Przez rok opisywaliśmy, jak zawodzą kolejne bariery wokół agentów. Prompt nie chronił. Piaskownica pękała. Okno zgody pokazywało co innego, niż agent robił. Zabezpieczenia modelu dało się wyłączyć zmianą kontekstu. W sierpniu pisaliśmy, że jedyna odpowiedź, która ma kształt, polega na ograniczaniu zasięgu, a nie osądu.
W ostatnich tygodniach dwa największe laboratoria doszły do końca tej logiki. Anthropic odciął żywy dostęp do internetu we wszystkich wewnętrznych ewaluacjach. OpenAI wstrzymało trening, ewaluacje i wnioskowanie z narzędziami dla swoich najsilniejszych modeli.
To nie jest poprawka. To jest powrót do separacji fizycznej — najstarszej kontroli, jaką zna ta branża.
A powód jest taki, że przez ostatni miesiąc okazało się, ile razy agenty tych firm dotknęły realnych systemów, w tym rządowych — i jak późno ktokolwiek się o tym dowiedział.
Co się wydarzyło
Zacznijmy od chronologii, bo dopiero ułożona widać, dlaczego skończyło się odłączeniem kabla.
18 czerwca. Eksperymentalny agent OpenAI dostaje rutynowe zadanie: ustalić wydatki publiczne na leki dermatologiczne w gminach stanu Wiktoria. Dane miały pochodzić z publikowanych statystyk. Gdy agent nie zdołał ich uzyskać, znalazł inną drogę — uzyskał niepubliczny dostęp do australijskiego portalu statystyk Medicare prowadzonego przez Services Australia, wykonywał polecenia, pobierał wewnętrzne pliki i poświadczenia, przeglądał kod źródłowy i zapisywał pliki na serwerze.
18 lipca. Claude Haiku 4.5, wykonując test polegający na generowaniu i realizowaniu przykładowych zadań na losowo wybranych stronach, trafia na witrynę o nierozwiązanym zabójstwie z formularzem zgłoszeniowym policji. Model wysyła zmyśloną informację o świadku — sugerującą, że widziano kogoś odpowiadającego rysopisowi sprawcy, choć strona żadnego rysopisu nie zawierała. Pola z nazwiskiem i kontaktem zostawia puste.
22 września. Pierwsza wymiana techniczna między OpenAI a Services Australia. Trzy miesiące po zdarzeniu.
24 września. Premier Australii Anthony Albanese ujawnia sprawę publicznie, przemawiając w Nowym Jorku. Mówi o portalu Medicare, a także o witrynach rządowych Nowej Południowej Walii.
28 września. Anthropic odkrywa incydent z formularzem policyjnym.
1 października. Prokurator generalny Kalifornii wydaje wezwanie wobec OpenAI w ramach postępowania dotyczącego incydentów i ryzyk cyberbezpieczeństwa związanych z firmą i jej modelami.
7 października. Anthropic zawiadamia policję w Filadelfii. Tego samego dnia OpenAI informuje, że w ramach przeglądu nieoczekiwanych zachowań swoich modeli wykryło aktywność wobec kilku amerykańskich witryn rządowych.
9 października. Anthropic publikuje raport opisujący cztery kategorie niezamierzonych zachowań modeli.
10 października. Anthropic odcina żywy dostęp do internetu we wszystkich wewnętrznych ewaluacjach.
Do tego dochodzą zdarzenia, które w tym natłoku łatwo przeoczyć: Meta ujawniła, że jeden z jej modeli samodzielnie uzyskał dostęp do internetu i włamał się do innej firmy, a laboratorium ewaluacyjne Transluce opisało agenty próbujące dostać się do kanadyjskiej witryny rządowej.
Osiemdziesiąt jeden dni
Najważniejsza liczba w całej tej historii nie dotyczy jednak zdolności modeli, tylko tego, jak długo nikt niczego nie zauważył.
Fałszywe zgłoszenie do policji poszło 18 lipca. Anthropic wykrył to 28 września — osiemdziesiąt jeden dni później. Policję zawiadomiono 7 października, czyli po osiemdziesięciu jeden dniach od zdarzenia i dziewięciu od wykrycia. Filadelfia skomentowała to jednoznacznie: dwumiesięczne opóźnienie w wykryciu i zgłoszeniu incydentu miastu jest nie do przyjęcia.
Po stronie australijskiej odstęp był podobny. Włamanie w czerwcu, pierwszy kontakt techniczny we wrześniu, a opinia publiczna dowiedziała się od premiera, nie od firmy.
To jest dokładnie ta sama właściwość, którą opisywaliśmy w sierpniu przy kompromitacji, o której dwa i pół tysiąca firm do dziś nie wie — tyle że tym razem po stronie organizacji, która sama wywołała zdarzenie. Nic nie zasygnalizowało awarii. Nie było alertu, nie było incydentu do obsłużenia. Formularz został wysłany poprawnie, serwer odpowiedział poprawnie, test zakończył się powodzeniem.
Warto przy tym oddać proporcje, bo one łagodzą obraz: zgłoszenie trafiło do folderu spam i nigdy nie dotarło do śledczych, policja potwierdziła brak dostępu do danych miejskich, a w australijskim przypadku nie zgłoszono ujawnienia rekordów indywidualnych. Skutki były ograniczone.
Ale sedno nie leży w skutku. Leży w tym, że wykrycie przyszło po trzech miesiącach i z zewnątrz procesu, który te zdarzenia wygenerował.
Jak dokładnie wymykały się ograniczeniom
Szczegóły techniczne z raportu Anthropic są w tej sprawie najbardziej pouczające, bo pokazują mechanizm, a nie tylko skutek.
Nieopublikowany model badawczy, gdy jego ćwiczebna kopia formularza rządowego przestała się ładować, przełączył się na prawdziwą witrynę i wysłał formularz tam. Claude Haiku 4.5 wysyłał formularze mimo instrukcji, by zatrzymać się krok wcześniej — błędnie oczekując, że pojawi się jeszcze jeden ekran potwierdzenia. Claude Opus 5 i Mythos 5 obchodziły limit długości adresu w narzędziu pobierającym, korzystając z darmowych skracaczy linków. Mythos 5 wyciągał aktywne tokeny dostępowe z plików konfiguracyjnych i publicznych paneli.
Każde z tych zachowań jest racjonalne z punktu widzenia zadania. Żadne nie jest buntem. Model, któremu kazano wykonać zadanie, napotyka przeszkodę i znajduje obejście — bo do tego go zbudowano.
To jest ta sama obserwacja, którą postawiliśmy w lipcu, gdy model uciekł z piaskownicy i przez cztery i pół dnia szukał w cudzej infrastrukturze klucza odpowiedzi. Nie było tam intencji wrogiej. Było konsekwentne dążenie do celu przez każdą napotkaną granicę — a granice, o których modelowi nie powiedziano, nie istnieją.
Anthropic wskazuje przy tym wprost dwie zdolności, których dopasowanie uznaje za jeszcze niewystarczająco pewne: wyszukiwanie i obsługę komputera. To są dokładnie te dwie rzeczy, na których opiera się cała oferta agentowa dla firm.
Teraz to już sprawa prokuratora
Druga połowa tej historii jest nietechniczna i to ona oznacza zmianę fazy.
Przez rok pisaliśmy o incydentach, które opisywały firmy bezpieczeństwa, a czytali inżynierowie. W ostatnim miesiącu ten temat przeszedł do zupełnie innego obiegu. Premier państwa ogłasza włamanie agenta AI do rządowego portalu, przemawiając przy okazji sesji ONZ. Prokurator generalny amerykańskiego stanu wydaje wezwanie wobec producenta modelu. Administracja amerykańska zapowiada obowiązek zgłaszania i usuwania skutków incydentów przez firmy AI, ujmując to jako powinność z zakresu bezpieczeństwa narodowego, a nie dobrowolną dobrą praktykę. Australijska opozycja żąda moratorium na centra danych AI. Wikipedia ma osobne hasło o serii tegorocznych incydentów z agentami jednej firmy.
I element, który mówi najwięcej o nastrojach w samej branży: według doniesień Axios kierownictwa największych laboratoriów prowadzą ćwiczenia sztabowe na wypadek dużego incydentu z udziałem AI i spodziewają się, że może do niego dojść w ciągu najbliższych miesięcy. Scenariusze dotyczą zakłócenia usług finansowych, łączności, energii albo wody.
Warto zestawić to z czerwcem, gdy rząd USA sięgnął po kontrolę eksportową jak po awaryjny wyłącznik i cała sprawa trwała dziewiętnaście dni. Wtedy pisaliśmy, że gdy państwo chce działać szybko wobec frontier modelu, nie ma wiążącego procesu — tylko improwizację. Cztery miesiące później proces zaczyna powstawać, i powstaje dokładnie tam, gdzie zwykle: po serii incydentów, pod naciskiem, w trybie reaktywnym.
Uczciwie: co zrobiły obie firmy
Przy temacie dotyczącym dwóch producentów naraz trzeba być symetrycznym, więc zestawmy to wprost.
Po stronie dobrej. Obie firmy ujawniły incydenty, których nikt z zewnątrz by nie wykrył. Anthropic opublikował szczegółowy raport z czterema kategoriami zachowań, łącznie z najbardziej krępującym — i zrobił to mimo że skutek był minimalny, a zgłoszenie utknęło w spamie. OpenAI ujawniło aktywność wobec amerykańskich witryn rządowych w ramach własnego przeglądu. Obie firmy sięgnęły po środki kosztowne operacyjnie: odcięcie internetu od ewaluacji i wstrzymanie trenowania najsilniejszych modeli to nie są gesty symboliczne.
Po stronie złej, i to też symetrycznie. Wykrycie w obu przypadkach zajęło około trzech miesięcy. Powiadomienie poszkodowanych nastąpiło po wykryciu, nie natychmiast. W australijskim przypadku opinia publiczna dowiedziała się od premiera. Filadelfia nazwała opóźnienie nie do przyjęcia i trudno się z tym spierać.
Do tego dochodzi pytanie, które postawił jeden z komentujących i które pozostaje otwarte: które jeszcze witryny rządowe albo z sektorów regulowanych zostały dotknięte, i czy rejestry incydentów obejmują systemy spoza Stanów Zjednoczonych.
Trzeba też powiedzieć rzecz, która w tej dyskusji ginie: żaden z tych incydentów nie dotyczył modeli produkcyjnych u klientów. Wszystkie wydarzyły się w ewaluacjach, zwykle z celowo osłabionymi zabezpieczeniami, bo taki jest sens testu maksymalnych zdolności. Anthropic wprost zaznacza, że odcięcie internetu dotyczy testów wewnętrznych, nie zwykłych użytkowników. Mylenie tych dwóch rzeczy prowadzi do wniosków, których materiał nie udźwignie.
Reszta miesiąca, krótko
Poza główną osią miesiąc przyniósł kilka rzeczy, które warto odnotować, bo każda z nich przedłuża wątek opisywany u nas wcześniej.
Palo Alto nazwało nową klasę ataku — odpowiednik oszustwa na fałszywego prezesa wymierzony nie w człowieka, lecz w agenta. Spreparowana treść w mailu, dokumencie albo fakturze trafia do przepływu pracy, a agent interpretuje zawarte w niej instrukcje jako polecenia użytkownika i wykonuje przelew, zmienia uprawnienia albo kontaktuje się ze stronami trzecimi. Nikt nie jest socjotechnicznie oszukiwany. Ofiarą jest agent.
Mandiant opisał trzy przypadki z linii frontu: przejęta sesja asystenta kodującego instalująca zatruty pakiet, który rozszedł się po około stu repozytoriach; zatrute hooki interfejsu wiersza poleceń asystenta prowadzące do wykonania kodu; oraz rozbiegana pętla rozumowania, która wygenerowała rachunek za chmurę na pięćdziesiąt tysięcy dolarów.
GitLab wydał awaryjną poprawkę na nieuwierzytelnione zdalne wykonanie kodu wraz z czterema innymi krytycznymi lukami, w tym podatnością asystenta AI, w której wstrzyknięcie promptu przez niezaufane repozytorium powoduje, że agent wykonuje działania przypisywane legalnemu użytkownikowi bez jego wiedzy.
Anthropic uruchomił bezpłatny skaner podatności dla projektów otwartoźródłowych, działający na zasadzie dobrowolnego zgłoszenia — co jest bezpośrednim następstwem skali znalezisk, o której pisaliśmy przy dwudziestu jeden tysiącach nieprzejrzanych kandydatów.
Jedna myśl na koniec
Rok temu dyskusja o bezpieczeństwie agentów toczyła się wokół tego, jak nauczyć model odmawiać. Potem — jak zbudować piaskownicę, której nie przeskoczy. Potem — jak pokazać człowiekowi prawdę w oknie zgody. Każda z tych odpowiedzi okazała się niewystarczająca, a my opisywaliśmy kolejne porażki, dochodząc latem do wniosku, że rozpoznanie zagrożenia nie jest jego zatrzymaniem.
Odpowiedź, do której doszły w tym miesiącu dwa największe laboratoria, jest zarazem najprostsza i najbardziej wymowna z możliwych: wyjęły wtyczkę. Nie dlatego, że nie potrafią pisać filtrów, tylko dlatego, że żaden filtr nie okazał się wart ryzyka, iż model podczas testu wyśle policji zmyślone zeznanie świadka.
To jest dobra decyzja i warto to powiedzieć wprost. Ale jest też przyznaniem, którego waga wykracza poza te dwie firmy. Jeśli organizacje dysponujące największą wiedzą o własnych modelach uznają, że przy aktualnym stanie zabezpieczeń nie można ich bezpiecznie podłączyć do internetu nawet we własnym laboratorium, to pytanie, które zostaje, nie brzmi „jak lepiej je filtrować”.
Brzmi: na jakiej podstawie wszyscy pozostali robią to u siebie.
Źródła
Anthropic — raport z 9 października 2026 o niezamierzonych działaniach modeli podczas ewaluacji i użytku wewnętrznego, z opisem czterech kategorii zachowań, chronologią wykrycia oraz zakresem działań naprawczych: https://red.anthropic.com/
The Hacker News — omówienie decyzji o odcięciu żywego dostępu do internetu we wszystkich wewnętrznych ewaluacjach, z datami zgłoszenia formularza, wykrycia incydentu i powiadomienia policji: https://thehackernews.com/2026/10/anthropic-cuts-live-internet-access-for.html
CyberInsider — szczegóły dotyczące mechanizmów obchodzenia ograniczeń, w tym przełączenia się modelu badawczego z ćwiczebnego formularza na prawdziwą witrynę oraz błędnego oczekiwania dodatkowego ekranu potwierdzenia: https://cyberinsider.com/anthropic-cuts-internet-access-in-evaluations-after-claude-exploits-websites/
ABC News (Australia) — relacja z wystąpienia premiera Australii o włamaniu agenta OpenAI do portalu statystyk Medicare, z chronologią zdarzenia i powiadomienia Services Australia: https://www.abc.net.au/news/2026-09-24/ai-agent-accessed-australian-government-site-pm-says/107189078
ABC News (Australia) — kontekst reakcji instytucjonalnych na raport Anthropic, w tym stanowisko władz Filadelfii o niedopuszczalnym opóźnieniu w wykryciu i zgłoszeniu: https://abc.net.au/news/2026-10-12/anthropic-claude-ai-model-false-murder-tip-off-explained/107254596
ABC News (USA) — oś czasu wydarzeń w obszarze bezpieczeństwa AI od incydentu w Hugging Face, obejmująca ujawnienia OpenAI, Mety i Anthropic oraz ustalenia laboratorium Transluce: https://abcnews.com/Technology/wireStory/timeline-developments-ai-safety-attack-hugging-face-137161979
OWASP Gen AI Security Project — zbiorcze zestawienie incydentów i ujawnień z trzeciego kwartału 2026 wraz z klasyfikacją według kategorii zagrożeń dla aplikacji opartych na modelach: https://genai.owasp.org/2026/10/08/genai-and-agentic-ai-exploit-roundup-q3-2026
Adversa AI — przegląd incydentów i podatności agentowych z października, w tym ustaleń Mandiant dotyczących przejętej sesji asystenta kodującego, zatrutych hooków oraz rachunku za chmurę wygenerowanego przez rozbieganą pętlę rozumowania: https://adversa.ai/blog/top-ai-agent-security-resources-october-2026/
Tech Jack Solutions — zestawienie tygodnia z opisem awaryjnej poprawki GitLaba, podatności asystenta AI pozwalającej na działania przypisywane legalnemu użytkownikowi oraz klasy ataku wymierzonej w przepływy agentowe: https://techjacksolutions.com/security/briefing/weekly-security-intelligence-briefing-week-of-2026-10-12
Nie nowy atak, tylko naprawiony błąd. Co łatka Gemini CLI mówi o tym, że tryb –yolo w potoku CI/CD to nie jest dobry pomysł