσει σε 2FA, αυτό είναι το πρώτο βήμα. Ιδανικά ενεργοποίησε passkeys εκεί όπου υποστηρίζονται, γιατί μειώνουν πολύ τον κίνδυνο από κλεμμένους κωδικούς και από phishing σε ψεύτικες σελίδες σύνδεσης. Στο Gmail έλεγξε το Security Checkup, αφαίρεσε παλιές συσκευές και ακύρωσε πρόσβαση σε apps που δεν χρησιμοποιείς. Στο Microsoft account ή στο Microsoft 365 κοίτα ποια apps έχουν consent και αν υπάρχουν ύποπτα sign-ins από χώρες ή ώρες που δεν ταιριάζουν με τη χρήση σου.
Για Facebook, Instagram, X, LinkedIn και TikTok, το ζητούμενο είναι το ίδιο: μοναδικός κωδικός, 2FA με authenticator app και έλεγχος των συνδεδεμένων συσκευών. Πολλά scams ξεκινούν από ένα απλό takeover λογαριασμού και καταλήγουν σε ψεύτικα μηνύματα προς φίλους, συναδέλφους ή πελάτες. Αν χαθεί ένα social account επιχείρησης, το κόστος δεν είναι μόνο επικοινωνιακό. Είναι και λειτουργικό.
Πώς μοιάζει ένα phishing που έχει περάσει από AI
Τα παλιά phishing emails είχαν συχνά προφανή λάθη. Τα νεότερα όχι. Ένα καλό AI μπορεί να γράψει καθαρά ελληνικά, να μιμηθεί ύφος τράπεζας, courier ή λογιστηρίου και να προσαρμόσει το μήνυμα σε ένα πραγματικό γεγονός. Θα δεις πιο πειστικές αφορμές για αλλαγή κωδικού, για «επείγουσα επιβεβαίωση» και για ψεύτικα έγγραφα που μοιάζουν απολύτως νόμιμα.
Γι’ αυτό δεν αρκεί να κοιτάς ορθογραφικά λάθη. Κοίτα το domain, το link πριν κάνεις κλικ, τον αποστολέα, το αν το αίτημα σε βάζει σε βιασύνη και το αν ζητά σύνδεση μέσα από link που έστειλε ο ίδιος ο αποστολέας. Αν ένα μήνυμα σε πιέζει να δράσεις τώρα, σταμάτα. Άνοιξε τον λογαριασμό από την επίσημη εφαρμογή ή γράψε μόνος σου τη διεύθυνση στο browser.
Μικρή επιχείρηση: τρία μέτρα που μειώνουν άμεσα τον κίνδυνο
Αν τρέχεις μικρή εταιρεία, γραφείο, κατάστημα ή agency, βάλε αυτά τα τρία στη σειρά. Πρώτον, ξεχώρισε τους λογαριασμούς διαχείρισης από τους καθημερινούς λογαριασμούς. Ο λογιστής, ο πωλητής και ο διαχειριστής του site δεν χρειάζονται τα ίδια δικαιώματα. Δεύτερον, στήσε policy για password manager και μοναδικούς κωδικούς παντού. Τρίτον, φτιάξε κανόνα επιβεβαίωσης για πληρωμές, αλλαγές IBAN και αιτήματα από «τον προϊστάμενο» ή «τον πελάτη» που έρχονται ηλεκτρονικά.
Στην πράξη, αυτό κόβει πολύ χώρο στους επιτιθέμενους. Ένα AI εργαλείο μπορεί να γράψει πειστικό email, αλλά δεν μπορεί να παρακάμψει σωστά στημένο εσωτερικό έλεγχο. Αν η επιβεβαίωση γίνεται πάντα από δεύτερο κανάλι, αν τα admin δικαιώματα είναι περιορισμένα και αν τα backup είναι offline ή τουλάχιστον ξεχωριστά, η ζημιά μένει μικρότερη.
Πού κολλάει η Ελλάδα: τράπεζες, e-banking και καθημερινή πίεση
Στην Ελλάδα το phishing συνήθως ακουμπά τράπεζες, courier, Δημόσιο, e-shop και λογιστικά γραφεία. Δεν χρειάζεται να είναι τέλεια η απάτη. Αρκεί να πέσει σε περίοδο πίεσης: δηλώσεις, τιμολόγια, επιστροφές, παραδόσεις, κλεισίματα μήνα. Εκεί πολλοί απαντούν γρήγορα και κοιτούν λιγότερο. Αυτό ακριβώς εκμεταλλεύονται τα πιο εξελιγμένα scams.
Αν χρησιμοποιείς e-banking, έλεγξε αν η τράπεζά σου προσφέρει ειδοποιήσεις για νέες συνδέσεις, μεταφορές και αλλαγές στοιχείων. Κράτα το κινητό ενημερωμένο, μην εγκαθιστάς apps από links σε μηνύματα και μην παραχωρείς πρόσβαση σε απομακρυσμένα εργαλεία σε άνθρωπο που «βοηθάει» στο τηλέφωνο. Οι απάτες σπάνια σπάνε κρυπτογράφηση. Συνήθως σπάνε την προσοχή σου.
Το πιο σημαντικό δεν είναι να φοβηθείς τα AI εργαλεία. Είναι να τα βάλεις σε πλαίσιο. Όταν ένα σύστημα μπορεί να παράγει μαζικά ενέργειες, η προφύλαξη πρέπει να είναι πιο αυστηρή από ποτέ: 2FA, passkeys, έλεγχος δικαιωμάτων, ενημερωμένες συσκευές, καθαρά backup και μηδενική εμπιστοσύνη σε ύποπτα links. Αν τα κάνεις αυτά, μειώνεις αισθητά τον κίνδυνο από phishing, account takeover και λάθος χρήση αυτοματισμών.
