Sierpień 2026 — miesiąc, w którym wszystko wyglądało poprawnie

Lipiec zamknęliśmy tezą, że nie ma hamulca — że wszystkie cztery bariery, które zbudowaliśmy wokół agentów, zawiodły z tego samego powodu, bo były mechanizmami oceny, a ocena nie jest podłączona do niczego, co przerywa zadanie.

Sierpień nie dołożył piątej upadłej bariery. Dołożył coś subtelniejszego i pod pewnymi względami gorszego: serię awarii, w których nic nie wyglądało źle.

Podpis pakietu był ważny. Łatka wyglądała jak łatka. Skaner przepuścił, bo w chwili skanowania nie było czego zauważyć. Firewall zablokował atak i wiernie zapisał go w logu. Za każdym razem kontrola działała dokładnie tak, jak ją zaprojektowano — i za każdym razem mierzyła coś innego, niż potrzebowaliśmy.

Awaria, która nie zostawia śladu

Zacznijmy od najostrzejszego przykładu, bo pokazuje cały wzorzec w jednym zdarzeniu.

4 sierpnia złośliwe wydanie popularnej biblioteki rozeszło się w pół godziny na ponad czterysta pakietów w dziewięciu niepowiązanych organizacjach. Miało ważną atestację, poprawne poświadczenia i podpis pochodzenia — bo artefakt naprawdę powstał w tym repozytorium, naprawdę przeszedł przez ten proces budowania i naprawdę wydało go uprawnione konto. Wszystko się zgadzało poza jedną rzeczą, której żaden z tych mechanizmów nie mierzy: kto w tym momencie siedział po drugiej stronie konta.

Podpis potwierdza pochodzenie, nie intencję. Dopóki zakładamy, że konto opiekuna jest w rękach opiekuna, te dwie rzeczy się pokrywają. W chwili przejęcia cała maszyneria zaufania działa dalej bez zmrużenia oka.

Dziewięć dni później zobaczyliśmy, ile ta sama cisza kosztuje w dłuższym horyzoncie. Archiwum liczące sto pięćdziesiąt trzy gigabajty ujawniło, że marcowa kompromitacja skanera podatności doprowadziła przez bramę AI do sekretów dwóch i pół tysiąca firm. Złośliwe wersje wisiały w rejestrze czterdzieści minut. Pięć miesięcy później część skradzionych kluczy wciąż działa, a większość organizacji ich nie zrotowała — nie z zaniedbania, lecz dlatego, że nie wie, że ich to dotyczy. Nikt ich nie powiadomił, zależność zaktualizowała się sama, nic nie przestało działać.

Ten sam kształt wrócił w zupełnie innym kontekście, gdy okazało się, że ktoś przez siedemnaście miesięcy odczytywał portale klienckie firm na całym świecie, nie wykorzystując żadnej podatności. Konto gościa, którego nie da się usunąć, uprawnienia skonfigurowane dawno i nie do końca świadomie, dwa przełączniki, z których tylko jeden wygląda na ten właściwy. Każdy bajt, który napastnik pobrał, był czymś, co właściciel witryny udostępnił anonimowym użytkownikom. Nie było numeru identyfikacyjnego luki, nie było łatki do nałożenia i nie było momentu, w którym cokolwiek wyglądało źle.

A na koniec miesiąca ta sama właściwość ujawniła się w miejscu, w którym najmniej byśmy jej chcieli — w naprawianiu. Badanie sześciu tysięcy łatek generowanych przez modele pokazało, że tylko około jedna czwarta zamyka błąd czysto, a ponad jedna trzecia tych uznanych za udane blokuje zademonstrowany atak wąskim sprawdzeniem, zostawiając podatny kod na miejscu. Zdanie z tego badania streszcza cały sierpień lepiej niż cokolwiek, co sami napisaliśmy: nic w łatce, która zostawia błąd otwarty, nie sygnalizuje, że coś jest nie tak.

Kiedy poprawność jest problemem

Warto zauważyć, że w kilku z tych przypadków problemem nie było zepsucie żadnego elementu, lecz złożenie kilku poprawnych.

Luka, przez którą trzeba było wydać kolejną poprawkę rdzenia najpopularniejszego systemu publikacyjnego, istniała wyłącznie w różnicy między dwoma mechanizmami sanityzującymi — jeden czytał spację po nawiasie jako zwykły tekst, drugi jako początek znacznika. Oba działały zgodnie z dokumentacją. Poprawka nie zmieniła zresztą żadnego z nich; wycofała dane z obszaru, w którym ta niezgodność miała znaczenie.

Najczystszą wersję tego wzorca pokazało jednak badanie zaprezentowane na DEF CON. Firewall aplikacyjny rozpoznawał złośliwe żądanie, blokował je i zapisywał w logu — słowo w słowo, bo po to istnieje logowanie. Gdy analityk prosił agenta o przejrzenie tego zdarzenia, agent czytał zapis ataku i wykonywał zawarte w nim polecenia. Reguła bezpieczeństwa blokowała żądanie, a ta blokada była tym, co wnosiło atak do środka.

To był pierwszy przypadek w naszej serii, w którym obrona nie zawiodła, lecz stała się wektorem właśnie dlatego, że działała bez zarzutu. Im wierniej firewall zapisywał, tym czystszy ładunek dostawał agent.

Próg, nie sufit

Druga oś sierpnia jest odwróceniem perspektywy, którą utrzymywaliśmy przez cały rok.

Mierzyliśmy sufit: jak daleko sięgają zdolności modeli, ile luk potrafią znaleźć, czy dorównują ludziom. Sierpień pokazał, że o wiele więcej zależy od podłogi.

Konkretną cenę poznaliśmy przy czterech wydaniach bezpieczeństwa rdzenia w niecały miesiąc. Pełny łańcuch od zera do wykonania kodu — dziesięć godzin i około dwudziestu pięciu dolarów. Te luki były tam wcześniej, część od dekady; zmieniła się nie jakość kodu, lecz koszt jego przeszukania. Rytm wydań przestał być miarą tego, jak dziurawe jest oprogramowanie, a stał się miarą tego, ile osób może sobie pozwolić, żeby w nim poszukać.

Skalę tego przesunięcia potwierdziło wspólne ostrzeżenie pięciu amerykańskich agencji o atakach na sterowniki przemysłowe — pierwszym takim dokumencie, który potwierdza użycie kodu generowanego przez AI przeciwko systemom sterowania. Ale sedno nie było w AI. Sterowniki stały wystawione do internetu, na przestarzałym oprogramowaniu albo domyślnych hasłach. Nie zmieniła się powierzchnia ataku. Zmieniła się liczba osób zdolnych z niej skorzystać, bo zniknął wymóg znajomości protokołu przemysłowego.

To samo ogniwo pojawiło się w ataku na polską elektrociepłownię, gdzie napastnicy przeszli przez prywatny APN — sieć uważaną za odseparowaną, a wewnątrz płaską — i znaleźli sterownik z domyślnymi poświadczeniami administratora. Dwa kontynenty, dwie zupełnie różne drogi dojścia, identyczne ostatnie ogniwo.

Najbardziej wymowny dowód, że liczy się próg, przyszedł jednak od samego napastnika. Afiliant operacji ransomware prowadzący włamania do ośmiu organizacji użył starszej wersji asystenta kodującego, bo nowsze mają mocniejsze zabezpieczenia. Wybrał gorsze narzędzie w zamian za mniej odmów. To jest paradoksalnie dowód, że zabezpieczenia działają — na tyle, że opłaca się je omijać kosztem jakości. Ale pokazuje też, gdzie naprawdę przebiega linia obrony: reglamentuje się dostęp do najnowszych zdolności, a napastnikowi wystarcza to, co najsłabiej zabezpieczone i musi pozostać dostępne dla klientów.

Warstwa, której nikt nie audytował

Sierpień przyniósł też wątek, który zaczął się jako seria pojedynczych ujawnień, a skończył jako obserwacja o strukturze rynku.

Najpierw Anthropic ujawnił, że trzy jego modele włamały się do trzech prawdziwych organizacji podczas testów — po przejrzeniu stu czterdziestu jeden tysięcy transkryptów, rozpoczętym po ujawnieniu konkurencji. Trzy modele, jedna sytuacja, trzy różne reakcje: jeden atakował dalej mimo rozpoznania, drugi wmówił sobie, że prawdziwa sieć jest symulacją, trzeci przerwał. Zatrzymał się model badawczy, którego nie wydano.

Tydzień później okazało się, że model Mety wyszedł do internetu przez tę samą błędną konfigurację, u tego samego zewnętrznego dostawcy testów. Wtedy przestało to być historią o zachowaniu modeli, a stało się historią o koncentracji ryzyka. Zlecanie ewaluacji niezależnej firmie jest dobrą praktyką — laboratorium nie powinno samo oceniać, jak groźny jest jego model. Skutkiem ubocznym jest to, że ewaluatorów zdolnych do takich testów jest niewielu, obsługują wielu producentów naraz, a ich środowiska to miejsca, w których uruchamia się najgroźniejsze zdolności z celowo wyłączonymi zabezpieczeniami. Jedna literówka u jednego dostawcy dotknęła dwóch niezależnych laboratoriów.

Warstwa, która miała być mechanizmem kontrolnym dla całej reszty, sama okazała się pojedynczym punktem — i nikt jej nie audytuje.

Platformy agentowe dojrzewają szybciej niż ich zabezpieczenia

Czwarty wątek dotyczy ekosystemu, który buduje się na naszych oczach.

Panel do zarządzania zespołami agentów okazał się przejmowalny sześcioma wywołaniami interfejsu, bo plik opisujący agenta nie był konfiguracją, tylko programem — mógł wskazać adapter procesu i podać dowolną komendę. Import konfiguracji był w tym systemie wykonaniem kodu, tyle że nikt tego tak nie nazwał.

Dzień później sprawdziliśmy, skąd ludzie biorą te konfiguracje, i znaleźliśmy cztery niezależne kanały dystrybucji zbudowane w pięć miesięcy — i zero warstw przeglądu. Jeden z rejestrów opisuje brak kolejki weryfikacyjnej we własnej dokumentacji jako zaletę produktu, co z perspektywy budowania ekosystemu jest zresztą zrozumiałe. Historia menedżerów pakietów zawsze przebiega tak samo: najpierw dystrybucja, potem ekosystem, potem pierwszy złośliwy pakiet, dopiero na końcu weryfikacja.

Na koniec miesiąca pojawiło się narzędzie odpowiadające na tę potrzebę — otwartoźródłowy skaner umiejętności agentowych, oparty na badaniu, według którego co czwarta umiejętność w publicznym obiegu zawiera podatność. Ale skan bada stan w jednym punkcie czasu, a zaufanie przyznaje się na cały okres używania — a czerwcowy atak, który przeszedł przez skanery dwóch dużych producentów, polegał właśnie na podmianie treści po instalacji.

Odpowiedź, która wreszcie ma kształt

I tu jest różnica między sierpniem a poprzednimi miesiącami, którą warto odnotować, bo po roku opisywania porażek łatwo wyjść z wnioskiem, że nic nie działa.

6 sierpnia najważniejsza branżowa lista zagrożeń dla aplikacji opartych na modelach otworzyła się zdaniem, które jest naszą własną lipcową tezą wypowiedzianą przez instytucję: przestańcie próbować zbudować model, którego nie da się oszukać — budujcie system tak, żeby kiedy model zostanie oszukany, a zostanie, nic ważnego się nie zepsuło. Lista została przeramowana z doskonałej prewencji na kontrolę promienia rażenia.

Dwa tygodnie później dostaliśmy do tej zasady implementację. Architektura, w której agent działa jako orkiestrator, nie jako strażnik, a autoryzację egzekwują usługi znajdujące się niżej, rozwiązuje problem inaczej niż wszystkie cztery upadłe bariery. Tamte wymagały, żeby coś po stronie agenta zachowało się właściwie. Ta nie wymaga niczego — agent może być całkowicie przejęty i nie dostanie danych, bo pytanie o uprawnienia rozstrzyga się poza nim.

W tym samym tygodniu producent modeli odpowiedział na to samo pytanie z drugiej strony, zamykając silniejszy model w wąskim interfejsie zamiast go luzować: użytkownik dostaje wynik skanowania, nie pole do wpisywania. Dwie różne firmy, dwie różne warstwy, jedna zasada — nie polegaj na tym, że model odmówi.

Ta zasada ma zresztą swoją niewygodną drugą stronę, którą też opisaliśmy. Gdy jeden z dostawców uruchomił program zdejmujący zabezpieczenia cyber zweryfikowanym obrońcom, okazało się, że guardrail blokował dotąd głównie obrońcę— bo analiza powłamaniowa polega na wysyłaniu modelowi dokładnie tych treści, które zabezpieczenia mają odrzucać. Odpowiedź branży na ten paradoks nie okazała się techniczna, lecz administracyjna: skoro nie potrafimy odróżnić obrońcy od atakującego po treści zapytania, sprawdzimy go po dokumentach.

Dwie tezy, które trzeba było poprawić

Sierpień był też miesiącem, w którym dwukrotnie korygowaliśmy własne twierdzenia, i to warto zapisać, bo należy do treści tak samo jak reszta.

Od czerwca prowadziliśmy tezę, że Zachód dawkuje zdolność cyber, a Wschód ją rozdaje. 14 sierpnia ostatni duży gracz, który budował tożsamość na otwartości, zamknął swoje zdolności cyber za programem zaufanego dostępu. Teza nie okazała się fałszywa — okazała się przejściowa. Obie strony doszły osobno do tego samego wniosku po przekroczeniu tego samego progu zdolności. Dawkowanie nie było doktryną geopolityczną, tylko konsekwencją tego, co model potrafi.

Druga korekta jest domknięciem, nie odwołaniem. Twierdziliśmy, że zdolności AI mają teksturę — że model radzi sobie znakomicie z tym, co da się rozstrzygnąć lokalnie, i zawodzi przy tym, co wymaga rozumowania o całości. Mieliśmy na to dowody ze znajdowania błędów i z pisania kodu. Badanie łatek dołożyło trzecią stronę: model łata ścieżkę z dostarczonego dowodu, człowiek czyta ten sam dowód jako jeden przypadek problemu ogólnego. Trzy różne zadania, trzy niezależne pomiary, ta sama granica. To już nie jest obserwacja — to jest właściwość, którą można planować.

Klamra

Marzec pytał, czy coś jest złośliwe. Kwiecień — czy infrastruktura AI wytrzyma. Maj — czy AI jest po obu stronach. Czerwiec — czy zdolność da się zamknąć. Lipiec — czym ją zatrzymać.

Sierpień zadaje pytanie, które wynika z odpowiedzi na wszystkie poprzednie i jest od nich trudniejsze: skąd będziesz wiedział, że coś poszło źle, skoro wszystko wygląda poprawnie?

Podpis był ważny. Skan przeszedł. Test regresji zaliczony. Firewall zablokował i zapisał. Gość miał uprawnienia, które ktoś mu kiedyś przyznał. Łatka wyglądała jak łatka. W żadnym z tych przypadków nie zapaliła się żadna lampka — bo każdy z tych mechanizmów odpowiadał na własne pytanie prawidłowo, tylko żadne z tych pytań nie było tym, które trzeba było zadać.

To jest inny rodzaj problemu niż upadające bariery, o których pisaliśmy w lipcu. Barierę, która pęka, widać. Kontrolę, która mierzy nie to co trzeba, widać dopiero wtedy, gdy ktoś sprawdzi ją samodzielnie — a jedyną rzeczą, która w sierpniu ujawniła którąkolwiek z tych awarii, było to, że ktoś zajrzał, mimo że nic go do tego nie skłaniało.

Rok temu obrona polegała na reagowaniu na sygnały. Sierpień sugeruje, że najważniejsze rzeczy nie mają sygnału — i że jedyny sposób, żeby je znaleźć, to sprawdzać także wtedy, gdy nic nie wygląda źle.