Tydzień, w którym modele AI pomogły znaleźć w PHP lukę ukrytą od ponad dekady i zagrażającą ok. 70 proc. stron w sieci, Anthropic wypuścił agenta piszącego do użytkownika z własnej inicjatywy, a Barclays ogłosił 5 tys. zwolnień z programistami na liście. Jeśli masz pięć minut, poniżej jest wszystko, co musisz wiedzieć, żeby nie wypaść z rozmowy przy kawie.
- Modele GPT-5.6 Sol i Gemini 4 Argon pomogły niezależnie znaleźć krytyczne luki PHP2Shell (CVSS 9.2) w PHP, które zagrażają ok. 70 proc. stron w sieci, w tym opartym na WordPressie, Drupalu i Joomli – według Wiz jeden badacz wspierany przez AI zbudował działający exploit w tydzień, co wcześniej zajęłoby światowej klasy zespołowi miesiące.
- Barclays ogłosił likwidację ok. 5 tys. etatów do końca 2026 roku (ok. 5 proc. zatrudnienia), wprost łącząc cięcia z wdrażaniem AI, a dyrektor finansowa Anna Cross wymieniła wśród zwalnianych programistów – bank poinformował o tym razem z wynikami za III kwartał, gdzie zysk przed opodatkowaniem wyniósł 2,3 mld funtów (+12 proc.).
- Badanie opublikowane 22 października w „Science" wykazało, że system Microsoftu MAI-DxO połączony z GPT-5 postawił prawidłową diagnozę w 83,2 proc. trudnych przypadków z „New England Journal of Medicine", wobec 36,1 proc. u lekarzy ogólnych, choć test odbył się w symulacji bez udziału pacjentów, a wszyscy 15 autorów to pracownicy Microsoftu posiadający akcje firmy.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
PHP2Shell: AI znalazła lukę sprzed dekady. Sam Altman przyznaje, że wszystkich błędów już nie załatamy
21 października twórcy PHP opublikowali poprawki dwóch krytycznych podatności (CVE-2026-109618 i CVE-2026-109619, CVSS 9.2), które pozwalają przejąć serwer bez logowania. Nazwane PHP2Shell luki dotyczą wszystkich wersji języka od 5.4 wzwyż, czyli także stron na WordPressie, Drupalu i Joomli. Znalazły je niezależnie dwie firmy: Calif z pomocą GPT-5.6 Sol oraz Wiz z pomocą Gemini 4 Argon i GPT-5.6 Sol. Według Wiz jeden badacz wspierany przez AI zbudował działający exploit w tydzień. Wcześniej zajęłoby to światowej klasy zespołowi miesiące. Po ujawnieniu Cloudflare liczył próby ataku w milionach. Amazon wykrył pierwszą próbę wykorzystania luki już 17 października, cztery dni przed publikacją. Dwa dni po poprawkach pojawiła się powiązana luka CVE-2026-115560, która dotyczy także załatanych wersji.
Sam Altman skomentował to krótko: „Nie sądzę już, że będziemy w stanie załatać wszystkie błędy”. Jason Clinton z Anthropic zapowiedział „tsunami podatności”. W tym samym tygodniu Anthropic pokazał, jak AI może działać po stronie obrony. Claude przeanalizował 25 projektów open source o łącznej objętości ponad 5 mln linii kodu i zmniejszył o jedną piątą kod OpenSSH dostępny przed logowaniem, czyli powierzchnię, którą da się zaatakować.
Co to znaczy dla normalnego człowieka? O przewadze atakującego lub obrońcy decyduje dziś to, kto szybciej uruchomi model. Tym razem szybsi byli obrońcy. Język obsługujący większość internetu utrzymuje jednak fundacja z 13 pracownikami. Jeśli masz firmową stronę na WordPressie, ten temat dotyczy ciebie bezpośrednio (sposób sprawdzenia znajdziesz niżej, w „Narzędziu na 5 minut”).
Pełny artykuł: PHP2Shell: AI znalazła krytyczne luki w PHP, Sam Altman: nie załatamy już wszystkich błędów oraz Claude zmniejszył o jedną piątą kod OpenSSH dostępny przed logowaniem
Claude Duet: Anthropic uruchamia agenta, który odzywa się pierwszy
Anthropic otworzył 21 października wersję testową Claude Duet, osobnej aplikacji opartej na Claude Opus 5.5. Agent co rano wysyła skrót najważniejszych spraw z podłączonych aplikacji, co kilka godzin sprawdza je ponownie i wykonuje zlecone zadania na własnej maszynie wirtualnej. Działa nawet wtedy, gdy komputer użytkownika jest wyłączony. Ma dostęp do ponad 6000 konektorów, w tym QuickBooks, Stripe, Gusto i Shopify. Przed wysłaniem wiadomości, płatnością czy podpisem pyta o zgodę. Handel papierami wartościowymi i przelewy między kontami są zablokowane nawet za zgodą użytkownika. Duet wchodzi na rynek trzy tygodnie po Dots od OpenAI i sześć tygodni po Muse od Meta.
Dla polskiego użytkownika najważniejsza informacja jest prosta: żaden z tych trzech agentów nie działa w Polsce. Claude Duet jest dostępny wyłącznie dla subskrybentów Pro i Max w USA, przez listę oczekujących. Wyścig o asystenta, który sam się odzywa, toczy się na razie bez Europy. Żadna z firm nie wyjaśniła, czy powodem są regulacje, czy zwykła kolejka wdrożeń.
Pełny artykuł: Claude Duet: Anthropic uruchamia proaktywnego agenta
OpenAI zbiera 30 mld dolarów przy niższej wycenie, niż chciało. AWS ma wyprzedaną moc na 2027 rok
Według CNBC OpenAI zbliża się do zamknięcia rundy o wartości do 30 mld dolarów przy wycenie 1,25 bln dolarów przed wpłatą nowego kapitału. Rundę prowadzą inwestorzy ze Zjednoczonych Emiratów Arabskich i fundusz Coatue. Jeszcze pod koniec września Bloomberg pisał o oczekiwaniach na poziomie ok. 1,4 bln dolarów, więc inwestorzy wynegocjowali ok. 150 mld dolarów mniej. Wycena i tak jest o ok. 47 proc. wyższa niż w marcu (852 mld dolarów). Anthropic według CNBC celuje w IPO przy wycenie 1,5-2 bln dolarów, czyli wyżej niż rywal.
Andy Jassy przyznał w tym samym tygodniu, że AWS sprzedał już prawie całą moc obliczeniową na 2027 rok i sporą część 2028. Pieniądze płyną więc w serwerownie, których i tak brakuje. Dla firm korzystających z AI w chmurze to sygnał, że o tanie i natychmiastowe moce obliczeniowe będzie coraz trudniej.
Pełny artykuł: OpenAI zbiera do 30 mld dolarów przy wycenie 1,25 bln oraz Andy Jassy: AWS sprzedał już prawie całą moc obliczeniową na 2027 rok
Barclays zwalnia 5 tys. osób, w tym programistów. Uber i Volkswagen dają AI całym załogom
Barclays zlikwiduje do końca 2026 roku ok. 5 tys. etatów, czyli mniej więcej 5 proc. zatrudnienia, i wprost łączy cięcia z wdrażaniem AI. Około 60 proc. redukcji obejmie działy wsparcia. Dyrektor finansowa Anna Cross wymieniła wśród zwalnianych programistów. Bank ogłosił to razem z wynikami za III kwartał: 7,4 mld funtów przychodu i 2,3 mld funtów zysku przed opodatkowaniem (+12 proc.). Prezes C.S. Venkatakrishnan próbował łagodzić przekaz słowami: „AI to lukier na torcie, a nie sam tort”.
W tym samym tygodniu Uber udostępnił ChatGPT Work wszystkim ok. 30 tys. pracowników (w pilotażu 80 proc. testujących nie było inżynierami). Volkswagen Group dał Microsoft Copilot ponad 330 tys. osób, a w ciągu miesiąca działało tam 26 tys. agentów AI.
Dla polskich programistów ważny jest trop lokalny. Duże zagraniczne banki prowadzą w Polsce centra technologiczne. W maju Standard Chartered, zapowiadając likwidację ponad 7 tys. etatów z powodu AI, umieścił na liście lokalizacji Warszawę. Decyzje zapadają w Londynie. Skutki mogą jednak dotrzeć do biurowców na Mokotowie szybciej niż do polskich oddziałów bankowych.
Pełny artykuł: Barclays zwolni 5 tys. osób i otwarcie tłumaczy to sztuczną inteligencją, Uber udostępnia ChatGPT Work wszystkim 30 tys. pracowników oraz Volkswagen Group dał Microsoft Copilot ponad 330 tys. pracowników
Microsoft MAI-DxO w „Science”: 83 proc. trafnych diagnoz wobec 36 proc. u lekarzy ogólnych
System diagnostyczny Microsoftu MAI-DxO, połączony z GPT-5, postawił prawidłową diagnozę w 83,2 proc. trudnych przypadków z „New England Journal of Medicine”. Lekarze ogólni korzystający z podręczników i internetu trafili w 36,1 proc. Praca ukazała się 22 października w recenzowanym „Science”. Są przy niej dwa zastrzeżenia: wszystkich 15 autorów to pracownicy Microsoftu z akcjami firmy, a test odbył się w symulacji, bez udziału pacjentów. Sami autorzy piszą, że wyniki nie dowodzą przewagi AI nad specjalistami ani konsylium.
W tym samym tygodniu startup Radical Numerics ogłosił, że bakteriofagi zaprojektowane przez jego model genomowy Omnii-1 podano człowiekowi z zakażeniem. Firma mówi o pierwszym takim przypadku na świecie.
Nagłówek „AI dwa razy lepsze od lekarzy” będzie krążył po sieci. Prawdziwym sprawdzianem będzie dopiero badanie z udziałem pacjentów w Bostonie. Tam okaże się, czy system poradzi sobie z człowiekiem, który myli objawy i zapomina, jakie leki bierze.
Pełny artykuł: Microsoft MAI-DxO w „Science” oraz Radical Numerics podało pacjentowi bakteriofagi zaprojektowane przez model AI
Wypełnij formularz, a my skontaktujemy się z Tobą, aby upewnić się czego potrzebujesz.
Google sięga po Gmaila do reklam. Spotify chowa 50 mln utworów AI
Google zmienił politykę prywatności i od 16 października może personalizować reklamy na podstawie danych z Gmaila, Dysku i Zdjęć Google. Warunek: użytkownik połączył te aplikacje z Wyszukiwarką lub Gemini przez funkcję Personal Intelligence. Obietnica z 2021 roku, że treść tych usług nie wpływa na reklamy, dostała wyjątek. Google zapewnia, że reklamy nie będą „bezpośrednio” oparte na skrzynce. Sam przy tym przyznaje, że streszczeniem krótkiego maila może być cały mail. Personal Intelligence nie działa w Polsce ani w całym Europejskim Obszarze Gospodarczym, więc polskich użytkowników zmiana na razie nie dotyczy.
Spotify poinformowało 20 października, że w tym roku usunęło z rekomendacji ponad 50 mln utworów uznanych za AI slop lub spam. Nagrania nadal są w katalogu. Algorytmy i redaktorzy przestali je jedynie podsuwać. Utwory z wysokim prawdopodobieństwem wygenerowania przez AI dziesięć razy częściej nie dobijają do progu 1000 odtworzeń, od którego płacone są tantiemy. Tego samego dnia Spotify ogłosiło umowę z Believe na własne narzędzie do remiksów generowanych przez AI. Platforma wyraźnie chce sama decydować, która muzyka AI zasługuje na miejsce w aplikacji.
Pełny artykuł: Google może dobierać reklamy na podstawie Gmaila i Zdjęć Google oraz Spotify usunęło z rekomendacji ponad 50 mln utworów AI
Trump i Xi powołali „Super Intelligence Dialogue”. Pekin nowej nazwy nie przyjął
Donald Trump i Xi Jinping uzgodnili podczas wrześniowej wizyty w Waszyngtonie U.S.-China Super Intelligence Dialogue oraz kanał komunikacji na wypadek incydentów z udziałem AI. Komunikat Białego Domu nie zawiera żadnych procedur ani definicji incydentu. Biały Dom ogłosił też, że obaj przywódcy zgodzili się zastąpić „artificial intelligence” określeniem „super intelligence”. Chińskie MSZ odpowiedziało jedynie, że „szanuje wybór terminu” strony amerykańskiej. W oficjalnych chińskich komunikatach nadal widnieje zwykła sztuczna inteligencja. Kolejna runda rozmów ma się odbyć najpóźniej w listopadzie.
W tle Eric Schmidt ocenił, że chińska AI jest pół roku za USA, przy czym darmowe modele mogą jej dać zwycięstwo. Sam Altman w osobnej wypowiedzi stwierdził, że zaawansowana AI wydostanie się z każdej piaskownicy, a problemu alignmentu wciąż nikt nie rozwiązał. Jeśli ktoś szukał argumentu za kanałem awaryjnym między mocarstwami, Altman właśnie go dostarczył.
Pełny artykuł: Trump i Xi powołali „Super Intelligence Dialogue”, Eric Schmidt: chińska AI jest pół roku za USA oraz Sam Altman: zaawansowana AI wydostanie się z każdej piaskownicy
Wpadka tygodnia: Calif przez pomyłkę pokazał światu exploit PHP2Shell
Skoordynowane ujawnienie luk w PHP posypało się na finiszu. 20 października numery CVE wyciekły na fora razem z błędną datą i zawyżoną oceną, więc PHP przyspieszył publikację o dzień. Potem firma Calif, jedna z dwóch, które znalazły lukę, przez pomyłkę opublikowała wideo z exploitem działającym na kilku celach. Nagranie usunięto. Kopie zdążyły się jednak rozejść po sieci i według PHP Foundation przyspieszyły powstawanie publicznych prób ataku. Na deser Chainguard złamał embargo ponad sześć godzin przed czasem i wypuścił załatane obrazy kontenerów. Atakujący dostali łatkę do analizy, zanim reszta świata dostała poprawkę.
Na drugim miejscu Google, który według fińskich doniesień wyciął ok. 250 tys. drzew pod centrum danych AI bez oceny środowiskowej. Fiński urząd wstrzymał prace w Muhos i Kajaani.
Pełny artykuł: PHP2Shell: AI znalazła krytyczne luki w PHP oraz Google wyciął ok. 250 tys. drzew pod centrum danych AI w Finlandii
Polskie podwórko: wyłączone BIP, umowa NASK z OpenAI i okulary Mety mówiące po polsku z gwiazdką
PHP2Shell uderzył też w polską administrację. CERT Polska wydał 21 października komunikaty 195/2026 i 196/2026 z zaleceniem pilnej aktualizacji. Centralny Ośrodek Informatyki czasowo wyłączył strony Biuletynu Informacji Publicznej działające w systemie SSDIP (ssdip.bip.gov.pl). Pozostałe serwisy BIP działały normalnie. Test wujka: 3/5. U wujka, który prowadzi sklep na WooCommerce, 5/5.
NASK podpisał 23 października z OpenAI porozumienie o badaniach nad bezpieczeństwem AI. Prace poprowadzi Ośrodek Badań nad Bezpieczeństwem Sztucznej Inteligencji. Dyrektor NASK Radosław Nielek mówi, że to jedyna taka umowa w Unii Europejskiej (to ocena jednej ze stron). Współpraca ma już konkretny dorobek: CERT Polska z pomocą modeli OpenAI znalazł sześć luk w routerach MikroTik, w tym dwie krytyczne. Nie znamy wartości umowy, czasu jej trwania ani zasad publikowania wyników. Test wujka: 2/5, bo wujek i tak nie zmienia hasła do routera.
Od 20 października w Polsce można oficjalnie kupić okulary Ray-Ban Meta i Oakley Meta, w cenach od 1479 do 2329 zł. Meta AI mówi po polsku jako „język dodatkowy”. W praktyce oznacza to wymóg Wi-Fi, brak trybu Live AI, brak dzwonienia i wysyłania wiadomości oraz wolniejsze odpowiedzi na pytania o otoczenie. Test wujka: 4/5, bo wujek od dawna chciał nagrywać ryby na Mazurach bez wyciągania telefonu.
Na koniec polski akcent z rankingów: model basal-omni-1.0-ultra Remigiusza Kinasa zajął pierwsze miejsce w rankingu JevBench wśród otwartych modeli decyzyjnych.
Jeśli prowadzisz firmę wdrożeniową i szukasz klientów, którzy pytają już o termin wdrożenia AI, na Giełdzie leadów AIPORT są zweryfikowane telefonicznie zapytania od firm z budżetem.
Pełne artykuły: NASK i OpenAI podpisały porozumienie o badaniach nad bezpieczeństwem AI, Okulary Ray-Ban Meta i Oakley Meta oficjalnie w Polsce oraz basal-omni-1.0-ultra Remigiusza Kinasa na pierwszym miejscu JevBench
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Narzędzie na 5 minut: sprawdź, czy twoja strona nie stoi na dziurawym PHP
Tym razem zamiast aplikacji jedna kontrola, która może oszczędzić ci włamania. Aktualizacja WordPressa i wtyczek nie usuwa luki PHP2Shell, bo błąd siedzi w samym PHP na serwerze. Samo ustawienie „PHP 8.4” w panelu hostingu też niczego nie gwarantuje. Liczy się konkretne wydanie.
Jak to sprawdzić dziś wieczorem:
- Sprawdź dokładny numer wersji PHP swojej strony. W WordPressie znajdziesz go w Narzędzia → Zdrowie witryny → Informacje → Serwer, w innych systemach w panelu hostingu.
- Porównaj go z listą bezpiecznych wydań od CERT Polska: 8.5.12, 8.4.27, 8.3.36 albo 8.2.35.
- Jeśli masz starszą wersję albo linię 8.1 i niższą (bez oficjalnych poprawek), napisz do hostingu z pytaniem, czy serwer obsługujący twoją domenę został zaktualizowany.
- Jeśli widzisz ślady włamania, zgłoś je przez incydent.cert.pl.
Pełny artykuł: Luki PHP2Shell znalezione z pomocą AI
W kalendarzu: Łódź i dwa razy Warszawa
- 3 listopada, Łódź: Tech4Life 2026 „Zdrowe AI?” w Monopolis, pięć paneli o AI w life science.
- 17-19 listopada, Warszawa: Advanced Threat Summit 2026, trzy oblicza AI w cyberbezpieczeństwie. Po tym tygodniu tematów nie zabraknie.
- 26 listopada, Warszawa: Bielik Summit 2026 w Muzeum Wojska Polskiego, m.in. prof. Andrzej Dragan, Psyho i nowa ścieżka Defence.
Pełny kalendarz wydarzeń znajdziesz w dziale Wydarzenia i konferencje.
Puenta
AI znajduje dziury szybciej, niż ludzie zdążą je łatać. Claude sam zaczyna rozmowę. Barclays już wie, kogo przestanie potrzebować. Do zobaczenia za tydzień.
