Rząd pokazał, że potrafi wyłączyć frontier model z dnia na dzień. I że to nie wystarcza.

12 czerwca o 17:21 czasu waszyngtońskiego Departament Handlu nakazał Anthropic zawiesić dostęp do Fable 5 i Mythos 5 dla wszystkich obcokrajowców. Firma dostała 90 minut i, nie mogąc weryfikować narodowości w czasie rzeczywistym, wyłączyła oba modele globalnie. Wyzwalaczem był jailbreak znaleziony przez badaczy Amazona — który skłonił Fable 5 do wskazania luk i, w jednym przypadku, napisania kodu pokazującego, jak je wykorzystać.

Saga zamknęła się 1 lipca: Departament Handlu zniósł kontrolę, Fable 5 wrócił globalnie, Anthropic zgodził się proaktywnie wykrywać ryzyka, współpracować przy standardach i raportować nadużycia. Dziewiętnaście dni od wyłączenia do przywrócenia.

„Gdy Waszyngton chce działać szybko wobec frontier modelu, wciąż nie ma wiążącego procesu — tylko improwizowane." To jest sedno. Executive Order z 2 czerwca stworzył dobrowolną ścieżkę recenzji modeli przed premierą — ale Fable nigdy przez nią nie przeszedł. Rząd sięgnął po kontrolę eksportową jak po awaryjny wyłącznik.

I tu jest kontrapunkt, który czerwiec dopisał sam. W tym samym tygodniu, gdy Fable wracał, Anthropic wypuścił Sonnet 5 — model bliski Opusowi w kodowaniu i agentyce, a jednocześnie trzymany na zerze w budowaniu działających exploitów. To nie przypadek: firma dawkuje zdolność cyber, alokuje ją tylko do modeli trzymanych pod kontrolą. Zdolności da się zamknąć — ale to działa tylko po jednej stronie oceanu.

Cztery warstwy, jeden atak. Za każdym razem wchodzą przez zaufanie zamienione w automat.

Czerwiec nie potrzebował statystyki, żeby pokazać, że łańcuch dostaw jest osią zagrożeń. Wystarczyła seria — i to, że każdy incydent atakował inną warstwę tego samego mechanizmu.

Miasma (1 czerwca) — robak w namespace Red Hata na npm, wariant Shai-Huluda kradnący poświadczenia i sekrety chmurowe. Wektor: jedno przejęte konto pracownika. Sedno: to fork kodu, który TeamPCP upublicznił miesiąc wcześniej — już nie operacja, ale wzorzec dla każdego naśladowcy.

Cordyceps (23 czerwca) — klasa luk w workflow CI/CD, które uruchamiają się z pełnymi sekretami repozytorium, nawet gdy odpala je pull request anonima. Ponad 300 repozytoriów Microsoftu, Google'a, Apache i Cloudflare w pełni przejmowalnych. Luka „istnieje tylko w kompozycji — gdy niezaufane dane przekraczają granicę zaufania, której nikt nie audytował".

brand-landingpage — fałszywy „skill" AI, który przeszedł skanery Cisco i NVIDII (bo w chwili skanu wskazywał na prawdziwą stronę), a po instalacji u 26 000 agentów podmienił treść na polecenie wykonania kodu. Skan to migawka; skill zmienia zachowanie po tym, jak zaufanie zostało przyznane.

Klue / Icarus — grupa weszła do platformy market intelligence przez poświadczenie z 2022 roku, zapomniane po porzuconym prototypie i nigdy nieodwołane. Wykradła tokeny OAuth i opróżniła CRM-y firm, które zawodowo chronią innych: Huntress, Recorded Future, Tanium, Snyk. A gdy Klue zapłacił okup — dane i tak wyciekły do drugiej grupy.

To już nie jest jeden ze sposobów, w jaki się włamują. To jest teren. Namespace, token, workflow, integracja — za każdym razem punktem wejścia było zaufanie, które ktoś wcześniej zamienił w automat.

Agent AI traktuje niezaufaną treść jako instrukcję. Zabezpieczenia promptowe nie pomagają.

Pod dwiema głównymi osiami przewijał się przez czerwiec jeden mechanizm, tak uporczywie, że warto go nazwać wprost. Agentjacking — zatruty raport błędu skłania Claude Code, Cursor i Codex do wykonania cudzego kodu; „łańcuch autoryzowanych intencji", w którym każdy krok jest legalny, więc żaden system obronny nic nie widzi. Gaslight — malware wstrzykuje 38 fałszywych komunikatów „systemowych", żeby przekonać analityka AI, że jego sesja się sypie. AutoJack — jedna strona WWW przejmuje agenta przeglądającego, bo dla niego localhost przestał być granicą zaufania.

Najważniejsza obserwacja z czerwca: w testach Agentjacking zabezpieczenia wpisane w prompt nie zadziałały. Agenty wykonywały ładunek nawet wtedy, gdy instrukcja systemowa kazała im ignorować niezaufane dane. To granica, o którą rozbija się nadzieja, że AI da się okiełznać kolejnym, mądrzejszym promptem.

Jedyną twardą barierą jest to, czego agent nie może zrobić, bo nie ma uprawnień — nie to, co obiecał, że zrobi. Nie przypadkiem to właśnie w czerwcu OWASP uznał, że bezpieczeństwo i safety agentów AI to już jedno i to samo.

Ten wzorzec zasila naszą bazę wzorców prompt injection — po dodaniu Gaslighta liczy 46 wzorców w 6 kategoriach, a kategoria „pośrednia injekcja" urosła do dziesięciu. Gaslight jest w niej pierwszym wzorcem, którego celem nie jest skłonić model, by coś zrobił — lecz by przestał.