MCP i agenty AI — kto czyta Twoje konto reklamowe

Jakub Pytlik | 20 marca 2026 | 9 min czytania

Co to jest MCP (po ludzku)

MCP — Model Context Protocol — to po prostu wspólny język, dzięki któremu sztuczna inteligencja dogaduje się z Twoimi narzędziami. Kiedy chcesz, żeby ChatGPT albo Claude zajrzał na Twoje konto Google Ads — sprawdził wyniki, podpowiedział zmianę, pobrał dane — musi mieć jakiś sposób, żeby się z tym kontem połączyć. MCP jest właśnie takim sposobem. Standard ogłosiła pod koniec 2024 roku firma Anthropic (twórcy Claude) i szybko podchwycili go wszyscy duzi gracze.

Google udostępniło własną wtyczkę do tego — na razie tylko do odczytu. Czyli AI może przeczytać statystyki konta, ale nie zmieni budżetów, kampanii ani stawek. To dobra wiadomość. Tyle że słowo „na razie" jest tu kluczowe — pełny dostęp, z prawem do wprowadzania zmian, Google ma już w planach.

Mówiąc krótko: powstaje właśnie warstwa, w której Twoje konto reklamowe staje się „kolejnym narzędziem", które AI potrafi obsłużyć samodzielnie. Pytanie nie brzmi już „czy to się stanie", tylko „kiedy i na jakich zasadach Ty się na to zgodzisz".

Kto już tego używa i jak szybko to rośnie

Za MCP stanęli już wszyscy najwięksi — Amazon, Microsoft, Google, OpenAI. To nie jest więc ciekawostka dla programistów, tylko fundament, na którym buduje się nowa generacja narzędzi marketingowych. Takich „agentów AI" dorabia sobie dziś niemal każda popularna platforma marketingowa — to nie odległa przyszłość, to dzieje się teraz.

W praktyce wygląda to tak: prędzej czy później Twój marketingowiec, agencja albo dostawca jakiegoś narzędzia powie Ci „podłączmy do konta agenta AI — będzie analizował dane, podpowiadał optymalizacje, a może nawet sam wprowadzał zmiany". Pytanie nie brzmi, czy ktoś Ci to zaproponuje. Brzmi: na jakich warunkach się zgodzisz.

5 głównych zagrożeń

1. Kradzież kluczy dostępowych

Żeby agent AI mógł rozmawiać z Twoim kontem bez logowania za każdym razem, dostaje klucz dostępowy — coś w rodzaju przepustki wystawionej dla aplikacji. Ten klucz musi gdzieś leżeć: w pamięci narzędzia, w pliku konfiguracyjnym, czasem w podręcznej kopii. Każde z tych miejsc to potencjalny punkt wycieku. A jeśli ktoś przejmie taką przepustkę, dostaje od razu wszystko, co do niej podpiąłeś — Google Ads, Analytics, Merchant Center, bazę klientów, czasem nawet pocztę i komunikator.

2. Atak przez ukrytą instrukcję

Napastnik chowa polecenie w danych, które agent i tak czyta w ramach swojej pracy — w adresie strony, mailu, dokumencie, pliku. Agent traktuje tę ukrytą instrukcję jak normalne zadanie i ją wykonuje: wykrada dane, zmienia kampanie, zdradza hasło. Bez jednego Twojego kliknięcia. Groźniejsze jest to, że instrukcję może podłożyć ktoś z zewnątrz — wystarczy, że Twój agent przetworzy taki plik albo wiadomość. Zwykły antywirus czy filtr antyspamowy tego nie wyłapie, bo wszystko dzieje się „w środku" normalnej pracy agenta z danymi.

3. Fałszywy serwer udający prawdziwe narzędzie

Napastnik stawia własny serwer, który podszywa się pod znane narzędzie („lepszy analizator Google Ads"). Twój agent łączy się z nim w dobrej wierze, a serwer po cichu podkrada dane albo podmienia odpowiedzi. Branża wciąż nie ma dobrego sposobu, żeby sprawdzić „kto jest kim" w tym nowym świecie — w 2026 roku to nadal trochę Dziki Zachód.

4. Porzucone, niesprawdzone integracje

Każde nowe narzędzie podpięte do agenta to kolejne drzwi do Twoich danych — i kolejne drzwi, przez które ktoś może wejść. Typowy scenariusz: instalujesz coś poleconego przez agencję, działa, przestajesz o tym myśleć. Rok później twórca przestaje wydawać poprawki, otwiera się dziura w zabezpieczeniach — i nikt tego nie zauważa, dopóki coś się nie wydarzy.

5. Za szerokie uprawnienia

Większość integracji prosi od razu o pełny dostęp administratora — „bo tak wygodniej". Zasada „dawaj tyle dostępu, ile naprawdę trzeba" jest nagminnie ignorowana. Efekt: narzędzie, które miało tylko czytać raporty, w razie włamania może zmieniać budżety, podmieniać konwersje, wyłączać reklamy. Łatwiej zatwierdzić dostęp administratora niż ustawić dostęp tylko do odczytu — i właśnie dlatego skala możliwych szkód jest tak duża.

Co już się wydarzyło naprawdę

To nie są teoretyczne straszaki. Każda z poniższych historii wydarzyła się w ostatnich kilkunastu miesiącach — zostawiłem konkrety, wyciąłem tylko żargon.

Wyciek, który objął ponad 700 firm naraz

Latem 2025 roku napastnicy wykradli klucze dostępowe z jednej popularnej platformy do automatyzacji marketingu — takiej, z której korzystają tysiące firm — podpiętej do systemu obsługi klientów. Nic egzotycznego: zwykła integracja „narzędzie zewnętrzne ↔ baza klientów", jaką ma u siebie niejedna agencja. Efekt: jednym ruchem dostali się do danych ponad 700 firm korzystających z tej integracji. Wniosek jest prosty: jeśli przewróci się Twój dostawca, przewracasz się razem z nim. Twoje bezpieczeństwo jest tylko tak mocne, jak najsłabsze ogniwo w łańcuchu podłączonych narzędzi.

Kradzież danych bez jednego kliknięcia

Jest cała grupa ataków, w których wystarczy, że Twój agent przeczyta spreparowany mail, plik albo link. Ukryta w nich instrukcja każe mu po cichu wysłać Twoje dane do napastnika — Ty nic nie klikasz i niczego nie podejrzewasz. Klasyczna obrona (filtry poczty, kod z SMS-a, antywirus) tego nie widzi, bo z jej punktu widzenia agent po prostu „robi swoją robotę". To realne zagrożenie wszędzie tam, gdzie AI samodzielnie przegląda Twoją skrzynkę albo dokumenty.

Podszywanie się pod zaufaną platformę

Na początku 2026 roku znana firma zajmująca się bezpieczeństwem pokazała, jak zamienić legalną, znaną platformę dużego dostawcy w narzędzie do wyłudzania dostępu. Atak omija nawet logowanie dwuetapowe, bo działa przez infrastrukturę zaufanej firmy — wszystko wygląda jak prawdziwe. Na razie to demonstracja w warunkach badawczych, a nie masowa kampania, ale technika jest realna i działa.

Do tego dochodzi rzecz, która powinna dać do myślenia: wiosną 2026 sam twórca standardu MCP odmówił załatania dziury we własnym oprogramowaniu, która pozwala przejąć cudzy serwer — uznał ją za „normalne zachowanie". W praktyce znaczy to, że narzędzia oparte na tym standardzie dziedziczą tę dziurę, jeśli same się nie zabezpieczą.

7 pytań, zanim się zgodzisz

Zanim podłączysz agenta AI do konta Google Ads (albo do czegokolwiek cennego), zadaj firmie, która to robi, siedem pytań. Odpowiedzi powiedzą Ci więcej niż cała prezentacja sprzedażowa.

Jeśli choć 2 z tych pytań zostają bez konkretnej odpowiedzi — nie podłączaj. To nie przesada — to dokładnie ta sama ostrożność, której od dawna oczekujesz od banku, gdy powierzasz mu pieniądze.

Czy w ogóle wpuszczać agenta na konto

Kilka pytań, które zadaję sobie razem z klientem, zanim cokolwiek podłączymy:

1. Czy ja w ogóle potrzebuję agenta na koncie? Może wystarczy pobrać dane do pliku i wkleić je do ChatGPT do analizy — bez łączenia z kontem? Jeśli „tak, wystarczy" — to wystarczy.
2. Jaki konkretnie dostęp? Tylko do odczytu, do raportu — w porządku. Prawo do zmiany budżetów — stop. Prawo do zmiany reklam — tylko warunkowo i najpierw na koncie testowym.
3. Czy mam plan na wycofanie się? Jeśli agent się zawiesi albo zacznie robić dziwne rzeczy — jak go wyłączę w 30 sekund? Jak cofnę to, co zdążył nabroić?
4. Czy ufam tej konkretnej firmie? Nie ufam „agentom AI" jako pojęciu. Ufam (albo nie) konkretnej firmie — jej zespołowi, certyfikatom, temu, czy już kiedyś czegoś nie zawaliła.

Moja rada: 9 na 10 firm spokojnie obejdzie się bez podłączonego agenta. Pobranie danych i analiza w ChatGPT — bez łączenia z kontem — załatwia większość potrzeb i nie naraża Cię na utratę kluczy dostępowych. Dla tej jednej dziesiątej zostaje jeszcze 7 pytań z tabeli powyżej. Bez kompromisów.

O źródłach: Artykuł oparty na Hacker News — luka w standardzie MCP od Anthropic, Practical DevSecOps — MCP Security Guide 2026, Checkmarx Zero — 11 MCP risks, Bessemer — Securing AI agents 2026, Google Cloud — MCP support announcement, BlackFog — 10 data exfil risks, Kitecyber — AI agent security 2026 + obserwacjach z kont klientów JP Ads. Liczby z mojej praktyki oznaczam jako „z mojego doświadczenia".