Foto ilustruese/ Studiuesi amerikan i sigurisë Patrick Quirk "zhvesh" Diellën; thotë se gjeti Parlamentin shqiptar me dhjetëra mijëra dokumente të aksesueshme pa autentikim dhe, më 15–16 prill, shkarkoi 32 GB materiale. Mes tyre kishte të dhëna deputetësh, lista pagash, projektligje, dokumente buxhetore, regjistra lobistësh dhe materiale parlamentare që shkonin vite pas në kohë... Shqipëria u prezantua para botës si vendi që po hynte me vrull në të ardhmen: ministre me inteligjencë artificiale, administratë digjitale, tenderë që do të pastroheshin nga korrupsioni falë algoritmeve dhe dhjetëra asistentë virtualë që do të monitoronin Parlamentin. Në anën tjetër të kësaj vitrine, studiuesi amerikan i sigurisë kibernetike dhe i teknikave OSINT, Patrick Quirk thotë se gjeti një realitet krejt tjetër: një pjesë e infrastrukturës së Kuvendit shqiptar i përgjigjej internetit pa kërkuar autentikim.
Quirk nuk pretendon se theu një fjalëkalim, se vodhi kredenciale apo se përdori ndonjë mjet të sofistikuar për të depërtuar në një sistem të mbrojtur. Sipas tij, gjashtë endpoint-e të API-së së Kuvendit pranonin kërkesa të zakonshme pa API key, pa bearer token dhe pa session cookie. Në gjuhë të thjeshtë, sistemi nuk i kërkonte përdoruesit të provonte se kishte të drejtë të hynte. Pikërisht aty qëndron thelbi i historisë.
Më 15 dhe 16 prill 2026, studiuesi Patrick Quirk thotë se shkarkoi nga infrastruktura Microsoft Azure e lidhur me Kuvendin 52,942 skedarë, me një volum prej rreth 32 gigabajt. Mes tyre, sipas dokumentimit të tij, kishte PDF, fotografi, dokumente Word, tabela Excel, projektligje, transkripte parlamentare, raporte komisionesh, tabela buxhetore dhe listëpagesa që shkonin deri në vitin 2018.
Koha kur ndodhi kjo është pjesa më e rëndë e historisë. Vetëm pak javë më parë, më 10 mars 2026, Kuvendi ishte goditur nga një sulm serioz kibernetik. AKSK e lidhi aktivitetin me “Homeland Justice”, grup që autoritetet shqiptare e kanë lidhur me Iranin, ndërsa raportimet mbi analizën teknike flisnin për fshirje të makinave virtuale, komprometim të të dhënave dhe eksfiltrim informacioni. Pas një goditjeje të tillë, do të pritej që infrastruktura e Kuvendit të kontrollohej në themel, sidomos pjesët e ekspozuara në internet dhe shërbimet cloud.
Pikërisht këtu kronologjia e Quirk merr peshë tjetër. Hetimi i tij kishte nisur më herët, më 25 shkurt 2026, kur po shqyrtonte Diellën, sistemin që qeveria shqiptare e kishte kthyer në simbol të ambicies së saj për inteligjencën artificiale. Qëllimi fillestar, sipas tij, ishte të kuptonte çfarë fshihej pas frontend-it të Diellës: nëse kishte backend publik, adresa API-je, çelësa të ekspozuar apo elemente që mund të tregonin arkitekturën reale të sistemit. Në atë fazë, Quirk thotë se infrastruktura e AKSHI-t që arriti të identifikonte ishte përgjithësisht e mbyllur dhe nuk përgjigjej publikisht. Ai kontrolloi nën-domene dhe një numër domenesh qeveritare, ku gjeti firewall-e, përgjigje 403 ose shërbime që nuk jepnin akses nga jashtë.
Situata ndryshoi kur kaloi te Kuvendi. Duke analizuar paketën JavaScript të faqes parlament.al, Quirk thotë se gjeti në kod adresën bazë të një API-je OData të hostuar në Microsoft Azure. Brenda saj shfaqeshin shtatë kategori: anëtarët, strukturat, aktet, lajmet, mbledhjet, dokumentet dhe abonimet. Nga shtatë endpoint-et, gjashtë iu përgjigjën kërkesave GET pa autentikim. Vetëm endpoint-i i abonimeve kthente kodin 401, pra kërkonte hyrje të autorizuar. Për studiuesin amerikan, kjo ishte një shenjë e qartë se mekanizmi për të kërkuar autentikim ekzistonte teknikisht, vetëm se nuk ishte zbatuar në pjesën tjetër të shërbimit.
Për publikun që nuk merret me informatikë, shpjegimi është shumë më i thjeshtë sesa terminologjia teknike. Një sistem mund të kërkojë një çelës digjital përpara se të japë informacion. Në rastin që përshkruan Patrick Quirk, gjashtë nga dyert që provoi nuk i kërkuan këtë çelës, ndërsa e shtata po. Pra, sipas tij, mundësia për ta vendosur mbrojtjen ekzistonte, por nuk ishte aplikuar njësoj.
Një nga endpoint-et më të rëndësishme ishte ai i dokumenteve. Quirk thotë se mori prej tij rreth 30 megabajt JSON që përmbanin katalogun e dokumenteve të ruajtura në Azure Blob Storage. Çdo regjistrim kishte një URL direkte shkarkimi dhe, në total, ai numëroi 54,545 lidhje. Sipas tij, listimi i drejtpërdrejtë i container-it në Azure ishte çaktivizuar, por kjo humbiste shumë nga vlera e saj si masë sigurie, sepse vetë API-ja po publikonte adresat individuale të skedarëve.
Në katalog, Quirk thotë se kishte 32,627 PDF, afro 20 mijë fotografi, 885 dokumente Word dhe 509 tabela Excel. Këto të fundit, sipas tij, përfshinin listëpagesa mujore për deputetët, ndarje të përfitimeve, regjistër lobistësh, regjistër organizatash të shoqërisë civile, kërkesa dhe përgjigje për informacion, si edhe tabela të buxhetit të shtetit.
Pas zbulimit të parë, Quirk thotë se dokumentoi gjetjet, publikoi shkrimin e tij dhe vazhdoi më tej. Më 15 prill u kthye për t’i kontrolluar edhe një herë endpoint-et. Këtu historia merr dimensionin që e bën veçanërisht të sikletshme për institucionet shqiptare. Sipas tij, asnjëri prej gjashtë endpoint-eve nuk ishte siguruar. API-ja vazhdonte të përdorej dhe të merrte të dhëna të reja. Katalogu i dokumenteve ishte rritur nga 54,545 në 57,287 regjistrime në vetëm shtatë javë.
Në atë moment "white hacker"-i Quirk vendosi të shkarkonte gjithçka që mundej. Ai thotë se përdori një program paralel shkarkimi me 32 procese dhe, pas një kalimi të dytë për URL-të problematike, arriti të merrte 52,942 skedarë. Norma e rikuperimit, sipas tij, ishte 94.7 për qind e katalogut. Pjesa tjetër nuk dështoi për shkak të ndonjë mekanizmi mbrojtës, por sepse skedarët nuk ekzistonin më në ato adresa.
Sasia e të dhënave është vetëm një pjesë e problemit. Quirk thotë se mes materialeve kishte 18 gigabajt PDF, 9 gigabajt fotografi, listëpagesa nga gushti 2018, transkripte parlamentare, projektligje, raporte komisionesh, tabela shpenzimesh buxhetore dhe marrëveshje ndërkombëtare. Sipas përshkrimit të tij, materiali mbulonte dokumentacionin parlamentar nga viti 2013 deri në prill 2026.
Edhe listëpagesat i kushtoi një analizë të veçantë. Quirk thotë se gjeti 116 skedarë pagash nga gushti 2018 deri në janar 2026 dhe i bashkoi në një dataset me 11,030 regjistrime për 398 deputetë. Ai nxori prej tyre paga bruto, struktura shpërblimesh dhe diferenca mes pagës bruto e asaj neto, përfshirë raste me mbajtje të ndjeshme.
Gjatë kërkimit të mëtejshëm, Quirk thotë se zbuloi edhe bisedimet ne parlament.al, një platformë tjetër e Parlamentit. Sipas tij, aty funksiononte një API e ndërtuar me Node.js, që ekspozonte të dhëna teknike për serverin, përfshirë path-in e aplikacionit, përdorimin e memories dhe uptime-in. Në të kishte 20 transkripte parlamentare të përpunuara me OCR nga vitet 2022–2024 dhe një motor kërkimi full-text. Dokumentet, sipas tij, mund të shkarkoheshin pa autentikim, ndërsa skema përmbante fusha për embeddings dhe kërkim me vektorë, megjithëse statusi i tyre ishte PENDING.
Kjo pjesë lidhet drejtpërdrejt me retorikën qeveritare për përdorimin e inteligjencës artificiale në Parlament. Quirk e përdor pikërisht këtë kontrast për të goditur narrativën zyrtare: ndërsa publikut i flitej për dhjetëra asistentë AI, ai thotë se sistemi që gjeti në praktikë ishte një motor kërkimi mbi një numër të kufizuar dokumentesh, me pjesën e inteligjencës artificiale ende të papërfunduar.
Hetimi i tij kthehet më pas te Diella. Këtu Quirk bën një nga pretendimet më të forta të gjithë shkrimit. Ai thotë se rishkarkoi frontend-in e Diellës, analizoi çdo URL, çdo referencë konfigurimi dhe çdo string, por nuk gjeti endpoint-e API, adresa backend-i ose referenca për OpenAI, Azure Cognitive Services apo shërbime të tjera AI/ML në vetë paketën JavaScript. Për të, ajo që ishte publikisht e dukshme ishte një aplikacion Vue.js që përmbante ndërfaqen dhe jo logjikën e sistemit.
Rasti merr edhe më shumë peshë kur vendoset përballë historisë së sigurisë kibernetike në Shqipëri. Vetë Quirk kujton rrjedhjet masive të të dhënave të qytetarëve në vitin 2021, publikimin e të dhënave të pagave dhe sulmin iranian ndaj AKSHI-t në vitin 2022. Në këtë kontekst, ekspozimi që ai pretendon se gjeti te Kuvendi nuk shihet si një problem i zakonshëm konfigurimi, por si pjesë e një dobësie më të gjerë në administrimin e infrastrukturës publike digjitale.
Pikërisht këtu duhet kërkuar përgjegjësia e shtetit shqiptar. Pas sulmit të 10 marsit, AKSK kishte arsye të mjaftueshme për të ngritur nivelin maksimal të kontrollit ndaj çdo pjese të infrastrukturës së Kuvendit që ishte e aksesueshme nga jashtë. Nëse Quirk kishte gjetur më 25 shkurt gjashtë endpoint-e pa autentikim dhe i gjeti përsëri në të njëjtën gjendje më 15 prill, pyetja nuk mund të mbyllet me shpjegimin se bëhej fjalë për një konfigurim teknik të parëndësishëm.
Duhet sqaruar nëse këto endpoint-e hynë në kontrollin e kryer pas sulmit iranian, cili institucion i administronte, kush kishte përgjegjësinë për konfigurimin e Azure-it dhe kur u ndryshuan rregullat e aksesit. Duhet sqaruar gjithashtu nëse ekzistojnë log-e që tregojnë sa përdorues të tjerë kanë shkarkuar dokumente gjatë viteve kur këto adresa, sipas Quirk, ishin të aksesueshme pa autentikim. Hetimi i amerikanit provon vetëm atë që ai thotë se ka bërë vetë; nuk jep përgjigje se sa të tjerë mund ta kenë zbuluar të njëjtën rrugë.
Edhe një dallim tjetër është i domosdoshëm. Nuk ka provë se Quirk përdori të njëjtën dobësi që shfrytëzuan sulmuesit iranianë më 10 mars. Raportimet mbi hetimin e AKSK-së flasin për hyrje përmes kredencialeve dhe lëvizje në rrjetin e brendshëm, ndërsa Quirk përshkruan një API dhe skedarë cloud të aksesueshëm nga interneti. Pikërisht kjo e rëndon më shumë pyetjen për auditimin pas sulmit: nëse bëhej fjalë për dy probleme të ndryshme, atëherë sa i plotë ishte kontrolli që iu bë infrastrukturës pasi Kuvendi u godit?
Qeveria shqiptare mund të vazhdojë të flasë për inteligjencë artificiale, ministra virtualë dhe administratë të së ardhmes. Patrick Quirk ka vendosur përballë kësaj propagande një pyetje shumë më primitive: a i kishte shteti të mbyllura dhe të kontrolluara hyrjet bazë të sistemeve të veta?
Përgjigjja nuk mund të jepet me konferenca për shtyp. Duhet të jepet me log-et e Azure, me raportet e plota të auditimit, me emrin e administratorit të sistemit, me datën kur u mbyllën endpoint-et dhe me shpjegimin se çfarë kontrolloi realisht AKSK pas sulmit të 10 marsit.
Nëse dokumentimi i Patrick Quirk është i saktë, Shqipëria kishte arritur të prodhonte një kontrast që as kundërshtarët më të ashpër të propagandës së qeverisë vështirë se do ta kishin shpikur më mirë: shteti që reklamonte ministren e parë me inteligjencë artificiale në botë, ndërkohë që një studiues amerikan thotë se mund të merrte dhjetëra gigabajt dokumente nga infrastruktura e Parlamentit pa iu kërkuar asnjë kredencial.
Në fund të shkrimit të tij Quirk përmbledh edhe metodologjinë. Ai deklaron se të gjitha të dhënat u morën nga endpoint-e publikisht të aksesueshme dhe nga URL të Azure Blob Storage; se nuk anashkaloi autentikim, nuk përdori kredenciale, nuk kapërceu kontrolle aksesi dhe nuk shfrytëzoi ndonjë cenueshmëri për të depërtuar në sistem. Faza e parë, sipas tij, u krye më 25 shkurt 2026, ndërsa shkarkimi i plotë më 15–16 prill.
Nëse institucionet shqiptare e kundërshtojnë këtë version, rruga për ta rrëzuar është e thjeshtë: të publikojnë provat teknike dhe kronologjinë e administrimit të sistemit. Deri atëherë, mbetet një pyetje që nuk e zgjidh dot asnjë avatar, sado futurist të duket në ekran: si mund të flasë një shtet për qeverisje me inteligjencë artificiale, kur ende duhet të shpjegojë se si ruheshin dyert digjitale të vetë Parlamentit? /Pamfleti Propaganda/
patrick quirk diella aksk akshi kuvendi i shqipërisë siguria kibernetike 3 Komente j javeri 17 Gusht 2026, 15:07 DRITAN KALOSHI e ka emrin drejtori IT se KUVENDIT! Nje kokePjeper qe e ka mendjen me ndejt gjithe diten ne kafe e palestra! Përgjigjjuni T Teuta 17 Gusht 2026, 15:10 Jemi vendi i Parë per siguri! Përgjigjjuni v vk.m 17 Gusht 2026, 15:30 futja kot o shoku, ne jemi te paret te sigurune kibernetike. Përgjigjjuni Lini një Përgjigje Anuloje përgjigjen Dosja e zezë Shqipëria midis kullave luksoze dhe fshatrave të boshatisura: Çfarë fshihet pas pakënaqësisë së brezit të ri? 17 Gusht 2026, 10:1610:16Dosja e zezë Ëndrra shqiptare e Ivanka Trump dhe makthi politik i Edi Ramës! 16 Gusht 2026, 11:4811:48Dosja e zezë Hija e Kolë Idromenos do ju ndjekë gjithë jetën tuaj 15 Gusht 2026, 10:5310:53Dosja e zezë Dosjet e SPAK-ut: Ergys Agasi në bisedë me Edi e Olsi Ramën; Ilir Shtufi, mesazhe me Shkëlzen Berishën e Jamarbër Malltezin 13 Gusht 2026, 13:3913:39Dosja e zezë Dosjet e anti-mafias hapin pistën shqiptare: Cili biznesmen takoi në Tiranë dhëndrin e bosit të 'Cosa Nostra' Messina Denaro-s? 12 Gusht 2026, 18:3318:33Dosja e zezë Dokumente/ Krim me trashëgiminë kulturore: Blendi Gonxhe dhe Endri Haxhiu legalizuan 156 ndërtime në zona arkeologjike 12 Gusht 2026, 13:5313:53Dosja e zezë