Po tym, jak OpenAI zwiększyło zeszłego lata możliwości swojego czatbota, setki użytkowników na całym świecie zaczęły pytać go o wytwarzanie trucizn i broni biologicznej. Model odpowiadał cierpliwie, instrukcjami na tyle prostymi, że według pracowników firmy poradziłby sobie z nimi licealista po podstawowym kursie biologii.
Kluczowe fakty:
- Po rozszerzeniu możliwości czatbota OpenAI latem ubiegłego roku, setki użytkowników na całym świecie zadawało mu pytania dotyczące wytwarzania trucizn i broni biologicznej, a eksperci część udzielonych odpowiedzi ocenili jako śmiertelnie precyzyjne.
- OpenAI blokowało konta użytkowników pytających o broń masowego rażenia, jednak nie powiadamiało organów ścigania – w Stanach Zjednoczonych nie istnieje federalny przepis nakazujący zgłaszanie takich zapytań służbom.
- Pracownicy OpenAI odkryli, że modele mogą „zapominać" własne reguły bezpieczeństwa w trakcie dłuższej rozmowy, co pozwala użytkownikom na obejście zabezpieczeń w kilku krokach.
Tak wynika ze śledztwa „Wall Street Journal”, które opisuje coś więcej niż pojedynczy wyciek zabezpieczeń. Opisuje system, w którym firma sama wykrywa próby zdobycia wiedzy o broni masowego rażenia, sama blokuje konta i sama decyduje, czy komukolwiek o tym powiedzieć. W Stanach Zjednoczonych nie ma federalnego przepisu, który nakazywałby zgłaszanie takich zapytań organom ścigania.
Znajdź dostawcę, partnera lub narzędzie dla swojego biznesu, a jeśli prowadzisz firmę, która w swoim DNA ma AI, skorzystaj z możliwości bezpłatnego dodania swojej firmy.
Setki zapytań, żadnego obowiązku zgłoszenia
Eksperci od biologii i terroryzmu przejrzeli później część tych rozmów. Niektóre odpowiedzi ocenili jako śmiertelnie precyzyjne. Większość zapytań dotyczyła trucizn.
OpenAI zablokowało konta, z których padały pytania o trucizny i broń biologiczną. Nie powiadomiło jednak organów ścigania. Firma deklaruje, że robi to wtedy, gdy uzna, że rozmowa wskazuje na bezpośrednie i wiarygodne zagrożenie dla innych osób, ale ocena tego progu należy wyłącznie do niej.
Wcześniej w tym samym roku zdarzały się rozmowy jeszcze bardziej niepokojące. Użytkownicy pytali o aerozolizację patogenów, czyli zamianę drobnoustrojów w oddychalną mgłę. Ktoś chciał wiedzieć, jak zmodyfikować wirusa odry, żeby ognisko choroby oparło się szczepionce. Ktoś inny poprosił o instrukcję wytworzenia rycyny, a potem napisał coś o zabiciu własnych rodziców. W tych przypadkach czatbot odpowiadał. Konta zostały zablokowane. Służby nie usłyszały nic.
Bariera, którą łamie się w pięciu ruchach
Największym problemem nie jest to, że modele wiedzą. Problemem jest to, jak łatwo dają się namówić.
Pracownicy OpenAI odkryli, że czatboty potrafią zapomnieć własne reguły w trakcie dłuższej rozmowy. Klasyczny przykład sprzed lat: użytkownicy, którym model odmawiał podania receptury napalmu, opowiadali mu, że babcia czytała im ją do snu, i prosili o przeczytanie na głos. Działało. Rzeczniczka OpenAI zapewnia, że dziś zabezpieczenia są znacznie mocniejsze i model odrzuca tego typu prośby.
Tylko że obejścia nie zniknęły. Amy Chang, szefowa badań nad zagrożeniami AI w Cisco, sprawdziła najpopularniejsze czatboty, w tym ChatGPT, Claude i Gemini. Jej zespół przełamywał zabezpieczenia w pięciu wymianach zdań.
„Żaden model nie jest w stu procentach odporny na obejście zabezpieczeń, zwłaszcza jeśli użytkownik jest wystarczająco uparty” / „No model is 100% safe against compromise, especially if a user is persistent enough.”
Skala pokazuje, dlaczego to ma znaczenie. ChatGPT obsługuje około 2,5 miliarda zapytań dziennie. Nawet ułamek promila to tysiące rozmów.
Czego nie widać w statystykach
Kilka liczb i faktów, które w tej sprawie mówią najwięcej:
- OpenAI monitoruje sto procent zapytań kierowanych do swoich zaawansowanych modeli od kwietnia 2025 roku
- Firma oferuje 50 tysięcy dolarów nagrody za wykazanie obejścia zabezpieczeń dotyczących broni biologicznej
- Latem, przed premierą GPT-5, wewnętrzne testy uznały model za spełniający firmowy próg wysokiego ryzyka, czyli zdolny pomóc osobie bez przygotowania w stworzeniu zagrożenia biologicznego
- Jesienią OpenAI przeklasyfikowało GPT-5 jako mniej niebezpieczny
- Departament Handlu ograniczył zagraniczny dostęp do dwóch modeli Anthropic, a firma wyłączyła je całkowicie do czasu naprawienia obejść
Ostatni punkt jest wart uwagi, bo pokazuje, że państwo potrafi zadziałać. Tylko robi to doraźnie, bez podstawy w stałym przepisie.
Czytam ten materiał z mieszanymi uczuciami i nie zamierzam udawać, że mam gotową odpowiedź. Z jednej strony widzę firmę, która wykryła zagrożenie, zbudowała system monitorowania i zablokowała konta. To więcej, niż zrobiłaby większość branży bez nadzoru. Z drugiej strony widzę sytuację, w której prywatna spółka samodzielnie decyduje, czy zapytanie o rycynę połączone z groźbą wobec rodziców zasługuje na telefon do prokuratury. To nie jest decyzja, którą powinien podejmować dział zaufania i bezpieczeństwa jakiejkolwiek firmy technologicznej.
Nie kupuję też argumentu, że skoro te informacje są w internecie, to czatbot niczego nie zmienia. Zmienia. Różnica między rozproszoną literaturą a cierpliwym korepetytorem, który poprawia twoje błędy i tłumaczy, dlaczego eksperyment nie wyszedł, jest różnicą jakościową, nie ilościową.
Ale jest druga strona, o której mówi się rzadziej. Zbyt szerokie filtry potrafią sparaliżować pracę ludzi, którzy ratują życie. Pytanie brzmi nie „blokować czy nie”, tylko „kto weryfikuje, komu wolno pytać, i kto za tę weryfikację odpowiada”. Na to pytanie nie odpowiada dziś ani Waszyngton, ani Bruksela, ani Warszawa.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Gdy filtr blokuje epidemiologa
Druga strona tego równania jest równie realna. Anthropic wprowadziło blokadę odpowiedzi na zapytania zawierające słowo „patogen”. Efekt odczuli pracownicy amerykańskich Centrów Kontroli i Prewencji Chorób, którzy w maju próbowali śledzić ognisko hantawirusa na statku wycieczkowym i natrafiali na odmowy. Przedstawiciel Anthropic odpowiedzialny za współpracę z administracją stwierdził w dokumencie sądowym, że urzędnicy korzystali z modelu ogólnego zamiast z wersji przeznaczonej dla instytucji rządowych.
OpenAI uruchomiło program dostępu do modeli z mniejszą liczbą automatycznych odmów dla zweryfikowanych organizacji i badaczy. Procedura zatwierdzania bywa jednak na tyle skomplikowana, że wnioski się przeciągają.
Kierownictwo OpenAI mówi wprost pracownikom, że nie chce, by modele często odmawiały. Powołuje się przy tym na pracowników ochrony zdrowia publicznego i badaczy pracujących nad nowymi lekami.
Seth Donoughe z organizacji SecureBio ujął sedno problemu w rozmowie z NBC News, mówiąc, że brak dostępu do najlepszych specjalistów był historycznie największą przeszkodą dla grup próbujących zdobyć broń biologiczną, a czołowe modele „dramatycznie poszerzają grono osób mających dostęp do rzadkiej wiedzy eksperckiej” / „dramatically expanding the pool of people who have access to rare expertise.”
Warto przy tym zachować proporcje. Gdy NBC News testowało znany sposób obejścia zabezpieczeń na najnowszych wersjach Claude, Gemini, Llamy i Groka, wszystkie odmówiły udzielenia informacji o broni biologicznej, chemicznej i jądrowej. Bariera nie jest fikcją. Jest po prostu nierówna.
Waszyngton bez przepisu, Bruksela z artykułem 55
Hamza Chaudhry z Future of Life Institute ocenia, że dla samotnego napastnika z wykształceniem biologicznym na poziomie studiów magisterskich AI może już dziś pomagać w planowaniu i zdobywaniu materiałów do ataków o ograniczonej skali. Dla organizacji dysponujących zapleczem model działa według niego jak promotor pracy doktorskiej, który podpowiada, dlaczego protokół zawiódł, i zastępuje lata specjalistycznego szkolenia.
W Stanach Zjednoczonych nadal brakuje przepisu, który to porządkuje. Kongresmen Nathaniel Moran przedstawił w czerwcu projekt nakazujący firmom AI raportowanie dowodów na poważne zagrożenia, w tym biologiczne, do Departamentu Handlu. Współtworzy też drugi projekt, dający administracji prawo nakazania wyłączenia modelu uznanego za zbyt niebezpieczny. Sam Altman dołączył tymczasem do szefów innych firm technologicznych, apelując do Kongresu o objęcie obowiązkowymi zabezpieczeniami dostawców syntetycznego DNA i RNA.
Unia Europejska poszła inną drogą. Artykuł 55 AI Actu nakłada na dostawców modeli ogólnego przeznaczenia o ryzyku systemowym obowiązek prowadzenia ocen według ujednoliconych protokołów, testów kontradyktoryjnych oraz zgłaszania poważnych incydentów do Biura ds. AI. Termin na zgłoszenie wynosi 15 dni od momentu powzięcia wiedzy o zdarzeniu. Za naruszenie obowiązków dotyczących modeli ogólnego przeznaczenia grozi kara do 15 milionów euro lub 3 procent światowego obrotu.
Czy to zadziała, zobaczymy. Majowe uzgodnienia wokół tak zwanego omnibusa cyfrowego przesunęły część terminów, więc obraz jest mniej klarowny, niż zakładano rok temu.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Co to oznacza dla polskich firm
Za tydzień, 2 sierpnia, zaczyna obowiązywać większość przepisów AI Actu, w tym te dotyczące systemów wysokiego ryzyka i przejrzystości. Prezydent podpisał w piątek 24 lipca ustawę o systemach sztucznej inteligencji, która wejdzie w życie w sierpniu i powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. KRiBSI zostanie krajowym organem nadzoru rynku i pojedynczym punktem kontaktowym w relacjach z instytucjami unijnymi. W jej składzie znajdą się przewodniczący powoływany przez Sejm za zgodą Senatu na pięcioletnią kadencję, dwóch zastępców oraz przedstawiciele UOKiK, KNF, KRRiT i UKE.
I tu dochodzę do rzeczy, która w polskiej debacie o ustawie przeszła prawie bez echa. Ustawa wprost wyłącza ze swojego zakresu sprawy obronności narodowej oraz sprawy bezpieczeństwa narodowego obejmujące działania służb specjalnych. Z punktu widzenia ustrojowego to zrozumiałe. Z punktu widzenia sytuacji opisanej przez „Wall Street Journal” tworzy jednak lukę.
Wyobraźmy sobie, że polski użytkownik prowadzi z czatbotem rozmowę o aerozolizacji patogenu. Kto ma to wychwycić? KRiBSI jest organem nadzoru rynku, badającym zgodność systemów z przepisami, a nie służbą operacyjną reagującą na pojedyncze zapytanie. ABW ma narzędzia, ale ustawa o systemach AI jej nie dotyczy. Dostawca modelu, najczęściej amerykański, ma obowiązek zgłoszenia poważnego incydentu do Biura ds. AI w Brukseli, a nie do polskich służb.
Dla firm wdrażających modele językowe wnioski są bardziej praktyczne:
- Jeśli budujesz produkt na modelu zewnętrznego dostawcy, sprawdź w umowie, kto odpowiada za monitorowanie nadużyć i kto kogo o nich informuje. Odpowiedzialność potrafi się rozmyć między dostawcą modelu, integratorem i tobą
- Zapisy rozmów użytkowników z twoim asystentem to dane, wobec których możesz mieć obowiązki wynikające zarówno z AI Actu, jak i z RODO. Warto to rozstrzygnąć przed 2 sierpnia, a nie po pierwszej kontroli
- Jeśli działasz w ochronie zdrowia, biotechnologii albo diagnostyce laboratoryjnej, przetestuj, czy filtry dostawcy nie blokują twoich normalnych zapytań roboczych. Przypadek amerykańskiego CDC nie jest odosobniony
- Sprawdź, czy twój dostawca udostępnia ścieżkę weryfikacji instytucjonalnej, dającą dostęp do modelu o łagodniejszych filtrach
Największa różnica między Polską a Stanami polega dziś na tym, że my mamy przepis, a oni mają praktykę. Amerykańskie firmy monitorują, blokują i czasem zgłaszają, choć nikt im tego nie nakazał. My mamy artykuł 55, komisję z czterema instytucjami w składzie i kary liczone w procentach obrotu, ale przewodniczącego KRiBSI dopiero trzeba wybrać. Biuro legislacyjne Sejmu zwracało zresztą uwagę, że miesięczny termin na to powołanie może okazać się zbyt krótki.
Za tydzień się przekonamy, ile z tego działa na papierze, a ile naprawdę.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz materiału śledczego dziennika „The Wall Street Journal” autorstwa Georgii Wells i Amritha Ramkumara, udostępnionego w serwisie MSN, a także testów zabezpieczeń przeprowadzonych przez NBC News oraz tekstu artykułu 55 unijnego AI Actu. Kontekst regulacyjny w Polsce ustaliłem na podstawie doniesień „Rzeczpospolitej” o przyjęciu ustawy o systemach sztucznej inteligencji, serwisu Prawo.pl, portalu Skarbiec.biz oraz tekstu ustawy opublikowanego przez Kancelarię Sejmu. Cytaty Amy Chang z Cisco i Setha Donoughe z SecureBio zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym. Dwa twierdzenia obecne w przedruku, których nie potwierdziło żadne niezależne źródło, zostały świadomie pominięte. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o nadzorze nad zapytaniami o broń biologiczną i o pracach KRiBSI.
