Państwo płaci za szukanie luk w e-administracji. Milion złotych od NASK i CERT Polska
Polska administracja publiczna wdraża innowacyjny mechanizm wzmacniania odporności cyfrowej państwa, angażując społeczeństwo i środowisko niezależnych badaczy bezpieczeństwa. Wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował we wtorek o uruchomieniu państwowego programu typu bug bounty, w ramach którego etyczni hakerzy mogą legalnie zgłaszać wykryte luki bezpieczeństwa (podatności) w systemach teleinformatycznych sektora publicznego.
Na wypłaty gratyfikacji finansowych Naukowa i Akademicka Sieć Komputerowa – Państwowy Instytut Badawczy (NASK) przeznaczyła z własnego budżetu milion złotych. Wykrycie i odpowiedzialne zgłoszenie nieprawidłowości pozwoli na ustrzeżenie państwowych zasobów przed cyberprzestępcami.
Po weryfikacji zgłoszenia przez ekspertów CERT Polska i wdrożeniu poprawek bezpieczeństwa, badacze mogą otrzymać jednorazową nagrodę w wysokości od kilkuset złotych do maksymalnie 20 tys. zł, w zależności od stopnia krytyczności znalezionego błędu.
Autorska platforma bez pośredników i pierwsze konkursy
Inicjatywa wyróżnia się na tle rozwiązań międzynarodowych pod względem technologicznym i organizacyjnym. Szef CERT Polska Marcin Dudek podkreślił, że to jedno z pierwszych przedsięwzięć na świecie, w którym obsługa programu bug bounty dla sektora publicznego odbywa się na całkowicie niezależnej, krajowej platformie teleinformatycznej (hack.cert.pl), bez angażowania komercyjnych pośredników zewnętrznych.
Procedura udziału w programie wymaga zalogowania się na stronie hack.cert.pl za pośrednictwem Profilu Zaufanego. Uczestnikami mogą być wyłącznie osoby pełnoletnie, posiadające numer PESEL oraz polską rezydencję podatkową.
W fazie pilotażowej uruchomiono pięć konkursów testowych, obejmujących kluczowe zasoby cyfrowe państwa oraz wybrane podmioty lokalne:
- portal główny administracji rządowej (gov.pl),
- rządowy komunikator szyfrowany (mSzyfr),
- cyfrowe serwisy urzędowe gminy Władysławowo,
- infrastrukturę teleinformatyczną CERT Polska,
- infrastrukturę sieciową NASK.
Dyrektor NASK PIB Radosław Nielek wyjaśnił, że po zakończeniu etapu pilotażowego i ewaluacji modelu organizacyjnego program będzie stopniowo rozszerzany na kolejne jednostki administracji rządowej oraz samorządowej.
Eksplozja podatności i pierwszy autonomiczny atak agentów AI w Polsce
Wdrożenie programu wpisuje się w odpowiedź na drastycznie rosnącą falę zagrożeń cyfrowych oraz automatyzację narzędzi po stronie grup przestępczych. Z danych CERT Polska wynika, że w ciągu ostatnich trzech lat liczba podatności obsługiwanych przez tę jednostkę wzrosła o ponad 300 procent. O ile w całym 2025 roku odnotowano 1 732 incydenty związane bezpośrednio z lukami w publicznie dostępnych usługach teleinformatycznych w Polsce, o tyle w wymiarze globalnym tylko od stycznia do września 2026 roku wykryto już około 105 tysięcy nowych podatności (wobec blisko 71 tysięcy w całym roku ubiegłym).
Szef CERT Polska zwrócił uwagę na jakościowy zwrot w taktykach cyberprzestępczych, wynikający ze skokowego rozwoju sztucznej inteligencji. Po raz pierwszy publicznie ujawniono przypadek ataku na polską infrastrukturę przeprowadzony w sposób całkowicie bezobsługowy:
“Pierwszy raz mówię to publicznie: mieliśmy do czynienia z takim atakiem, gdzie nasza analiza wykazała, że cały atak był prowadzony przez agentów AI, czyli całkowicie autonomicznie” – przekazał Marcin Dudek.
Wykorzystanie sztucznej inteligencji przez cyberprzestępców do automatycznego skanowania sieci i natychmiastowej eksploatacji wykrytych błędów wymusza na państwie skrócenie czasu reakcji. Mechanizm bug bounty ma umożliwić identyfikację i łatanie luk systemowych, zanim zostaną one odnalezione i wykorzystane przez autonomiczne algorytmy bojowe lub zagraniczne grupy hakerskie.
