Lori MacVittie, Distinguished Engineer i Chief Evangelist w F5, twierdzi, że tradycyjny model bezpieczeństwa oparty na sprawdzaniu pojedynczych żądań przestaje wystarczać w systemach z agentami AI. Agent może wykonać serię w pełni dozwolonych operacji, które dopiero razem prowadzą do skutku, jakiego nikt nie przewidział, dlatego firmy powinny kontrolować całe zachowanie agenta i wyznaczać granice jego autonomii.
- Lori MacVittie z F5 argumentuje, że tradycyjny model bezpieczeństwa oparty na sprawdzaniu pojedynczych żądań jest niewystarczający dla agentów AI, ponieważ agent może wykonać serię w pełni dozwolonych operacji, które dopiero łącznie prowadzą do niezamierzonego i potencjalnie niebezpiecznego skutku.
- Według raportu Gravitee „State of AI Agent Security 2026", opartego na ankiecie wśród ponad 900 respondentów, aż 88 proc. firm potwierdziło lub podejrzewa incydent bezpieczeństwa z udziałem agenta AI w ciągu ostatniego roku, a tylko 14,4 proc. uruchomiło agentów z pełną zgodą działów bezpieczeństwa i IT.
- MacVittie postuluje podejście „behavioral governance", w którym API gatewaye i platformy orkiestracyjne obserwują całe sekwencje działań agenta i reagują stopniowo – przez throttling lub przekierowanie do kontrolowanego środowiska – zamiast blokować pojedyncze żądania.
Stanowisko MacVittie pochodzi z jej wpisu „Behavior and boundaries: The agentic security shift” na blogu F5 z 3 czerwca 2026 roku. Polskie biuro prasowe F5 rozesłało jego omówienie 20 października 2026 roku. Punktem wyjścia dla autorki jest OWASP Top 10 for Agentic Applications, czyli pierwsza lista najpoważniejszych zagrożeń dla aplikacji agentowych, opublikowana przez fundację OWASP (Open Worldwide Application Security Project) pod koniec grudnia 2025 roku.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Każde żądanie poprawne, cała sekwencja niebezpieczna
Istotą problemu opisanego przez MacVittie jest to, że ryzyko w systemach agentowych nie powstaje w jednym nieautoryzowanym żądaniu, tylko kumuluje się w czasie. Klasyczna aplikacja porusza się po ścieżkach zaprojektowanych wcześniej przez programistów. Agent AI dostaje cel, a potem sam dobiera kolejne kroki, analizuje wyniki, zmienia strategię i sięga po następne narzędzia lub źródła danych. Przepływ powstaje w trakcie działania, a nie na etapie projektowania.
„Każde pojedyncze żądanie może być całkowicie poprawne: tożsamość się zgadza, uprawnienia pasują, polityka przepuszcza, a mimo to całe zachowanie może odpłynąć daleko od tego, co było zamierzone” / „Each individual request may be perfectly valid in that the identity is correct, permissions align, and policy passes, yet the overall behavior can drift far from what was intended.”
MacVittie porównuje sposób działania agenta do napastnika, który „eksploruje ścieżki jak bardzo cierpliwy atakujący” / „exploring paths like a very patient attacker”. Różnica polega na tym, że agent robi to w dobrej wierze, w ramach powierzonego mu zadania.
Autorka docenia, że lista OWASP trafnie wskazuje zagrożenia rozwijające się w sekwencjach: nadużycie narzędzi, dziedziczenie uprawnień między kolejnymi krokami i przejęcie celu agenta. Zarzuca jej jednak, że proponowane środki zaradcze nadal tkwią w modelu „żądanie-odpowiedź”, w którym podstawową jednostką kontroli jest pojedynczy request. Jej zdaniem OWASP sam zauważa, że „agenci nie wymyślają zupełnie nowych trybów awarii, tylko czynią stare bardziej niebezpiecznymi” / „agents don’t invent entirely new failure modes; they make old ones more dangerous”.
Przykład z katalogami: to samo zachowanie jest atakiem albo pracą
Najbardziej obrazowy przykład w tekście MacVittie dotyczy poruszania się po systemie plików. Przez lata nietypowe przechodzenie między katalogami (directory traversal) było uznawane za sygnał ataku, i zwykle słusznie, bo w klasycznej aplikacji zbiór oczekiwanych ścieżek jest znany z góry.
Agent, którego zadaniem jest odnalezienie dokumentów i zebranie kontekstu, musi jednak po katalogach chodzić. Zablokowanie mu tego czyni go bezużytecznym. Pozostawienie pełnej swobody oddaje agresywnemu eksploratorowi, jak pisze autorka, „klucze do królestwa”. Problemem nie jest więc sama eksploracja, tylko eksploracja bez granic. Tę samą logikę MacVittie stosuje do nadużycia narzędzi, przejęcia celu i zatruwania pamięci agenta: w każdym z tych przypadków ryzyko narasta w czasie i trzeba je oceniać w kontekście całej sekwencji działań.
Wypełnij formularz, a my skontaktujemy się z Tobą, aby upewnić się czego potrzebujesz.
Co F5 proponuje zamiast sprawdzania pojedynczych żądań
MacVittie nazywa postulowane podejście „behavioral governance”, czyli ciągłym zarządzaniem zachowaniem systemu. Uwierzytelnianie, role i zakresy uprawnień pozostają potrzebne, ale są zbyt grubym narzędziem, by rządzić zachowaniem agenta w czasie. „Zamiast narzucać dokładne ścieżki, zdefiniuj przestrzeń działania” / „Instead of prescribing exact paths, define the operating space.”
W praktyce autorka wymienia cztery rodzaje ograniczeń:
- granice zasobów, na przykład odczyt z określonych zbiorów danych, ale nigdy zapis do systemów produkcyjnych,
- limity ilościowe: pułap liczby operacji, kosztów lub rozszerzania zakresu zadania,
- ograniczenia możliwości, w tym wymóg dodatkowej zgody przed wykonaniem operacji destrukcyjnej,
- polityki warunkowe, które zaostrzają się, gdy rośnie ryzyko.
Zmienia się przy tym rola infrastruktury. API gatewaye, service meshe i platformy orkiestracyjne mają nie tylko przepuszczać lub blokować pojedynczy ruch, ale obserwować całe sekwencje, korelować je i reagować, gdy agent zbliża się do limitów. Reakcja ma być stopniowana, a nie zero-jedynkowa: spowolnienie tempa działania (throttling), przekierowanie do bardziej kontrolowanego środowiska lub dopiero w ostateczności przerwanie sekwencji. Polityki powinny być doprecyzowywane na podstawie obserwowanego zachowania agentów.
Wniosek MacVittie zamyka się w jednym zdaniu: „Jednostką bezpieczeństwa nie jest już żądanie, jest nią zachowanie” / „The unit of security is no longer the request, it’s behavior.”
Tekst MacVittie trafia w sedno, ale trzeba pamiętać, kto go napisał. F5 sprzedaje API gatewaye, load balancery i platformę bezpieczeństwa aplikacji, więc teza „kontrola musi przenieść się do warstwy sieciowej i obserwować całe sekwencje” jest jednocześnie diagnozą i ofertą handlową. Nie unieważnia to argumentu, bo problem łańcucha poprawnych operacji prowadzących do złego skutku jest realny i znany z audytów bezpieczeństwa od dawna, tyle że wcześniej taki łańcuch budował człowiek, a teraz buduje go model, który robi to szybciej i bez zmęczenia. Mam natomiast wątpliwość praktyczną: kto w firmie ma zdefiniować tę „przestrzeń działania”? Granice typu „bez zapisu do produkcji” są proste. Ale limit „rozszerzania zakresu zadania” wymaga, żeby ktoś najpierw umiał powiedzieć, co jest zakresem zadania agenta, a większość organizacji wdraża agentów właśnie dlatego, że nie chce tego opisywać krok po kroku. Jeśli odpowiedzią ma być „niech infrastruktura się uczy na obserwowanym zachowaniu”, to wracamy do pytania, ile incydentów trzeba przeżyć, zanim polityka stanie się sensowna.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Branża wdraża agentów szybciej, niż umie ich pilnować
Skalę problemu pokazuje raport „State of AI Agent Security 2026” firmy Gravitee z 4 lutego 2026 roku, oparty na ankiecie wśród ponad 900 menedżerów i praktyków technicznych. Według niego 80,9 proc. zespołów technicznych wyszło poza etap planowania i testuje lub produkcyjnie używa agentów AI, ale tylko 14,4 proc. deklaruje, że wszystkie agenty zostały uruchomione z pełną zgodą działów bezpieczeństwa i IT.
Ten sam raport podaje, że średnio 47,1 proc. agentów w organizacji jest aktywnie monitorowanych lub zabezpieczanych, a 88 proc. firm potwierdziło lub podejrzewa incydent bezpieczeństwa z udziałem agenta AI w ciągu ostatniego roku. W kwestii tożsamości, którą MacVittie uznaje za niewystarczającą, ale konieczną, 45,6 proc. zespołów używa współdzielonych kluczy API do uwierzytelniania między agentami, a tylko 21,9 proc. traktuje agentów jako odrębne tożsamości. Gravitee, podobnie jak F5, sprzedaje rozwiązania do zarządzania API, więc dane warto czytać z tą samą rezerwą.
Lista OWASP Top 10 for Agentic Applications 2026, do której odnosi się MacVittie, obejmuje dziesięć kategorii, od przejęcia celu agenta (ASI01) i nadużycia narzędzi (ASI02), przez nadużycie tożsamości i uprawnień (ASI03) oraz zatruwanie pamięci i kontekstu (ASI06), po kaskadowe awarie (ASI08) i agentów wymykających się spod kontroli (ASI10).
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Jak wygląda sytuacja w polskich firmach
Polskie dane o agentach AI w kontekście bezpieczeństwa są na razie skąpe, ale badanie EY „Jak polskie firmy wdrażają AI” (trzecia edycja, przeprowadzone przez CubeResearch w czwartym kwartale 2025 roku na próbie 499 średnich i dużych firm) pokazuje, na jakim etapie jest rynek. Bezpieczeństwo danych i cyberbezpieczeństwo wskazało jako największą barierę we wdrażaniu AI 39 proc. firm. Politykę korzystania z AI obejmującą zarówno systemy wewnętrzne, jak i publiczne ma 53 proc. badanych, a kolejne 30 proc. reguluje wyłącznie użycie narzędzi publicznych.
Są to jednak polityki dotyczące ludzi korzystających z AI, a nie agentów działających samodzielnie w systemach firmowych. Badanie EY w ogóle nie pyta o agentów. Jeśli diagnoza MacVittie jest trafna, polskie firmy, które dopiero porządkują zasady użycia ChatGPT przez pracowników, będą musiały w krótkim czasie przejść do zupełnie innego problemu: jak ograniczyć program, który sam decyduje, do jakich danych sięgnąć.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym wpisu Lori MacVittie na blogu F5 „Behavior and boundaries: The agentic security shift” z dnia 03.06.2026, informacji prasowej polskiego biura F5 (agencja monday group) z dnia 20.10.2026, listy OWASP Top 10 for Agentic Applications 2026 oraz raportu Gravitee „State of AI Agent Security 2026” z dnia 04.02.2026. Dane o polskich firmach pochodzą z badania EY „Jak polskie firmy wdrażają AI” z dnia 16.02.2026.
Cytaty Lori MacVittie, Distinguished Engineer i Chief Evangelist w F5, zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym.
Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl.
Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji w temacie bezpieczeństwa agentów AI.
