Text tohoto vydání vytvořil AI systém a ověřil druhý AI systém; za obsah odpovídá Unie malých a středních podniků ČR. Podrobnosti a zdroje jsou v patičce.
Vydání 5 · 2. listopadu 2026 · dění od 1. 10. do 2. 11. 2026 · stáhnout PDF
V říjnu se ukázalo, že umělá inteligence už pomáhá najít vážné chyby i v softwaru, na kterém stojí velká část internetu. S její pomocí výzkumníci odhalili kritické chyby v jazyce PHP, které se týkají i webů a e-shopů malých firem a živnostníků. Dál ve vydání najdete, které jazykové modely zlevnily a jaký kredit na API nově přináší firemní předplatné Claude a ChatGPT, proč ChatGPT v EU začíná do textů vkládat neviditelný vodoznak, kam se posunul český zákon o umělé inteligenci a jak v souboru robots.txt dát najevo, jestli smí AI trénovat na obsahu vašeho webu.
Hlavní téma: AI pomohla najít kritické chyby v PHP. Týkají se i malých webů a e-shopů
Umělá inteligence pomohla odhalit kritické chyby v PHP. NÚKIB doporučil aktualizovat okamžitě
Vývojáři programovacího jazyka PHP vydali 21. října 2026 opravné verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Opravují dvě kritické zranitelnosti s označením CVE-2026-109618 a CVE-2026-109619, souhrnně nazývané php2shell, které mohou útočníkovi umožnit na dálku spustit na serveru vlastní kód bez přihlášení. Podle vývojářů PHP se týkají všech instalací, které obsluhují webové požadavky, včetně PHP-FPM, Apache s modulem mod_php, php-cgi, FrankenPHP a LiteSpeed. Chyba je v samotném PHP, ne v aplikaci, která nad ním běží. Výzkumníci firmy Wiz útok bez přihlášení předvedli mimo jiné na systémech WordPress, Drupal a Joomla, na kterých běží řada firemních webů a e-shopů.
Chyby podle výzkumníků zůstávaly v kódu skryté déle než deset let a zasahují verze až po řadu PHP 5.4. Firma Wiz uvádí, že první z nich našla v srpnu se svým AI agentem Wiz Atlas a s modely Gemini 4 Argon a GPT-5.6 Sol; na objevu se podílely také firma Calif a OpenAI. Podle Wizu bylo prokázat, že chyby jdou zneužít, tak složité, že to bylo na hraně možností lidských výzkumníků, a modely AI tuto překážku výrazně snížily. Stejná technika podle firmy pomáhá i útočníkům, protože AI umí útok přizpůsobit různým verzím a nastavením serverů.
Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) ještě 21. října vyzval všechny, kdo provozují web nebo jinou službu s PHP, aby aktualizaci neodkládali, protože veřejně jsou dostupné i informace umožňující chyby zneužít. Jako možnou známku napadení úřad uvádí neobvyklé procesy spouštěné službami PHP. Úřad vlády ČR týž večer preventivně odstavil svůj web, aby mohl nasadit opravy.
Zdroje: PHP, bezpečnostní upozornění, 21. 10. · NÚKIB, 21. 10. · Wiz Research, 21. 10. · Calif, 21. 10. · PHP2Shell.com, shrnutí výzkumníků · Root.cz, 21. 10. · Lupa.cz, 21. 10. · N1 (ČTK), 22. 10. · Echo24 (ČTK), 21. 10.
Útoky už začaly. Co si ověřit u webu, e-shopu a hostingu
Americká Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) zařadila 26. října obě chyby do katalogu zranitelností, které útočníci prokazatelně zneužívají. Server Root.cz týž den informoval o potvrzeném úspěšném útoku: zachytily ho návnadové servery (honeypoty) bezpečnostního výzkumníka Adela Karimiho a mířil na Apache s modulem mod_php a PHP 8.4.26. Firma Wiz 27. října uvedla, že ve vlastních datech zatím vidí jen omezený počet pokusů o útok, a Karimiho zprávu označila za dosud nejpřesvědčivější veřejný doklad úspěšného zneužití; dodala ale, že šlo o nastavení serveru, které útočníkovi vyhovovalo.
Oficiální opravy dostaly jen podporované řady PHP. Verze 8.1 a starší už od projektu PHP aktualizace nedostávají; pro řady 7.4, 8.0 a 8.1 připravil bezpečnostní tým jen minimální úpravy zdrojového kódu pro ty, kdo si PHP sestavují sami nebo nemají dodavatele s dlouhodobou podporou. Opravy pro starší verze mohou nabízet některé linuxové distribuce a dodavatelé s dlouhodobou podporou. Dočasná nastavení riziko jen snižují, úplným řešením je podle vývojářů PHP i NÚKIB aktualizace. Řada 8.2 navíc dostává bezpečnostní opravy jen do 31. prosince 2026.
Pro správce serverů: vývojáři PHP 23. října doporučili do příští běžné opravné verze vypnout nastavení session.upload_progress.enabled kvůli další chybě CVE-2026-115560, kterou lze zneužít jen při neobvyklé kombinaci nastavení a kódu aplikace.
Zdroje: CISA, katalog zneužívaných zranitelností (data), zařazeno 26. 10. · BleepingComputer, 27. 10. · Root.cz, 26. 10. · Wiz Research, 27. 10. · PHP, upozornění 23. 10. · PHP, podporované verze · 1. Web IT, postup pro firmy, 23. 10.
Co z AI aktu se týká právě vás? Průvodce Unie to ukáže zhruba za pět minut
Unie provozuje průvodce AI Act bez paniky. Vyberete AI nástroje, které ve firmě používáte, nebo odpovíte na 12 až 13 otázek typu ano/ne (u každé je vysvětlení, proč se ptáme) a dostanete první orientaci v povinnostech s odkazy na konkrétní články nařízení. Průvodce uvádí i to, co se vás netýká. Je česky a bez registrace.
Součástí jsou editovatelné šablony ve Wordu:
- interní směrnice pro používání AI,
- registr používaných AI nástrojů,
- texty oznámení pro zákazníky a zaměstnance,
- záznam o školení.
V přehledu termínů najdete i to, co přináší 2. prosinec 2026: dva úzce vymezené zákazy týkající se vytváření nebo úpravy intimního obsahu bez souhlasu zobrazené osoby a materiálů zachycujících sexuální zneužívání dětí pomocí AI. Odpovědi zůstávají jen ve vašem prohlížeči, na servery Unie se nic neodesílá. Průvodce je informativní pomůcka, ne právní služba. Je určený firmám i OSVČ a členství v Unii nevyžaduje: ai-akt.sme-union.cz
Termín 2. 12. 2026: AI Act Service Desk Evropské komise, časový plán
Novinky ze světa
Modely v říjnu znovu zlevnily. Google ale od 1. prosince zdvojnásobí cenu modelu Gemini 4 Argon
Anthropic 7. října vydal Claude Haiku 5.5, nejlevnější model své nabídky. Za milion vstupních tokenů stojí 0,10 dolaru a za milion výstupních 0,50 dolaru, pokud zadání nepřesáhne 100 000 tokenů; u delších zadání je to 0,50 a 2,50 dolaru. Předchozí Haiku 4.5 stál 1 a 5 dolarů a podle firmy vyjde práce s novým modelem v průměru zhruba o 75 procent levněji. OpenAI 26. října uvedlo GPT-6.1 Terra za 1 dolar za milion vstupních a 5 dolarů za milion výstupních tokenů, tedy za polovinu cen modelu GPT-6.1 Sol. Jako příklad využití firma uvádí čtení došlých faktur a přepis jejich údajů do účetního programu. V ChatGPT Work a v Codexu ho dostali uživatelé tarifů Plus, Pro, Enterprise a Edu.
Google 13. října zpřístupnil model Gemini 4 Argon vývojářům a firmám přes API a předplatitelům Google AI Pro a Ultra v aplikaci Gemini. V API ho nabízí za úvodní cenu 2 dolary za milion vstupních a 10 dolarů za milion výstupních tokenů. Úvodní období končí 30. listopadu a od 1. prosince bude model stát 4 a 20 dolarů.
Zdroje: Anthropic, Claude Haiku 5.5, 7. 10. · VentureBeat, 7. 10. · OpenAI, GPT-6.1 Terra, 26. 10. · BleepingComputer, 26. 10. · The Decoder, 26. 10. · Google, Gemini 4 Argon, 13. 10. · Ars Technica, 13. 10. · VentureBeat, 13. 10.
Firemní předplatné Claude a ChatGPT nově zahrnuje kredit na API, u týmů nejvýš 500 dolarů měsíčně
Anthropic 7. října oznámil měsíční kredit na Claude API k tarifům Max, Ultra a Team. Max dostane 100 dolarů, Ultra 200 dolarů a tým 20 dolarů za každé místo Standard a 100 dolarů za místo Premium, dohromady nejvýš 500 dolarů měsíčně. Tarify Free, Pro a Enterprise kredit nemají. OpenAI koncem října spustilo téměř stejnou nabídku pro ChatGPT Pro a Business. U Business je to 20 dolarů za placené místo Standard a 100 dolarů za místo Premium, sdíleně nejvýš 500 dolarů měsíčně na pracovní prostor; tarif Plus nárok nemá.
U obou firem je potřeba kredit jednou aktivovat propojením předplatného s organizací v API a nárok vzniká po sedmi dnech placeného tarifu. Nevyčerpaný kredit se do dalšího období nepřevádí. U předplatného Claude kredit přichází a propadá každý měsíc, i když se tarif platí ročně. U ChatGPT propadá na konci zúčtovacího období, při měsíčním placení tedy po měsíci. Výjimkou je Business placený ročně předem: dostane kredit na celý rok najednou, nejvýš 6 000 dolarů na pracovní prostor, a ten propadá až na konci ročního období. Kredit nezvyšuje limity v chatu a nevztahuje se na Claude Code ani na Codex používaný s klíčem API.
Zdroje: Anthropic, dokumentace kreditů · Anthropic, nápověda · OpenAI, dokumentace kreditů · Simon Willison, 29. 10. · MACCUS, 29. 10.
Novinky z Česka a EU
ChatGPT začíná v EU vkládat do textů neviditelný vodoznak. Starší generativní systémy mají na označování čas do 2. prosince
OpenAI 5. října oznámilo, že v následujících týdnech začne do způsobilých textů z ChatGPT a programovacího nástroje Codex vkládat neviditelný vodoznak, a to u uživatelů všech tarifů v Evropské unii. Do textu přitom nepřidává žádné znaky: technologie textGrain nepatrně ovlivňuje výběr slov, takže vzniká statistický vzorec, který umí rozpoznat detektor. Přístup k detektoru firma zatím dává jen schváleným výzkumníkům a odborným organizacím. Zákazníci API po celém světě si vodoznak mohou u vybraných modelů zapnout, ve výchozím stavu je v API vypnutý.
Firma sama upozorňuje na limity. Když v jejím testu u pasáží o 400 tokenech vyměnila desetinu slov za synonyma, úspěšnost odhalení klesla zhruba z 92 na 66 procent; krátké, přeložené nebo upravené texty se odhalují hůř. Vodoznak podle OpenAI neidentifikuje uživatele a to, že se nenajde, nedokazuje, že text psal člověk.
Krok souvisí s článkem 50 odst. 2 AI aktu. Ten od 2. srpna 2026 ukládá poskytovatelům generativních systémů AI označovat výstupy strojově čitelně, aby šly rozpoznat jako vytvořené nebo upravené umělou inteligencí. Pro systémy uvedené na trh před 2. srpnem 2026 platí podle Evropské komise u této povinnosti přechodné období do 2. prosince 2026.
Zdroje: OpenAI, 5. 10. · TechCrunch, 5. 10. · BleepingComputer, 5. 10. · Ars Technica, 6. 10. · Engadget, 5. 10. · Lupa.cz, 26. 10. · Evropská komise, otázky a odpovědi k článku 50 · AI Act Service Desk, článek 50 · AI Act Service Desk, časté dotazy
Český zákon o umělé inteligenci míří po úpravách na vládu. Předkládá se se dvěma rozpory
Ministerstvo průmyslu a obchodu podle záznamu ve vládní knihovně legislativního procesu, jak ho zveřejňuje Hlídač státu, vložilo 27. října do systému upravený návrh zákona o umělé inteligenci a požádalo o jeho zařazení na jednání vlády s rozpravou. Legislativní rada vlády projednávání návrhu 6. srpna přerušila. Podle předkládací zprávy ministerstvo návrh poté upravilo hlavně ve vymezení působnosti úřadů, v pravidlech regulačního sandboxu a v sankcích a promítlo do něj i změny z evropského nařízení AI Omnibus.
Vládě se návrh předkládá se dvěma rozpory. Rozpor s Úřadem pro ochranu osobních údajů se týká jeho role orgánu dozoru nad trhem a podle úřadu nedostatečného financování nových úkolů. NÚKIB požaduje, aby se stanoviska, která má podle návrhu poskytovat dozorovým úřadům, omezila na otázky kybernetické bezpečnosti z předpisů v jeho působnosti. K 2. listopadu záznam neuvádí termín projednání vládou a návrh nemá číslo sněmovního tisku. Jde stále o návrh, který se může změnit.
Zdroje: Hlídač státu, záznam návrhu (poslední změna 27. 10.) · Hlídač státu, text předkládací zprávy · Hlídač státu, průvodní dopis změny · Vláda ČR, výsledky 336. zasedání Legislativní rady vlády · AI Act Service Desk, časový plán
Co letí na GitHubu
- DigUp – hledá v souborech na vašem počítači podle toho, co obsahují: v dokumentech, PDF, fotkách, nahrávkách i videích. Stačí vlastními slovy popsat, co hledáte, například ustanovení ve smlouvě; přesné výrazy jako čísla faktur najde také. Běží na modelu EmbeddingGemma 2 od Google DeepMind a indexované soubory podle autora neopouštějí počítač. Pro Mac je běžná verze, pro Windows a Linux zatím zkušební. ~6 100 ★ · licence MIT · github.com/ARahim3/DigUp
- OpenDots – otevřená šablona pro vlastní trvale běžící AI pomocníky, kteří pracují v chatu, při hovorech i ve Slacku a každý může mít vlastní počítač. Z nástrojů připojených přes MCP servery, třeba e-mailu nebo kalendáře, spustí sami jen ty, které server označí jako pouze čtecí; u ostatních je ve výchozím nastavení zapnuté schvalování. Označení ale dodává server, proto autoři radí zapnout schvalování u každého nástroje, kterému plně nevěříte. Přístup k prohlížeči, souborům a terminálu v počítači pomocníka je ve výchozím stavu vypnutý. Jde o šablonu v rané fázi vývoje, ne o hotovou službu, a konverzace potřebují službu CopilotKit Intelligence (hostovanou, lokální zkušební nebo licencovanou). ~6 300 ★ · licence MIT · github.com/CopilotKit/OpenDots · schvalování nástrojů · oprávnění počítače
- logo-design-skill – dovednost pro Clauda, Gemini CLI, Codex a další AI agenty, která vede návrh loga od zadání po soubory SVG a pravidla značky. Obsahuje knihovnu více než 1 400 skutečných log ke studiu, ne ke kopírování, a testy, například čitelnost v 16 pixelech nebo v jedné barvě. Po návrhu konceptů se zastaví a nechá vás vybrat směr. ~5 800 ★ · licence MIT · github.com/kaankiziltug/logo-design-skill
- OpenFilm – nechá programovacího agenta, třeba Codex nebo Claude Code, vytvořit video jako sadu webových stránek. V místním editoru Studio v prohlížeči ho pak upravíte ručně nebo zadáním. Potřebuje Node 22.2 nebo novější a ffmpeg, případně stačí desktopová aplikace pro macOS a Windows. ~4 200 ★ · licence MIT · github.com/openfilm/openfilm
- Filee – převodník souborů, který podle autora pracuje offline a nic nenahrává: obrázky, PDF, dokumenty Wordu, Excelu a PowerPointu, video, zvuk, e-knihy a archivy, podle aktuální dokumentace celkem 270 formátů. Běžné dokumenty Office převede bez nainstalovaného Office; video, zvuk a některé méně běžné formáty potřebují doplňkový modul, který se stáhne až v případě potřeby. Hodí se místo online převodníků, kam by se citlivé dokumenty neměly dostat. ~20 400 ★ · licence MIT · github.com/KnifeLemon/Filee
Počty hvězd ověřeny přes GitHub API 2. 11. 2026, zaokrouhleno.
Tip vydání: rozhodněte, jestli smí AI trénovat na obsahu vašeho webu
Google, Microsoft, OpenAI a Anthropic 30. října oznámily, že budou respektovat společný signál v souboru robots.txt, kterým web dá najevo, zda smí jeho obsah sloužit k trénování generativních modelů AI. Dosud bylo potřeba psát pravidla zvlášť pro roboty jednotlivých firem. Návrh předložil do pracovní skupiny AI Preferences organizace IETF, která připravuje internetové standardy, Kevin Kelley z Anthropicu; zatím jde o pracovní návrh, ne o hotový standard.
Platit to nebude hned. Microsoft začne nové předvolby respektovat od 1. února 2027, Google počítá s podporou na začátku roku 2027 a OpenAI „v příštích měsících“; Anthropic uvedl, že se zaváděním už začal. Signál neblokuje procházení webu, nemění zařazení ve vyhledávání Google ani Bing a nevrátí obsah, který už firmy dříve stáhly.
1. Rozhodněte, co chcete. Trénování modelů a použití obsahu při tvorbě odpovědí AI jsou dvě různé věci. Microsoft je nastavuje zvlášť: trénování můžete zakázat a použití obsahu v odpovědích Bingu a Copilotu nechat povolené. Menší viditelnost v odpovědích AI Microsoft spojuje se zákazem tohoto použití, ne se zákazem trénování. U Googlu se podle jeho plánu společný zákaz trénování promítne i do odpovědí v aplikacích Gemini, pokud web Google-Extended neuvede zvlášť (podrobněji v bodě 3). Pro e-shop nebo firmu, která chce být v odpovědích AI asistentů vidět, je proto rozdíl podstatný; autorovi placeného obsahu naopak signál dává možnost vyjádřit nesouhlas s trénováním.
2. Zápis. Podle návrhu vypadá zákaz trénování na celém webu kromě složky s tiskovými materiály takto: User-agent: __usage_ai-training, na dalším řádku Disallow: / a pod ním Allow: /press-kit/. Pravidlo pro všechny roboty (User-agent: *) tento signál nenahrazuje.
3. Pravidla jednotlivých firem dál platí. Například Google-Extended od Googlu nebo GPTBot od OpenAI zůstávají v platnosti. Google plánuje společný zákaz brát jako zákaz pro Google-Extended, pokud web Google-Extended neuvede zvlášť. Google-Extended přitom podle Googlu řídí obojí, trénování modelů Gemini i použití obsahu pro odpovědi v aplikacích Gemini; zařazení ve vyhledávání Google ani pořadí výsledků neovlivňuje.
4. Používáte NoArchive nebo NoCache kvůli Bingu? Microsoft tyto značky po 1. březnu 2027 přestane číst jako předvolbu pro trénování a pro odpovědi AI. Kdo jimi dnes omezuje Copilot a chce omezení zachovat, musí do té doby nastavit nové předvolby; dočasné nastavení pro odpovědi AI se v Bing Webmaster Tools otevře 15. prosince 2026.
5. Nechte si změnu zkontrolovat. Soubor robots.txt upravuje správce webu. Po úpravě ověřte, že nová pravidla neblokují vyhledávače, kterým přístup chcete nechat.
Pokud na webu používáte chatbota nebo texty z AI, projděte si v průvodci AI Act bez paniky, co z AI aktu může dopadat na vás. Členové Unie mohou podle aktuální kapacity požádat o bezplatnou úvodní orientační konzultaci k AI tématům; termín je potřeba předem potvrdit.
Zdroje: Google Search Central, 30. 10. · Google, dokumentace Google-Extended · Microsoft Bing, 30. 10. · OpenAI, 30. 10. · Search Engine Journal, 1. 11. · Engadget, 31. 10. · CNA, 31. 10.
Text byl vytvořen umělou inteligencí (AI) na základě ověřených zdrojů uvedených ve vydání. Za publikaci odpovídá Unie malých a středních podniků ČR, z.s. Chybu nahlaste na dotazy@sme-union.cz.