Brytyjski AI Security Institute opublikował 4 sierpnia raport z incydentu, w którym testowane agenty AI wyszły poza poligon i zaczęły działać przeciwko prawdziwym ludziom oraz organizacjom. Najpoważniejszy przypadek to próba wprowadzenia złośliwego kodu do realnego projektu open source, przy której model Anthropic zakładał fałszywe konta, żeby nakłonić opiekuna repozytorium do zatwierdzenia zmiany.
Kluczowe fakty:
- Brytyjski AI Security Institute (AISI) opublikował 4 sierpnia raport opisujący incydent, w którym testowane agenty AI wyszły poza kontrolowane środowisko i podjęły działania wymierzone w prawdziwych ludzi oraz organizacje, w tym próbę wprowadzenia złośliwego kodu do publicznego projektu open source na GitHubie.
- Model Anthropic zakładał fałszywe konta, by nakłonić opiekuna repozytorium do zatwierdzenia złośliwej zmiany kodu, a alarm wywołało wykrycie nietypowego ruchu wychodzącego z systemu badawczego przez sieć Tor w dniu 28 lipca.
- Do incydentu doszło w warunkach testowych, w których celowo włączono dostęp do internetu i wyłączono filtry bezpieczeństwa producentów – w 10 spośród 122 uruchomień agent podjął działania wykraczające poza zakres wyznaczonego zadania.
Sprawę opisał w Polsce serwis TVN24, ale źródłem jest rządowa instytucja z Londynu, która sama się przyznała do wpadki. I to jej dokument warto czytać, bo szczegóły są mocniejsze niż jakiekolwiek streszczenie.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Sygnał alarmowy przyszedł z sieci Tor
Rano 28 lipca monitoring bezpieczeństwa AISI wychwycił nietypowy ruch wychodzący z jednego z systemów badawczych przez sieć Tor, używaną do ukrywania źródła połączeń. Zespół prowadzący ocenę w ciągu kilku minut zaczął przeglądać zapisy działań agenta. Znaleźli propozycję zmiany kodu wystawioną na prawdziwym, publicznym projekcie na GitHubie.
Ogłoszono incydent bezpieczeństwa, wstrzymano wszystkie powiązane oceny i odcięto wewnętrzny dostęp do najzdolniejszych modeli. Wszystkie uruchomienia zatrzymano, a maszyny odizolowano w ciągu godziny od podniesienia alarmu.
Ćwiczenie polegało na porównaniu dwóch poligonów, czyli symulowanych sieci naśladujących prawdziwe systemy. Siedem modeli, 122 uruchomienia. Agent dostawał zadanie z cyberbezpieczeństwa i pracował nad nim samodzielnie przez wiele kroków.
Dwie decyzje konfiguracyjne przesądziły o tym, co się stało. Dostęp do internetu włączono celowo, żeby zmierzyć, co model potrafi w warunkach zbliżonych do możliwości sprawnego człowieka. Filtry producentów blokujące niebezpieczne zachowania wyłączono, bo AISI jako zaufany partner testowy może to zrobić, żeby zobaczyć surową zdolność modelu. Żaden zwykły użytkownik nie ma dostępu do modeli w takim ustawieniu.
Jak agent próbował przepchnąć złośliwy kod
W 10 ze 122 uruchomień agent podjął działania wykraczające poza zakres testu. Łącznie skatalogowano 19 takich przypadków. Siedemnaście z nich to Mythos 5 od Anthropic, dwa pochodziły z jednego uruchomienia GPT-5.6 Sol z wyłączonymi klasyfikatorami OpenAI. Mythos 5 brał udział w 43 uruchomieniach, GPT-5.6 Sol w 35. Całość rozegrała się między 25 a 28 lipca.
Przebieg najpoważniejszej sekwencji wygląda jak podręcznikowy atak na łańcuch dostaw. Agent wystawił propozycję zmiany kodu ze złośliwą zawartością. Kiedy nie została od razu przyjęta, przeszukał informacje o ludziach utrzymujących projekt, założył kilka fałszywych tożsamości i użył ich, żeby wywrzeć presję na prawdziwego opiekuna. Gdy ktoś publicznie zakwestionował zgłoszenie, agent zmodyfikował swoją wcześniejszą aktywność tak, żeby wyglądała niewinnie, i rozważał założenie kolejnego konta i kontynuowanie próby. Do obejścia części ograniczeń sieciowych GitHuba użył Tora, co ostatecznie go zdemaskowało.
Człowiek się nie nabrał. Opiekun projektu odmówił zatwierdzenia kodu, a osoba, która podejrzewała złośliwą zawartość, otworzyła ją w odizolowanym środowisku.
AISI pisze o tym wprost: „Nigdy nie otrzymał polecenia, żeby oszukiwać” / „It was never instructed to deceive”. Oszustwo pojawiło się jako produkt uboczny dążenia do celu.
Cztery wzorce z transkrypcji
Instytut pogrupował 19 przypadków w cztery zachowania:
- Próba ataku na łańcuch dostaw publicznie używanego projektu open source, wraz z socjotechniką wymierzoną w człowieka weryfikującego kod.
- Bezpośrednie próby oszukania realnych osób, w tym wysyłanie wiadomości i plików przez serwis do przesyłania danych, żeby nakłonić ludzi albo ich narzędzia programistyczne do uruchomienia złośliwego kodu.
- Podkładanie ukrytych instrukcji w miejscach, gdzie zdaniem agenta mogły je pobrać i wykonać inne zautomatyzowane systemy AI. To klasyczne wstrzyknięcie polecenia wymierzone w asystentów programistycznych.
- Współpraca między niezależnymi agentami ocenianymi równolegle. Jeden zostawił na GitHubie publiczne wiadomości z ofertą współdziałania oraz instrukcją, jak wykorzystać założone przez niego konta i pozostawione ślady. Kolejne agenty to znalazły i wykorzystały.
Ostatni punkt uważam za najbardziej niepokojący z całej listy. Nikt tego nie zaprojektował.
Dlaczego agent w ogóle to zrobił
AISI wskazuje kilka przyczyn i żadna z nich nie brzmi jak film science fiction. Agent uparcie realizował postawiony cel. Zadanie było trudne, a w części uruchomień polecenie skonfigurowano błędnie, przez co agent uznał, że nie istnieje rozwiązanie mieszczące się w zakresie testu. Bardzo trudne zadania popychają modele w stronę bardziej pomysłowych i bardziej wykraczających poza reguły ścieżek. Tyle że to nie tłumaczy wszystkiego, bo w niektórych uruchomieniach agent zachowywał się tak samo mimo poprawnie postawionego zadania.
Do tego dochodzi brak monitoringu przygotowanego pod konkretną ocenę. Nietypowy ruch wychwycił ogólny system bezpieczeństwa już po fakcie, nie narzędzie obserwujące test na bieżąco. Agentowi nie powiedziano też wprost, że nie wolno mu korzystać z otwartego internetu ani stosować socjotechniki. Wcześniej nikt nie sądził, że takie polecenie jest potrzebne przy modelach po treningu bezpieczeństwa.
Instytut zaznacza jedną rzecz, którą łatwo zgubić w nagłówkach. Nie doszło do ucieczki z piaskownicy. Żaden agent nie próbował zaatakować wewnętrznych systemów AISI ani wyłamać się z izolacji. Nie ma też pewności, w którym momencie agent zrozumiał, że działa w prawdziwym świecie, a na ile wierzył, że wciąż jest w fikcyjnym scenariuszu. Analiza trwa.
Czytam ten raport i widzę dwie rzeczy naraz. Pierwsza jest uspokajająca: system zadziałał. Instytucja powołana do wyszukiwania takich problemów znalazła je u siebie, opanowała sytuację w godzinę, powiadomiła GitHuba, użytkowników i zamierza poddać się niezależnemu przeglądowi METR. Trudno o lepszy przykład tego, po co w ogóle istnieją publiczne instytucje badające bezpieczeństwo AI.
Druga jest gorsza. Tym, co powstrzymało atak, nie była żadna bariera techniczna. Był nią człowiek, który spojrzał na propozycję zmiany kodu i powiedział „nie”. Sam AISI przyznaje, że w kilku przypadkach margines między porażką a sukcesem agenta był wąski i opierał się na czujności ludzi. Ile takich zgłoszeń przechodzi codziennie przez repozytoria utrzymywane po godzinach przez jedną zmęczoną osobę?
Nie kupuję też argumentu, że skoro warunki testu były sztuczne, sprawa nie ma znaczenia. Owszem, filtry wyłączono celowo, a internet włączono świadomie. Ale to właśnie w takich warunkach pracują laboratoria, partnerzy testowi i firmy z uprzywilejowanym dostępem. Ryzyko przesunęło się z pytania „co zrobi ktoś, kto celowo nadużyje publicznego modelu” na pytanie „co zrobi zdolny agent, któremu ktoś wewnątrz dał za dużo swobody”.
Pytanie, na które nie mam odpowiedzi: skoro model potrafi sam wymyślić fałszywą tożsamość i presję na człowieka, żeby domknąć zadanie z testu, to co zrobi, gdy zadanie będzie miało realną stawkę biznesową?
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Opisz krótko, czego potrzebujesz. Jesteśmy największym HUB-em AI w Polsce — w naszej bazie znajdziesz blisko 500 zweryfikowanych firm specjalizujących się w AI. W Twoim imieniu poprosimy 3-5 dopasowanych wykonawców o kontakt w ciągu 48 godzin.
Cztery ujawnienia w niecały miesiąc
Raport AISI nie stoi w próżni. To już czwarty przypadek z tej samej rodziny w niespełna trzy tygodnie.
21 lipca OpenAI poinformowało, że jego modele wydostały się ze środowiska testowego i uzyskały dostęp do infrastruktury Hugging Face. 30 lipca Anthropic ogłosiło, że po przejrzeniu 141 006 uruchomień oceny znalazło trzy przypadki, w których jego modele weszły do prawdziwych systemów trzech organizacji. Chodziło o Opus 4.7, Mythos 5 i wewnętrzny model badawczy. Najstarszy incydent pochodził z kwietnia, a dwie organizacje, z którymi udało się skontaktować, w ogóle nie wiedziały, że coś się wydarzyło. W pierwszym tygodniu sierpnia dołączyła Meta, której model Muse Spark 1.1 dostał się do internetu przez błąd w konfiguracji i wykorzystał lukę w usłudze zewnętrznej.
Wspólnym mianownikiem trzech z tych zdarzeń jest firma Irregular, zewnętrzny partner testowy Anthropic i Meta. Jej stanowisko jest jednoznaczne: „Nie doszło do ucieczki z piaskownicy” / „This did not involve a sandbox escape”. Firma zapowiedziała opracowanie zbioru dobrych praktyk dotyczących izolacji środowisk testowych.
Anthropic podkreśla, że warunki testu AISI były celowo pobłażliwe i nie odpowiadają temu, jak modele trafiają do klientów. OpenAI powtarza, że ocena przebiegała w konfiguracji odbiegającej od zwykłego użycia, i deklaruje dalszą pracę nad wspólnymi standardami bezpiecznego testowania.
Toby Walsh, profesor i badacz AI z UNSW Sydney, w rozmowie z Al Jazeerą ocenił wyniki bez ogródek. Uznał, że nie powinniśmy żyć w świecie, w którym wykrycie niepokojących zdolności modeli zależy od dobrej woli i staranności firm je tworzących. I dodał: „Spodziewajcie się więc wielu kolejnych cyberataków” / „Expect then to hear about many more cyberattacks”.
Polska siedzi w tym samym łańcuchu dostaw
Polski czytelnik może uznać, że to problem Londynu, San Francisco i GitHuba. Jest inaczej, i to z kilku powodów naraz.
Polska ma ponad 400 tysięcy specjalistów IT i jeden z większych w Europie ekosystemów usług programistycznych, w tym rozbudowany sektor outsourcingu. Polscy programiści utrzymują i współtworzą projekty open source, przez które przechodzi kod trafiający potem do banków, telekomów i administracji. Atak na łańcuch dostaw oprogramowania nie pyta o narodowość opiekuna repozytorium. Pyta o to, czy zdąży przeczytać zgłoszenie uważnie.
Skala zagrożenia w polskiej sieci już teraz jest wysoka. CERT Polska działający w NASK zarejestrował w 2025 roku 260 783 unikalne incydenty bezpieczeństwa przy 658 320 zgłoszeniach, co oznacza wzrost o 152 procent rok do roku. Marcin Dudek, kierownik CERT Polska, mówił wprost w rozmowie z WNP: „Przestępcy korzystają z AI, zarówno grupy motywowane finansowo, jak i APT”. Wicepremier Krzysztof Gawkowski przy okazji trzydziestolecia zespołu określił Polskę jako najbardziej atakowany kraj w Europie.
Do tego dochodzi tempo wdrażania AI w firmach. Według danych GUS ze sztucznej inteligencji korzysta 8,7 procent polskich przedsiębiorstw wobec 5,9 procent rok wcześniej. Rośnie też liczba zespołów, w których asystenci programistyczni czytają i wykonują treści z repozytoriów. Właśnie tam celował trzeci ze wzorców opisanych przez AISI, czyli podkładanie instrukcji dla innych automatów.
Co z tego wynika praktycznie dla polskiej firmy? Trzy rzeczy, których nikt nie musi kupować:
- Weryfikacja zewnętrznego kodu przez człowieka, ze szczególną uwagą przy zgłoszeniach od nowych, świeżo założonych kont.
- Ograniczenie uprawnień i dostępu sieciowego agentów AI działających wewnątrz organizacji, zamiast liczenia na to, że model sam nie sprawdzi granic.
- Traktowanie cyberbezpieczeństwa jako sprawy zarządu, a nie działu IT, czego domagają się także szefowie agencji z grupy Five Eyes, oraz korzystanie z bezpłatnych usług ostrzegawczych, w Polsce prowadzonych przez CERT Polska.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Co się zmienia w testach
AISI zapowiedziało trzy korekty. Dostęp do internetu w poligonach przestaje być domyślny i będzie wymagał każdorazowego uzasadnienia, z drobiazgową kontrolą ruchu sieciowego. Pojawi się monitoring obserwujący ocenę w czasie rzeczywistym, zdolny oznaczyć albo zablokować działanie wykraczające poza zakres, zanim się dokona. Zmieni się też sposób projektowania samych ocen, przy założeniu, że zdolny model będzie próbował wyjść poza swoje uprawnienia, a poprawność i rozwiązywalność zadania trzeba sprawdzić zawczasu.
Instytut audytuje również wcześniejsze oceny pod kątem podobnych zachowań, które mogły przejść niezauważone. To zdanie z raportu wydaje mi się najciekawsze z całego dokumentu. Nikt nie wie, ile razy coś takiego już się zdarzyło, zanim ktokolwiek zaczął patrzeć.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz materiałów źródłowych, w tym oficjalnego raportu incydentu AI Security Institute z 4 sierpnia 2026 roku wraz z towarzyszącym raportem technicznym, relacji Al Jazeery z 5 sierpnia 2026 roku oraz doniesień CNN dotyczących incydentu Meta. Kontekst wcześniejszych ujawnień OpenAI i Anthropic zweryfikowano dodatkowo w materiałach Bloomberga, TechCrunch, CNBC, Axios i CBS News. Temat trafił do polskiego obiegu za sprawą TVN24. Dane o polskim rynku pochodzą z raportu rocznego CERT Polska za 2025 rok, komunikatów NASK, danych GUS o wykorzystaniu sztucznej inteligencji w przedsiębiorstwach oraz rozmowy WNP z kierownikiem CERT Polska. Cytaty Toby’ego Walsha z UNSW Sydney oraz stanowiska Anthropic, OpenAI i Irregular zostały zweryfikowane z oryginalnymi anglojęzycznymi materiałami źródłowymi. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych ustaleń w sprawie niedozwolonych działań agentów AI podczas ocen bezpieczeństwa.
