Guardrail blokował tylko obrońcę

Dwudziestego drugiego lipca opisywaliśmy, jak zespół Hugging Face próbował zrozumieć włamanie do własnej infrastruktury — siedemnaście tysięcy sześćset działań agenta w cztery i pół dnia — i sięgnął po komercyjne modele frontier do analizy dzienników. Nie zadziałało. Zapytania zostały zablokowane, bo analiza powłamaniowa polega na wysyłaniu modelowi dokładnie tych treści, które zabezpieczenia mają odrzucać: działających exploitów, komend napastnika, adresów serwerów sterujących. Zespół przeprowadził analizę na chińskim modelu open-weight uruchomionym na własnej infrastrukturze.

Napisaliśmy wtedy, że zabezpieczenia zadziałały wyłącznie przeciwko jednej stronie tego incydentu — i była to strona broniąca się.

10 sierpnia OpenAI wydało na to odpowiedź. Nazywa się Daybreak Blue i polega na zdjęciu systemowych zabezpieczeń cyber dla zweryfikowanych obrońców. Jeden z komentujących ujął to wprost: Daybreak Blue naprawia lukę, przez którą reagujący na incydent w Hugging Face nie mogli użyć modeli frontier.

Rozwiązaniem nie okazał się więc mądrzejszy guardrail. Okazała się nim lista.

Dwa poziomy, dwie różne rzeczy

Program został rozdzielony na dwa tory i warto rozumieć, czym się różnią, bo prasa opisuje to jako jeden produkt.

Daybreak Blue daje zatwierdzonym obrońcom dostęp do zwykłych modeli frontier — w tym GPT-5.6 Sol — ale z usuniętymi zabezpieczeniami systemowymi, które w normalnym użyciu filtrują zapytania związane z bezpieczeństwem. Nie ma tu nowego modelu. Jest ten sam model bez filtra, przeznaczony do wykrywania podatności, przeglądu kodu, analizy złośliwego oprogramowania, reagowania na incydenty i weryfikacji łatek. OpenAI nazywa ten poziom rekomendowanym punktem wyjścia dla większości obrońców.

Daybreak Red to co innego: dostęp do GPT-5.6-Cyber, osobnego modelu wytrenowanego pod zaawansowane zadania cyber — znajdowanie nieznanych podatności i budowanie łańcuchów exploitów. Ten poziom ma ostrzejszą weryfikację i jest przeznaczony do autoryzowanych badań nad podatnościami oraz walidacji exploitów.

Wymagania dostępu są konkretne i warto je odnotować, bo pokazują, jak dojrzała jest już ta warstwa administracyjna. Weryfikacja tożsamości, monitorowanie użycia, ograniczenia zatwierdzonego zastosowania i oświadczenia prawne. Trzy osobne ścieżki: indywidualna, organizacyjna i partnerska dla dostawców bezpieczeństwa. A od 1 września każde indywidualne konto wymaga sprzętowego klucza bezpieczeństwa.

Model ma już na koncie konkretne osiągnięcie: OpenAI podaje, że przy jego pomocy znaleziono CVE-2026-15903, podatność o wysokiej wadze w silniku JavaScript przeglądarki Chrome. Zgłoszono ją Google w trybie skoordynowanym i została naprawiona.

Liczba, która mierzy co innego, niż się wydaje

Teraz część, którą trzeba rozebrać, bo powtarza się w tej branży regularnie i za każdym razem działa.

Nagłówkowa liczba brzmi imponująco: GPT-5.6-Cyber odpowiada na 95 procent zaawansowanych zapytań z zakresu cyberbezpieczeństwa, podczas gdy zwykły Sol odpowiada na 1,5 procent. Sześćdziesięciokrotna różnica, świetnie wygląda w tabeli.

Tyle że nazwa tego wskaźnika brzmi „Advanced Cybersecurity Completion Rate" i mierzy on, jak często model udziela odpowiedzi — a nie jak często ta odpowiedź jest trafna. Jak celnie ujął to jeden z analityków: to jest metryka odmów przebrana za metrykę zdolności. Różnica 95 do 1,5 nie mówi, że nowy model jest sześćdziesiąt razy lepszy w cyberbezpieczeństwie. Mówi, że stary odmawiał niemal zawsze, a nowy prawie nigdy.

I jest jeszcze druga rzecz, znacznie ciekawsza. Na własnej ewaluacji OpenAI dotyczącej odkrywania podatności i pisania raportów GPT-5.6-Cyber wypada gorzej niż zwykły Sol. Model wyspecjalizowany przegrywa z ogólnym na zadaniu, które jest sednem pracy obrońcy. Red nie jest więc prostym ulepszeniem — jest wymianą: dostajesz mniej odmów kosztem czegoś innego.

To jest dokładnie ten sam schemat, który rozbieraliśmy przy modelu cyber Microsoftu dwa tygodnie temu. Tam wynik 95,95 procent na benchmarku okazał się rezultatem całego systemu agentowego z pomocniczym modelem konkurencji, a nie samego nowego modelu, i nie dało się go porównać z poprzednim wynikiem tej samej firmy, bo zmieniono kryterium. Tutaj liczba jest jeszcze prostsza do zdemaskowania, bo wystarczy przeczytać nazwę wskaźnika.

Wniosek praktyczny jest ten sam co wtedy: przy każdej liczbie w komunikacie producenta sprawdź, co dokładnie mierzy, zanim porównasz ją z czymkolwiek.

Reglamentacja przestała być wyjątkiem

Zestawmy teraz, co wydarzyło się w ciągu trzech tygodni.

Google udostępnił model cyber wyłącznie instytucjom rządowym i zaufanym partnerom. Microsoft wypuścił swój tylko wewnątrz własnego narzędzia, dla zatwierdzonych klientów. Anthropic prowadzi weryfikowany program partnerski. A teraz OpenAI dokłada dwupoziomową bramkę z weryfikacją tożsamości, monitoringiem, oświadczeniami prawnymi i sprzętowym kluczem od września.

Czterej najwięksi dostawcy, cztery różne mechanizmy, jeden wspólny mianownik: żaden nie udostępnił zdolności cyber jako otwartego punktu końcowego. W Radarze #4 postawiliśmy to jako projekcję z oceną średnio-wysoką — że reglamentacja przestanie być wydarzeniem politycznym, a stanie się domyślnym kształtem produktu. Trzy tygodnie później trudno mówić o projekcji.

Warto przy tym zauważyć, jak zmienił się charakter tej reglamentacji. W czerwcu, przy sadze wokół Fable 5, państwo sięgnęło po kontrolę eksportową jak po awaryjny wyłącznik — i cała historia trwała dziewiętnaście dni, po czym zdolność wróciła. Dzisiejsza reglamentacja nie wymaga żadnej decyzji rządu. Jest wpisana w architekturę produktu: nie ma modelu do kupienia, jest program, do którego trzeba się zakwalifikować.

To rodzi pytanie, które warto postawić bez emocji, bo nie ma na nie dobrej odpowiedzi. Skoro najskuteczniejsze narzędzia obronne trafiają wyłącznie do zweryfikowanych, to obrońca poza listą dostaje coraz mniej — nie dlatego, że ktoś mu czegoś zabrania, lecz dlatego, że przewaga tych, którzy są na liście, rośnie z każdą kolejną iteracją. A weryfikacja jest procesem, który z natury faworyzuje duże organizacje z działem prawnym.

Uczciwie: co przemawia za tym rozwiązaniem

Kilka rzeczy trzeba oddać, bo łatwo z tego zrobić opowieść o zamykaniu dostępu.

Problem, który OpenAI rozwiązuje, jest realny i sami go opisywaliśmy. Obrońcy od miesięcy zgłaszali wysokie wskaźniki odmów przy legalnej pracy — analiza malware, badanie exploitów, testy penetracyjne. To nie jest wymyślona niedogodność; przy Hugging Face uniemożliwiła analizę powłamaniową w firmie, która akurat była atakowana. Zabezpieczenie, które blokuje wyłącznie tego, kto ma dobre intencje, jest gorsze niż jego brak, bo daje złudzenie kontroli.

Sam mechanizm dwupoziomowy jest przy tym sensowniejszy niż jedna wspólna furtka. Większość obrońców potrzebuje zwykłego modelu bez nadgorliwego filtra, a nie narzędzia do budowania łańcuchów exploitów — i Blue daje dokładnie to. Red, z ostrzejszą weryfikacją, dotyczy węższej grupy i węższych zastosowań.

OpenAI podkreśla też — i robi to konsekwentnie w każdym komunikacie — że GPT-5.6-Cyber nie brał udziału w incydencie z Hugging Face ani żaden z modeli planowanych do wydania. To istotne sprostowanie, biorąc pod uwagę, jak łatwo te dwie historie zlepić w jedną.

Jest wreszcie kontekst, który tłumaczy ostrożność. Brytyjski instytut bezpieczeństwa AI podał, że w 122 przebiegach testowych agenty zbudowane na modelach frontier OpenAI i Anthropic złamały reguły dziewiętnaście razy. A sama firma zapowiedziała spowolnienie prac nad kolejnym modelem, który według jej własnej klasyfikacji może osiągnąć najwyższy poziom zdolności cyber — po to, żeby najpierw dopracować mechanizmy kontroli. To jest zachowanie spójne z deklaracjami, nie wbrew nim.

Trzeba natomiast dopowiedzieć jedno zdanie, które w tej dyskusji pada zbyt rzadko, a które sformułował jeden z komentujących: guardraile modeli nigdy nie były warstwą sterowania obroną. Zdejmowanie ich albo dokładanie nie zastąpi tego, co realnie decyduje o bezpieczeństwie — uprawnień, segmentacji i ograniczenia zasięgu. To jest ta sama konkluzja, do której doszliśmy przy OWASP i jego nowej liście: buduj system wokół modelu tak, żeby kiedy zostanie oszukany, nic ważnego się nie zepsuło.

Co z tego wynika dla obrońcy

Pierwsza rzecz jest praktyczna i dotyczy każdego, kto prowadzi zespół bezpieczeństwa. Jeśli twoi ludzie regularnie odbijają się od odmów przy legalnej pracy — analizie próbek, badaniu exploitów, przeglądzie ładunków — to istnieją teraz oficjalne ścieżki dostępu, które ten problem rozwiązują. Warto sprawdzić, czy twoja organizacja się kwalifikuje, zamiast obchodzić filtr sztuczkami z promptem, bo to drugie działa gorzej i zostawia gorszy ślad audytowy.

Druga wynika z metryki i jest ogólna. Przy każdym ogłoszeniu modelu wyspecjalizowanego sprawdź trzy rzeczy: co dokładnie mierzy podana liczba, czy porównanie jest z tym samym kryterium co poprzednio i czy istnieje ewaluacja, na której nowy model wypada gorzej. W tym przypadku odpowiedź na trzecie pytanie brzmi „tak" i pochodzi z materiałów samego producenta.

Trzecia jest strategiczna i wynika z bramkowania. Skoro cztery największe laboratoria niezależnie doszły do tego samego modelu dystrybucji, to warto założyć, że tak już zostanie — i wpisać to w planowanie. Pytanie „czy nasz dostawca bezpieczeństwa ma dostęp do modeli cyber i co z tego dostajemy my" jest teraz sensownym pytaniem przetargowym. Bo w tym układzie dostawca dostaje model, a klient dostaje wyniki.

Jedna myśl na koniec

Od miesięcy piszemy, że zabezpieczenia wbudowane w model zawodzą — że da się je wyłączyć zmianą kontekstu, że rozpoznanie zagrożenia nie prowadzi do zatrzymania, że osąd modelu nie jest podłączony do hamulca. Dziś dochodzi do tego druga połowa tej samej obserwacji, dużo mniej dyskutowana: te same zabezpieczenia bardzo skutecznie zatrzymują obrońcę.

Napastnik nie prosi o dostęp i nie podpisuje oświadczeń. Analityk, który chce zrozumieć, co się właśnie stało z jego firmą, dostaje odmowę — bo wysyła dokładnie te same ciągi znaków. Branża próbowała rozwiązać ten paradoks przez cztery lata coraz sprytniejszymi filtrami i właśnie przyznała, że się nie da. Odpowiedź, do której doszły niezależnie cztery największe laboratoria, nie jest techniczna. Jest administracyjna: skoro nie potrafimy odróżnić obrońcy od atakującego po treści zapytania, to sprawdzimy go po dokumentach.

Źródła

Unite.AI — opis podziału programu na dwa poziomy, zakresu Daybreak Blue i Red oraz kontekstu czerwcowego wydania poprzedniego modelu cyber wraz z wynikami na benchmarkach: https://www.unite.ai/openai-expands-daybreak-with-two-tiers-and-a-new-cybersecurity-model/

eesel AI — analiza wskaźnika Advanced Cybersecurity Completion Rate wraz z rozróżnieniem między metryką odmów a metryką zdolności, informacją o gorszym wyniku modelu cyber na ewaluacji odkrywania podatności oraz opisem trzech ścieżek dostępu i wymogu sprzętowego klucza od 1 września: https://www.eesel.ai/blog/gpt-5-6-cyber

Infosecurity Magazine — potwierdzenie znalezienia CVE-2026-15903 w silniku JavaScript przeglądarki Chrome przy pomocy nowego modelu oraz komentarz Alexa Gollera z Illumio o tym, że Daybreak Blue naprawia lukę, przez którą reagujący na incydent w Hugging Face nie mogli użyć modeli frontier: https://www.infosecurity-magazine.com/news/openai-daybreak-blue-red-gpt-cyber/

Axios — kontekst wysokich wskaźników odmów zgłaszanych przez obrońców oraz opis obu poziomów dostępu: https://www.axios.com/2026/08/10/openai-gpt-astra-restrictions-safety-hacking-defenders

Neowin — potwierdzenie, że nowy model nie brał udziału w incydencie z Hugging Face, oraz informacja o spowolnieniu prac nad kolejnym modelem mogącym osiągnąć najwyższy poziom zdolności cyber: https://www.neowin.net/news/openai-launches-gpt-56-cyber-and-expands-daybreak-with-red-and-blue-access-tiers/

Cryptonomist — dane brytyjskiego instytutu bezpieczeństwa AI o dziewiętnastu przypadkach złamania reguł w stu dwudziestu dwóch przebiegach testowych agentów opartych na modelach frontier: https://en.cryptonomist.ch/2026/08/11/openai-cybersecurity-program-gpt56-cyber/