Antywirus w 2026 r. nie ma nic wspólnego z antywirusem sprzed 10 lat. Eksperci mówią, jak działa współczesna ochrona

Starsi czytelnicy Spider’s Web pamiętają czasy, kiedy wejście do Internetu bez dodatkowego programu antywirusowego było jak wyrok śmierci dla komputera. Zagrożenia wlewały się jak deszcz przez otwarte okno. Solidna zapora (firewall) i dodatkowy antywirus były OBOWIĄZKOWE. Tak samo jak cykliczne skanowanie PC, najlepiej raz w tygodniu.

Chociaż cyberbezpieczeństwo jest dziś ważniejsze niż kiedykolwiek, zmienił się sposób obrony. Antywirusy 2026 roku drastycznie różnią się od tych sprzed 10-20 lat. Zmieniły się także nawyki użytkowników. Nie robimy cyklicznych skanów dysku, nie wymieniamy się informacjami o popularnych wirusach, nie kłócimy się na forach o to, który producent zabezpieczeń jest najlepszy.

Co właściwie stoi za tą zmianą? I co stało się z kultowym „baza sygnatur wirusów została pomyślnie zaktualizowana”? Aby zrozumieć, jak ewoluowały antywirusy, zadałem pytania ekspertom. Moimi rozmówcami są Kamil Sadkowski oraz Beniamin Szczepankiewicz - analitycy bezpieczeństwa z odpowiednio 15-letnim i 17-letnim doświadczeniem. Śmiało można więc obu uznać za weteranów sektora cybersecurity.

Dawniej instalacja programu antywirusowego była jednym z pierwszych kroków podczas konfiguracji nowego laptopa czy komputera stacjonarnego. Teraz wiele osób pomija ten krok, w całości zdając się na rozwiązania systemowe. Biorąc tę zmianę zachowań za punkt wyjścia, zagrałem na sentymentalnej karcie:

Szymon Radzewicz, Spider’s Web: Pamiętam czasy Win98 i WinXP. Cotygodniowe skanowania PC i masę niepożądanego oprogramowania. Posiadanie PC bez zewnętrznego antywirusa było wtedy jak szaleństwo. Jak jest teraz? Typowy użytkownik może machnąć na antywirusa ręką, opierając się na zaporach systemowych?

Kamil Sadkowski, ESET: Niektórym użytkownikom systemu operacyjnego Windows 11 wystarczy antywirus wbudowany w system, podobnie jak niektórym użytkownikom tego systemu wystarczy przeglądarka Edge. Jeśli jednak użytkownikowi zależy np. na małej liczbie fałszywych alarmów (false positives) i niskim zużyciu zasobów, to może rozważyć inne oprogramowanie antywirusowe.

Beniamin Szczepankiewicz, ESET: Cyberprzestrzeń się zmieniła. Coś, co kiedyś było zabawą w pisanie wirusów, dziś jest pełnoprawnym modelem biznesowym stosowanym przez cyberprzestępców nastawionych na zysk i korzyści – pytanie, które musi sobie zadać użytkownik, to czy chce skorzystać z usług doświadczonych obrońców.

Sz.R.: Dawniej użytkownicy PC znali nazwy wirusów. Istniały nawet listy gończe, w postaci komunikatów o nowej bazie wirusów. Czemu już tego nie ma? Co się stało z kultowym dymkiem powiadomienia?

K.S.: Bazy wirusów w dalszym ciągu są aktualizowane. Natomiast dużo częściej i dużo szybciej niż dawniej, dlatego oprogramowanie antywirusowe nie informuje już o tym za każdym razem. W praktyce aktualizacje zachodzą niemal w czasie rzeczywistym.

Zmiana ta wynika przede wszystkim z transformacji samej cyberprzestrzeni oraz sposobu, w jaki korzystamy z technologii i urządzeń. Dawniej rozprzestrzenianie się infekcji miało często bardziej „fizyczny” charakter i było relatywnie wolniejsze, co dawało producentom oprogramowania więcej czasu na reakcję.

B.S.: Dobrym przykładem są dawne infekcje robakami komputerowymi przenoszonymi za pomocą nośników USB. Był to swego czasu poważny problem – studenci przychodzili wydrukować dokument w punkcie ksero, a wracali z zainfekowanym pendrive’em. Następnie podłączali go do kolejnych komputerów, co prowadziło do dalszego rozprzestrzeniania się zagrożenia.

Dziś ten model praktycznie zanikł. Zagrożenia rozprzestrzeniają się głównie przez internet i działają znacznie szybciej, często automatycznie dostosowując się do środowiska ofiary. W efekcie klasyczne „bazy wirusów” nadal istnieją, ale stanowią tylko jeden z elementów większego, dynamicznego systemu ochrony, który musi reagować natychmiast, a nie dopiero po ręcznej aktualizacji.

Sz. R.: Mało który program zmienił się na przestrzeni lat w tak znaczący sposób jak antywirus. Gdybyśmy porównali dzisiejsze oprogramowanie antywirusowe z tym sprzed dekady, jakie wskazalibyście największe różnice?

K.S.: Do największych różnic zaliczyłbym zaawansowaną analizę behawioralną, metody sztucznej inteligencji oraz dedykowaną ochronę przed oprogramowaniem ransomware. Antywirusy ewoluowały – i nadal ewoluują – równolegle ze światem złośliwego oprogramowania.

B.S.: Jeszcze kilkanaście lat temu rozwiązania te opierały się głównie na klasycznych sygnaturach plikowych, czyli statycznych wzorcach pozwalających rozpoznawać znane zagrożenia. Z czasem takie podejście przestało wystarczać. W pewnym momencie przestaliśmy patrzeć wyłącznie na to, „jak wygląda plik”, a zaczęliśmy analizować to, „co robi, do czego jest zdolny i skąd pochodzi”.

Dziś tak zwany antywirus to w rzeczywistości wielowarstwowy system ochrony, w którym poszczególne komponenty wzajemnie się uzupełniają – a jest ich naprawdę sporo. Informacje napływają z wielu źródeł i są analizowane w celu podjęcia ostatecznej decyzji, czy dany obiekt stanowi zagrożenie dla użytkownika czy nie.

Zastanawiałem się, kiedy w naszej rozmowie pojawią się te dwie literki, napędzające współczesny świat technologii. Skoro eksperci ESET wywołali temat sztucznej inteligencji, postanowiłem się w niego mocno wgryźć. Tyle tylko, że w roli sceptyka oraz zdystansowanego użytkownika. Mówimy przecież o bezpieczeństwie, z kolei AI daleko do nieomylności.

Sz.R.: Skąd model AI mający chronić przed niechcianym oprogramowaniem i oszustwami wie, co jest zachowaniem „złym”, a co „dobrym”? Skąd wie, że aktywność programu to atak, a nie skomplikowana aktualizacja Windows?

K.S.: Model AI rozpoznaje niechciane oprogramowanie i oszustwa w oparciu o dane, na których został wytrenowany. Może popełniać błędy i potencjalnie rozpoznać aktualizację oprogramowania jako szkodliwe działanie. ESET wykorzystuje metody sztucznej inteligencji w połączeniu z innymi technologiami, takimi jak system reputacji w chmurze, aby eliminować tego typu niepożądane sytuacje.

Sz.R.: Ataki typu zero-day, czyli wykorzystujące nikomu nieznane podatności, to zmora bezpieczeństwa. W jaki sposób AI ma zatrzymać zagrożenie, którego nikt wcześniej nie widział? Wszak AI to powielacz oraz multiplikator. Nie jest w stanie stworzyć i zrozumieć czegoś nowego.

K.S.: To prawda, ataki typu zero-day wykorzystują nieznane dotychczas podatności. Co nie znaczy, że klasa podatności i metody ataków są w 100% nowatorskie. W większości przypadków luk zero-day typ podatności i sposoby jej wykorzystania są dobrze znane analitykom cyberbezpieczeństwa, a sztuczna inteligencja potrafi je skutecznie rozpoznać.

B.S.: Tutaj również wchodzi do gry wielowarstwowość oprogramowania antywirusowego (pakietu bezpieczeństwa). Często atak zero-day daje możliwość wykonania kodu na komputerze ofiary. Pierwsza faza ataku może się udać, ale dalsze etapy infekcji bardzo często są blokowane, choćby poprzez zablokowanie komunikacji z atakującym lub wykrycie anomalii w systemie czy zablokowanie złośliwego kodu w pamięci.

Sz.R.: Hakerzy też mają dostęp do modeli językowych. Jak wygląda cyfrowy pojedynek na froncie, gdzie AI po stronie ESET musi przechytrzyć złośliwe AI piszące w locie kod złośliwego oprogramowania?

B.S.: Obecny cyfrowy pojedynek można opisać jako nieustanny wyścig zbrojeń AI vs AI, jako walkę między generatywnym, adaptacyjnym atakującym a behawioralnym, predykcyjnym obrońcą.

Sz.R.: Czy antywirusy AI mogą działać bez chmury, jako lokalne modele? Może być tak, że np. osoby z droższymi kartami graficznymi zapewnią sobie szybszą, skuteczniejszą ochronę?

K.S.: Obecnie programy antywirusowe nie wykorzystują lokalnych modeli LLM do wykrywania zagrożeń z uwagi na zasobożerność takich modeli oraz długi czas reakcji. Gdy mówimy o AI w oprogramowaniu antywirusowym, to myślimy o AI po stronie dostawcy oprogramowania. Program antywirusowy działający lokalnie na konkretnej maszynie użytkownika korzysta z efektów pracy AI uzyskanych po stronie dostawcy oprogramowania. Aktualnie rozwiązania oparte o lokalne modele nie istnieją i trudno przewidzieć, czy będą istnieć w przyszłości.

Sz.R.: W laboratorium ESET programiści analizują jeszcze pojedyncze pliki ręcznie, czy oddaliście tę robotę sztucznej inteligencji? Gdzie w 2026 roku kończy się praca algorytmu, a zaczyna intuicja ludzkiego eksperta?

K.S.: W laboratorium ESET metody sztucznej inteligencji oraz automatyczna analiza i detekcja zagrożeń wykorzystywane były wiele lat przed pojawieniem się ChatGPT. Rozwiązują one pewne klasy problemów, natomiast te najbardziej złożone problemy nadal pozostają do rozwiązania przez ludzi. Co więcej, metody sztucznej inteligencji i automatyzacja – podobnie jak człowiek – popełniają niekiedy błędy, które trzeba zaadresować.

Skomplikowane oprogramowanie nadal analizowane jest przez ludzi, z pomocą sztucznej inteligencji tam, gdzie to możliwe. Na ten moment wydaje się, że AI przejmie te łatwiejsze powtarzalne obowiązki, natomiast te bardziej złożone nadal będą wykonywane przez ludzi, gdzie AI pełnić będzie rolę pomocnika.

W ciągu zaledwie dekady sposób, w jaki działa antywirus zmienił się diametralnie. Tak samo zmieniło się podejście do programów antywirusowych u użytkowników. Myśląc o tym, w naturalny sposób pojawia się pokusa wróżenia z fusów, co przyniesie kolejne 10 lat. Postanowiłem zapytać o to ekspertów.

Sz.R.: Jakie będą największe wyzwania dla cyberbezpieczeństwa w następnych latach? Co będzie największym zagrożeniem dla instytucji publicznych, firm oraz indywidualnych użytkowników?

K.S.: Zagrożeniem dla instytucji publicznych, firm oraz indywidualnych użytkowników będą coraz bardziej dopracowane z wykorzystaniem sztucznej inteligencji oszustwa i ataki phishingowe. Zagrożeniem dla instytucji publicznych i firm mogą okazać się wdrożenia AI w tych instytucjach. Należy pamiętać, że wdrożenie technologii AI może wprowadzać szereg nowych luk (takich jak prompt injection), które należy odpowiednio wcześnie zaadresować, zanim technologia zostanie udostępniona szerszemu gronu np. klientów.

B.S.: Zagrożenie stanowić będą również ataki z wykorzystaniem łańcucha dostaw, a więc np. dodawanie złośliwych funkcjonalności przez atakujących w aktualizacjach oprogramowania, z którego korzystają firmy i instytucje. 

Ostatnimi czasy obserwujemy wysyp tego typu ataków — w publicznych repozytoriach zainfekowano kilkadziesiąt znanych bibliotek, z których korzysta ogromna liczba programistów. Jest to szczególnie niebezpieczne, ponieważ infekcja może rozprzestrzeniać się w bardzo szybkim tempie. Wyzwaniem będzie również ochrona przed coraz bardziej zautomatyzowanymi atakami.

Sz.R.: Pytanie nieco bardziej meta: nowoczesny antywirus chroni wyłącznie system operacyjny, czy może ochrania już bezpośrednio psychikę użytkownika przed manipulacją?

K.S.: Oprogramowanie antywirusowe wykrywa ataki wykorzystujące socjotechnikę takie jak phishingi i oszustwa. Odsiewa wiadomości e-mail podszywające się pod firmy, instytucje, znane osoby. AI daje cyberprzestępcom więcej możliwości skutecznych dopracowanych ataków, natomiast oprogramowanie antywirusowe chroniło przed tego typu socjotechnicznymi atakami na długo przed pojawieniem się ChatGPT.

B.S.: Dobrym kierunkiem, który widzimy np. przy filmach wideo, jest oznaczanie przez platformy materiałów, gdzie użyte było AI. Dzięki temu użytkownicy są coraz bardziej świadomi sytuacji.

Dziękuję za rozmowę!