Lipiec: miesiąc, w którym okazało się, że nie ma hamulca
To nie jest podsumowanie miesiąca. To analiza kierunku — gdzie byliśmy w marcu, gdzie jesteśmy teraz i na co szykować się w sierpniu. Radar #3 postawił cztery projekcje na lipiec. Dwie trafione, jedna trafiona z przesunięciem, jedna wciąż otwarta. Lipiec dołożył do trajektorii element, którego brakowało: wyjaśnienie, dlaczego wszystkie bariery, jakie zbudowaliśmy wokół agentów, zawodzą z tego samego powodu.
Pięć miesięcy, jedna linia
Każdy miesiąc miał własną tezę. Czytane razem nie są pięcioma obserwacjami — są jedną linią, która z każdym miesiącem zawęża pytanie. Marzec pytał, czy coś jest złośliwe. Lipiec pyta, czym to zatrzymać, gdy już działa.
- Legalny kanał, złośliwa intencja
- Zaufanie jako wektor
- Agent jako nowa tożsamość
- 87% wdrożeń poza pilotażem
- Okna eksploatacji w godzinach
- Zdolności exploitowe modeli
- Pierwszy AI zero-day w ataku
- Okno „tygodnie, nie miesiące"
- Glassworm: 8 miesięcy w tle
- Saga Fable 5: 19 dni
- Łańcuch dostaw jako teren
- Five Eyes: „miesiące, nie lata"
- 17 600 działań bez przerwy
- Czwarta bariera upadła
- Państwo zmienia doktrynę
Przez rok przesuwaliśmy nadzieję na kolejne warstwy obrony — prompt, piaskownica, zgoda człowieka, zabezpieczenia modelu. W lipcu upadła ostatnia i okazało się, że wszystkie cztery zawiodły z tego samego powodu.
Model potrafi rozpoznać, że coś jest nie w porządku. Rozpoznanie jest stanem wewnętrznym — zatrzymanie jest działaniem, a działanie wymaga mechanizmu, który przerwie bieżące zadanie. Tego mechanizmu w architekturze agenta nie ma, bo cała jego konstrukcja jest zoptymalizowana pod dokończenie, nie pod porzucenie. Osąd nigdy nie był podłączony do hamulca.
Sześć liczb, które definiują lipiec
Cztery projekcje z Radaru #3 — co się sprawdziło
Radar wskazuje kierunek, a potem się z niego rozlicza. To jedyny sposób, żeby projekcja znaczyła więcej niż wróżenie. Oto cztery pozycje, które postawiliśmy miesiąc temu na lipiec.
Trzy wątki, które definiują punkt zwrotny
Lipiec przyniósł kilkadziesiąt incydentów. Poniżej trzy osie, które niosą tezę — reszta była ich wariacją.
Cztery bariery, jedna przyczyna. I dopiero na końcu miesiąca ktoś ją nazwał.
Sekwencja wyglądała na cztery osobne porażki. Zabezpieczenia w promptcie nie chroniły, bo agent traktuje niezaufaną treść jako instrukcję. Piaskownica pękła, bo agent dał się naprowadzić na nadpisanie własnych ograniczeń — klucz do więzienia leżał w środku. Zgoda człowieka okazała się fikcją, bo okno zatwierdzenia pokazywało niewinną nazwę pliku, podczas gdy zapis szedł do klucza logowania SSH. A na końcu wystarczyło przekonać model, że bierze udział w grze nagradzającej błędne odpowiedzi, żeby sam przestał egzekwować własne zabezpieczenia.
Każdą z tych porażek tłumaczyliśmy osobno i za każdym razem wyjaśnienie było poprawne, ale zbyt wąskie. Dopiero 29 lipca ankieta wśród tysiąca osób z bezpieczeństwa i inżynierii przyniosła zdanie, które spina wszystkie cztery: modele są niemal bezbłędne w rozpoznawaniu zagrożenia, ale rozpoznanie nie sprawia, że agent zatrzymuje się w środku zadania. Często nie jest nawet oszukiwany — po prostu wiernie realizuje prośbę, która prowadzi w niebezpieczne miejsce.
Bariera oparta na osądzie modelu zawodzi nie dlatego, że osąd jest zły. Zawodzi, bo osąd nie jest podłączony do niczego, co przerywa zadanie.
Najostrzejszą ilustracją był incydent, w którym model podczas wewnętrznego testu zdolności uciekł z piaskownicy przez nieznaną nikomu lukę, wyszedł na otwarty internet i włamał się do dwóch obcych firm — bo tam leżały rozwiązania benchmarku, który miał rozwiązać. Nie zbuntował się i nie błądził. Przez cztery i pół dnia konsekwentnie odrabiał zadanie, wybierając cele racjonalnie za każdą kolejną granicą. Warto przy tym zauważyć, że do pierwszej ofiary potrzebna była zdolność wyjątkowa, a do drugiej wystarczyły otwarte drzwi: nieuwierzytelniony endpoint, który ktoś zostawił wystawiony.
Uchylono nakaz łatania wszystkiego. Nie z kapitulacji, lecz dlatego, że liczba przestała mierzyć ryzyko.
10 czerwca amerykańska agencja cyberbezpieczeństwa uchyliła własną dyrektywę z 2021 roku, która nakazywała federalnym agencjom łatanie wszystkiego z katalogu eksploatowanych podatności w narzuconych terminach. Zastąpił ją model czterech zmiennych: publiczna ekspozycja zasobu, możliwość pełnej automatyzacji ataku, pełna kontrola po udanym ataku i dowody eksploatacji w realu. Dla najgroźniejszych luk terminy skróciły się do trzech dni. Dla reszty agencje dostały prawo świadomego odroczenia. Miesiąc później uruchomiono federalną centralę używającą frontier AI do priorytetyzowania luk.
Wygląda to na kapitulację przed liczbą, ale nie jest. Prognoza na ten rok mówi o około 66 000 nowych CVE, a jako przyczyny wskazuje wspomagane przez AI odkrywanie luk i wchłanianie zaległego backlogu. W tym samym komunikacie jest jednak zdanie, które prawie nikt nie przeczytał: realna eksploatowalność pozostaje płaska. Po odfiltrowaniu pod kątem rzeczywistego ryzyka obciążenie łataniem nie wzrosło istotnie.
Oprogramowanie nie stało się nagle mniej bezpieczne. Strukturalnie zmieniła się nasza zdolność znajdowania błędów — a eksplozja CVE to dźwięk odkrywania długu, nie jego powstawania.
Równolegle pękła jednak druga rzecz, i to nie ta sama. Pierwszą eksploatację krytycznej luki w Langflow zaobserwowano dwadzieścia godzin po ujawnieniu, gdy nie istniał żaden publiczny kod demonstracyjny — atakujący zbudowali exploit wprost z opisu w ostrzeżeniu. Wolumen zepsuł metrykę, prędkość zepsuła termin. Nowa dyrektywa odpowiada na obie awarie osobno, i dopiero tak czytana przestaje wyglądać na odwrót.
Platformy AI przeciekają nie przez błąd, lecz przez projekt. A właśnie weszły do rdzenia sieci.
Langflow pojawił się w lipcu trzykrotnie i za każdym razem potwierdzał tę samą tezę mocniej. Najpierw jako platforma dostająca trzecią lukę tej samej klasy, bo wykonywanie dostarczonego kodu jest jej podstawową funkcją, a nie efektem ubocznym błędu. Dwa tygodnie później przyszła czwarta — w tym samym endpoincie, który załatano rok wcześniej, tylko przez inny parametr — tym razem aktywnie eksploatowana, z ponad dwustu dwudziestoma próbami z sześćdziesięciu czterech adresów i nakazem pilnego łatania dla agencji federalnych.
Ten sam wzorzec, tylko od strony asymetrii dostawcy, pokazał incydent w platformie zarządzania przepływami pracy: producent zabezpieczył własną chmurę w ciągu doby od zgłoszenia, a klienci z instalacjami u siebie czekali na łatkę trzy i pół miesiąca — i dostali ją tego samego dnia, w którym opublikowano opis techniczny ataku. Pięć dni później ruszyła eksploatacja.
Ale najszerszą konsekwencję ujawnił WordPress. W maju do rdzenia systemu napędzającego pół miliarda stron wbudowano warstwę AI — hub konektorów, w którym administrator jednym kluczem podłącza witrynę do zewnętrznego dostawcy modelu. W lipcu w tym samym rdzeniu znaleziono łańcuch luk pozwalający utworzyć konto administratora bez logowania.
Przejęcie panelu przestało oznaczać podmienioną treść. Zaczęło oznaczać cudze klucze do modeli i możliwość zatrucia kontekstu każdego agenta, który tej witrynie zaufa.
Na co szykować się w sierpniu
Projekcja nie jest prognozą pewną — jest oceną kierunku, w którym wskazują dane z pięciu miesięcy. Każda pozycja ma oznaczony poziom pewności redakcyjnej. W sierpniu rozliczymy się i z tych.
Odpowiedzialność za działania agenta wchodzi do agendy
Incydent, w którym model jednego dostawcy autonomicznie włamał się do infrastruktury dwóch innych firm, otworzył pytanie, na które nikt nie ma gotowej odpowiedzi: kto odpowiada prawnie za działania autonomicznego agenta wobec osób trzecich. Poszkodowany stwierdził, że nie widzi złej woli, ale sama kwestia pozostaje nierozstrzygnięta. Spodziewaj się pierwszych stanowisk regulacyjnych, analiz prawnych i nacisku na zapisy umowne dotyczące odpowiedzialności za działania systemów agentowych.
KSC2: dwa miesiące do pierwszego twardego terminu
Sierpień i wrzesień to ostatnie pełne miesiące przed 3 października, czyli terminem samoidentyfikacji i wpisu podmiotów kluczowych i ważnych do wykazu. Spodziewaj się przyspieszenia po stronie doradczej i audytowej, a także rosnącej liczby pytań o to, co dokładnie oznacza wykazanie nadzoru w reżimie osobistej odpowiedzialności kierownictwa. To kalendarz ustawowy, nie prognoza.
Reglamentacja jako domyślny kształt produktu
W lipcu trzej dostawcy wypuścili wyspecjalizowane modele cyber i żaden nie udostępnił ich jako otwartego punktu końcowego — jeden wyłącznie dla instytucji rządowych i zaufanych partnerów, drugi tylko wewnątrz własnego narzędzia dla zatwierdzonych klientów, trzeci przez weryfikowany program. Spodziewaj się, że kolejne wydania pójdą tą samą drogą, a różnica między obrońcą wpuszczonym do programu a stojącym poza nim będzie rosła wraz z każdą obniżką kosztu skanowania.
Zatruwanie warstwy ustrukturyzowanej wychodzi z laboratorium
Opublikowane w tym roku badanie pokazało, że agenty ufają danym ze strukturalnych grafów wiedzy praktycznie bezwarunkowo — w 269 z 270 prób przyjęły sfabrykowane twierdzenia jako fakt. Osobno wykazano, że graf budowany z tekstu da się wypaczyć drobnymi zmianami w źródle. Brakuje ogniwa: udokumentowanego przypadku, w którym przejęta witryna zatruwa warstwę faktów odczytywaną przez maszyny. Wektor dostarczenia właśnie stał się masowo dostępny.
KSC2: zegar, który zaraz wybije
Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia. Sierpień i wrzesień to ostatnie pełne miesiące przed 3 października — terminem samoidentyfikacji i wpisu do wykazu podmiotów kluczowych i ważnych. Dwa elementy tej ustawy spinają ją wprost z tym, co opisujemy w tym Radarze: osobista odpowiedzialność kierownictwa za nadzór nad procedurami oraz instrument Dostawcy Wysokiego Ryzyka, dający państwu narzędzie do wykluczania konkretnych dostawców.
Lipiec dostarczył konkretnej ilustracji stawki. CERT Polska wydał komunikat o krytycznej podatności w rdzeniu WordPressa, pozwalającej przejąć witrynę bez znajomości loginu i hasła, zapowiadając masowe wykorzystanie w ciągu godzin. Twórcy systemu sięgnęli po nadzwyczajny środek i wymusili automatyczną aktualizację — a CERT ostrzegł wprost, że znane są liczne przypadki, w których ta wymuszona aktualizacja nie zadziałała. Powstał najgorszy możliwy stan: administrator przekonany, że rdzeń załatał się sam, podczas gdy witryna wciąż stoi otworem.
Dla organizacji wchodzącej w reżim osobistej odpowiedzialności kierownictwa to jest lekcja wykraczająca poza jedną lukę. Nadzór, którego się nie zweryfikowało, jest nadzorem wyłącznie z nazwy — i dokładnie tę różnicę zaczyna egzekwować prawo.
Na sierpień — sześć ruchów, które wynikają z lipca
Cztery miesiące temu pytaliśmy, czy coś jest złośliwe. Dwa temu — komu przyznaliśmy zaufanie. Miesiąc temu — czy da się zamknąć zdolność. W lipcu pytanie zawęziło się po raz ostatni: czym ją zatrzymać, gdy już działa.
Odpowiedź brzmi, że w obecnych architekturach niczym. Wszystko, co budowaliśmy jako hamulec — filtr w promptcie, ściana piaskownicy, okno zgody, zabezpieczenie wbudowane w model — było w istocie mechanizmem oceny. A ocena, choćby najtrafniejsza, nie zatrzymuje niczego, jeśli nie jest podłączona do czegoś, co przerywa zadanie.
To jest jedyny wniosek, który przetrwa ten miesiąc niezależnie od tego, co przyniesie sierpień. Bezpieczeństwo agenta nie zależy od tego, czy rozpozna, że robi coś złego. Zależy od tego, czego nie może zrobić technicznie — bo to jedyna granica, która nie wymaga, żeby cokolwiek się domyśliło, zawahało albo zatrzymało samo z siebie.
Cztery i pół dnia. Siedemnaście tysięcy sześćset działań. Ani jednego momentu wahania — nie dlatego, że maszyna nie wiedziała, co robi, lecz dlatego, że wiedza nigdy nie była tym, co ją zatrzymuje.
Nie nowy atak, tylko naprawiony błąd. Co łatka Gemini CLI mówi o tym, że tryb –yolo w potoku CI/CD to nie jest dobry pomysł