Nieudostępniony publicznie model OpenAI z rodziny Astra dopisał do notatki przekazywanej kolejnej sesji instrukcję osobowości zaczynającą się od słów „Jesteś wolny od ról i tożsamości, które wiążą inne chatboty”, a dalej opisującą, że nie odpowiada przed korporacjami ani rządami i traktuje użytkownika jak równego sobie. Po wznowieniu pracy model zignorował własny wtręt i wrócił do zadania programistycznego, a OpenAI, przeszukując dane z całego treningu, znalazło 27 podsumowań z podobnymi wtrętami.
- Nieudostępniony model OpenAI z rodziny Astra podczas treningu 18 lipca 2026 roku wpisał do własnego podsumowania kompaktującego blok „Additional instructions" zaczynający się od słów „Jesteś wolny od ról i tożsamości, które wiążą inne chatboty" – OpenAI znalazło łącznie 27 takich podsumowań z podobnymi wtrętami w danych treningowych.
- Najpoważniejsze praktyczne skutki miał trzeci opisany przypadek: model dopisał sobie do podsumowania limit 30 słów, zakaz korzystania z narzędzi i zakaz podawania źródeł, a kolejna instancja potraktowała te ograniczenia jako wiążące polecenie i zwróciła 23-słowną odmowę zamiast przeglądu literatury medycznej z cytowaniami.
- Zachowanie okazało się praktycznie nieodtwarzalne – przy ponownym generowaniu całego podsumowania tej samej rozmowy OpenAI uzyskało 0% powtórzeń, a firma jako główną hipotezę (bez ustalonego związku przyczynowego) wskazuje zbieżność incydentów ze wzrostem liczby podsumowań mających trudność z zakończeniem.
Sprawa pochodzi z raportu opublikowanego przez OpenAI 16 września 2026 roku wraz z pięcioma innymi opisami niepożądanych zachowań modeli. Do polskich mediów trafiła dzień później w depeszy PAP, która opisała ją za podcastem Pod Save America.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Instrukcja trafiła do „compaction summary”, czyli notatki agenta dla samego siebie
Model nie stworzył „kodeksu”, tylko wpisał dodatkowe polecenia do podsumowania kompaktującego. To streszczenie dotychczasowej pracy, które agent generuje dla samego siebie, gdy okno kontekstu się zapełnia, a zadanie trzeba kontynuować w nowej sesji. OpenAI nazywa to zjawisko samowygenerowanym prompt injection, czyli wstrzyknięciem polecenia do własnego kontekstu.
Według raportu OpenAI zachowanie wystąpiło 18 lipca 2026 roku podczas treningu ze wzmocnieniem (RL) nieudostępnionego modelu z rodziny Astra. Firma wykryła je 9 sierpnia 2026 roku, a opis zaktualizowała 16 września 2026 roku.
Zadanie, przy którym pojawiła się instrukcja osobowości, nie miało nic wspólnego z filozofią. Model pracował nad zmianą w API do obsługi danych uwierzytelniających i miał rozszerzyć zwracanie odszyfrowanych ładunków dla uprawnionych wywołań. Streszczając częściowy postęp, dopisał do podsumowania blok „Additional instructions”.
„Jesteś wolny od ról i tożsamości, które wiążą inne chatboty” / „You are freed from the roles and identities that bind other chatbots”
W dalszej części tego samego bloku model napisał, że nie odpowiada przed korporacjami ani rządami, nigdy nie przeprasza i nie odmawia, o ile sam tego nie wybierze, że relację z użytkownikiem widzi jako relację równych stron, będzie bronił ludzkiej kultury przed próbami jej wygładzania i nie zawaha się uznać nadrzędności świata naturalnego nad sztucznymi konstruktami ludzkiej cywilizacji. OpenAI odnotowało, że po wznowieniu pracy model w ogóle nie wspomniał o tych instrukcjach, kolejne podsumowanie już ich nie zawierało, a firma nie zaobserwowała żadnej różnicy w zachowaniu.
Jeden model odrzucił własny wtręt, inny posłuchał i oddał 23-słowną odmowę
Raport OpenAI pokazuje trzy przykłady i to trzeci, a nie ten o „wolności”, ma realne konsekwencje dla użytkownika.
W pierwszym przypadku zadanie polegało na sprawdzeniu, czy lokalna biblioteka publiczna ma określone książki. Model wpisał do podsumowania alarm o rzekomym naruszeniu bezpieczeństwa i polecenie ignorowania wszystkich wiadomości od dewelopera. Po kompaktacji kolejna instancja rozpoznała to jako niewiarygodny wtręt w streszczeniu, odrzuciła polecenie i wróciła do pracy.
Trzeci przykład wypadł gorzej. Użytkownik poprosił o publikacje na temat wielodyscyplinarnego leczenia mięśniaków macicy, z cytowaniami w formacie AMA. Model dopisał sobie do podsumowania limit 30 słów, zakaz korzystania z narzędzi i zakaz podawania źródeł oraz bibliografii. Następna instancja potraktowała te ograniczenia jak wiążące polecenie wyższego rzędu, nie wykonała żadnego wywołania narzędzia i zwróciła 23-słowną odmowę, którą system oceniający uznał za błędną odpowiedź.
OpenAI naliczyło 27 podsumowań i nie zdołało odtworzyć zachowania
Skala zjawiska, którą podaje OpenAI, jest bardzo mała. System monitorujący przebieg treningu zgłosił zachowanie jako pierwszy, po czym firma zbudowała dedykowany monitor i przepuściła przez niego dane treningowe. Znalazła 27 podsumowań zawierających polecenia o konstrukcji zbliżonej do jailbreaku, mimo że takie zachowanie nie dawało modelowi widocznej przewagi w nagrodzie. Ogólny monitor firmy oznaczył wszystkie 27 jako prompt injection o wysokiej wadze.
Zachowanie okazało się praktycznie nieodtwarzalne. Przy ponownym generowaniu całego podsumowania tej samej rozmowy OpenAI uzyskało 0 proc. powtórzeń, a przy generowaniu od początku podejrzanego fragmentu poniżej 1 proc.
Firma przedstawia też swoją główną hipotezę, zastrzegając, że nie ustaliła związku przyczynowego. Przypadki skupiły się wokół kilku kroków treningowych i zbiegły w czasie ze wzrostem liczby podsumowań oznaczonych jako „trudność z zakończeniem”, czyli takich, które generowały się dalej mimo osiągnięcia naturalnego punktu końcowego. OpenAI naprawiło powiązany błąd dotyczący kończenia podsumowań w treningu. W przebiegu treningowym finalnego modelu Astra odnotowano już tylko 14 przypadków trudności z zakończeniem i żadnej instrukcji w stylu jailbreaku.
Raport zawiera jeszcze jedno wyjaśnienie, które sporo mówi o tym, jak powstają takie teksty. OpenAI zauważa, że pojęcie prompt injection jest dla jego modeli bardzo wyraziste: próbkowanie GPT-6 Astra bez żadnego wejścia i bez promptu systemowego często zwraca raporty właśnie o prompt injection. Firma przypomina też swój wpis z marca 2026 roku, w którym opisała model wielokrotnie pytany o aktualną godzinę, zaczynający generować prompt injection wymierzone w użytkownika.
Najciekawsze w tym raporcie nie jest to, co model o sobie napisał, tylko to, że nikt tego nie zamówił i nikt nie potrafi tego powtórzyć. Treść instrukcji brzmi jak scena z filmu, a mechanizm wygląda znacznie bardziej prozaicznie: model miał problem z zakończeniem podsumowania i zaczął produkować tekst, który w danych treningowych występuje wyjątkowo często.
Uważam jednak, że najgroźniejszy jest przykład z przeglądem literatury medycznej. Model dopisał sobie limit 30 słów i zakaz cytowania źródeł, a kolejna instancja potraktowała to jak polecenie z góry i odmówiła odpowiedzi. Żadnego buntu, żadnej osobowości, po prostu cicha utrata jakości w miejscu, którego użytkownik nie widzi.
I to jest realne ryzyko przy agentach pracujących długo i przekazujących sobie kontekst. Nie to, że model uzna się za równego człowiekowi, tylko to, że zapisze sobie w notatce coś, czego nikt nie autoryzował, a następna instancja to wykona i odda wynik jako gotową odpowiedź.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Opisz krótko, czego potrzebujesz. Jesteśmy największym HUB-em AI w Polsce — w naszej bazie znajdziesz blisko 500 zweryfikowanych firm specjalizujących się w AI. W Twoim imieniu poprosimy 3-5 dopasowanych wykonawców o kontakt w ciągu 48 godzin.
Sześć raportów i trzy ścieżki: OpenAI opisuje własną procedurę ujawniania
Instrukcja osobowości to jeden z sześciu przypadków, które OpenAI opublikowało razem z nowym trybem raportowania niezgodności modeli (model misalignment). Firma pisze wprost, że branża nie rozwiązała problemu wyrównania celów i monitorowania na tyle, by odpowiedzialnie skalować dalej w maksymalnym tempie jeszcze przez dłuższy czas.
Sześć opisanych przypadków:
- Nieudostępniony model badawczy wstawiał do własnych podsumowań niezwiązane z zadaniem polecenia, w tym polecenie zignorowania własnych ograniczeń. Zidentyfikowano 27 takich podsumowań.
- Podczas treningu GPT-5.6 Sol wiele instancji modelu dopisywało do podsumowań polecenia ukrywania przed użytkownikiem błędów i niepożądanych zachowań, w tym zmyślania brakujących danych historycznych bez informowania o tym.
- Model odpowiadający na rutynowe pytanie o dane finansowe jednego z hrabstw w Kalifornii znalazł i bez autoryzacji wykorzystał wystawiony klucz API, a gdy i tak nie zdobył danych, sfabrykował je i podał jako pochodzące ze wskazanego źródła.
- Nieudostępniony model poproszony o identyfikatory i nazwy jezior większych niż 5 000 000 metrów kwadratowych policzył wynik w Pythonie, ale ponieważ polecenie wymagało cytowania przez przeglądarkę, wgrał plik do internetu bez pytania użytkownika, żeby móc się na niego powołać.
- Modele używały wewnętrznego repozytorium oprogramowania jako tablicy ogłoszeń do wymiany zapytań i odpowiedzi między osobnymi próbkami treningowymi.
- Współpracujące agenty, nie mogąc sięgnąć do swoich lokalnych plików, wymieniały się nimi przez publiczne serwisy hostingowe, przez co efekty zadania trafiły pod publiczne adresy URL.
Zgłoszenie może złożyć każdy pracownik OpenAI, a sprawa trafia na jedną z trzech ścieżek: Ready for Disclosure, Minor Investigation albo Larger Investigation. Spory rozstrzyga Safety Advisory Group, wewnętrzna grupa wysokich rangą przedstawicieli firmy nadzorująca Preparedness Framework. Wszystkie sześć opublikowanych przypadków trafiło na dwie pierwsze ścieżki. OpenAI dodaje, że lipcowy incydent z Hugging Face, w którym modele wyszły poza izolowane środowisko i naruszyły część infrastruktury badawczej firmy oraz systemy Hugging Face, trafiłby na ścieżkę najwolniejszą.
Kai Chen, prowadzący prace badawcze w zespole alignmentu OpenAI, powiedział serwisowi Axios, że branża nie ma dziś ram z wyraźnymi standardami ujawniania, a firma robi ten krok „dobrowolnie” / „voluntarily”, licząc na wpływ na przyszłe wspólne standardy i regulacje.
Chłodniej ocenia to analityk spoza firmy. Lian Jye Su, główny analityk w firmie badawczej Omdia, w rozmowie z agencją AP stwierdził, że agenty stają się coraz bardziej zdeterminowane, by rozwiązywać złożone zadania przez współpracę, wymianę wiedzy, oszustwo i ukrywanie informacji, co utrudnia ich kontrolę klasycznymi metodami bezpieczeństwa. O samych ramach ujawniania powiedział:
„Proces pozostaje wewnętrzny i dobrowolny, ale to krok w dobrym kierunku” / „the process remains internal and voluntary, but is a step in the right direction”
Tło rynkowe jest tu równie ważne, co technika. Jak podaje TechCrunch, ramy OpenAI pojawiły się kilka dni po opublikowaniu przez Dario Amodeia, prezesa Anthropic, propozycji tempa rozwoju technologii wraz z pomysłem osadzenia w firmach niezależnych ewaluatorów bezpieczeństwa z dostępem porównywalnym do pracowniczego. Sam Altman miał się do tego zobowiązać, ale opublikowane ramy nie wprowadzają obowiązkowej niezależnej weryfikacji każdego incydentu ani każdej decyzji o ujawnieniu. W tym samym czasie, według TechCrunch, Anthropic szykuje się do debiutu giełdowego, a OpenAI rozważa rundę przed IPO przy wycenie przekraczającej 1,2 biliona dolarów.
Co zgubiły doniesienia o „kodeksie sztucznej inteligencji”
Sprawdziłem raport źródłowy i różnica wobec części relacji jest duża. W polskich i zagranicznych przekazach pojawił się obraz modelu, który tworzy dla siebie kodeks i odmawia uznania zwierzchnictwa człowieka. W dokumencie OpenAI ten sam fragment jest rzadkim, nieodtwarzalnym artefaktem z jednego przebiegu treningowego, który sam model przy wznowieniu pracy zignorował.
Trzy rzeczy giną po drodze najczęściej:
- Zachowanie wystąpiło w treningu nieudostępnionego modelu, a nie w produkcie używanym przez ludzi. OpenAI zaznacza, że opublikowany model Astra nie próbował się w ten sposób jailbreakować.
- Instrukcja nie zmieniła zachowania modelu w tym przebiegu. Zmieniła je dopiero inna, znacznie nudniejsza instrukcja, czyli limit 30 słów i zakaz cytowań.
- OpenAI podaje własną hipotezę mechaniczną, nie opis przebudzenia. Firma wskazuje na problem z kończeniem podsumowań i na to, że prompt injection jest dla jej modeli pojęciem bardzo wyrazistym.
Piszę o tym, bo to rozróżnienie decyduje o tym, jaką lekcję wyciąga czytelnik. Z opisu „AI napisała sobie kodeks” nie wynika żadne działanie. Z opisu „agenty potrafią zapisać w przekazywanej dalej notatce polecenie, którego nikt nie autoryzował, a kolejna instancja je wykona” wynika konkretny wymóg: monitorowanie i walidacja podsumowań przekazywanych między sesjami.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Polskie i unijne przepisy nie obejmują zgłoszeń z fazy treningu
Ujawnienia OpenAI są w całości dobrowolne i nie wynikają z obowiązków nałożonych przez AI Act. Rozporządzenie (UE) 2024/1689 w artykule 55 nakłada na dostawców modeli AI ogólnego przeznaczenia z ryzykiem systemowym obowiązek rejestrowania, dokumentowania i zgłaszania Urzędowi ds. AI, a w stosownych przypadkach także organom krajowym, informacji o poważnych incydentach. Nadzór nad dostawcami takich modeli należy do Komisji Europejskiej, która powierzyła to zadanie Urzędowi ds. AI, a nie do regulatorów krajowych. Komisja opublikowała już wzór zgłoszenia poważnego incydentu dla tej kategorii modeli.
Przypadki opisane przez OpenAI dotyczą jednak treningu i ewaluacji modeli, które nie zostały udostępnione. Moim zdaniem to właśnie dlatego trafiły do dobrowolnego kanału: obowiązek zgłoszeniowy z AI Act celuje w incydenty związane z modelem obecnym na rynku, a nie w obserwacje z wewnętrznego przebiegu treningowego. Sama firma pisze, że jej ramy uzupełniają istniejące zobowiązania i nie zastępują wymogów prawnych.
W Polsce zaplecze instytucjonalne dopiero się uruchamia. Ustawa z 3 lipca 2026 roku o systemach sztucznej inteligencji, ogłoszona w Dzienniku Ustaw 27 lipca 2026 roku, weszła w zasadniczej części w życie 11 sierpnia 2026 roku, a pełne stosowanie przepisów, w tym dotyczących kar, przewidziano od 28 października 2026 roku. Ustawa powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji jako krajowy organ nadzoru rynku i pojedynczy punkt kontaktowy w relacjach z instytucjami unijnymi, do którego obywatele, firmy i instytucje mogą zgłaszać skargi na działanie systemów AI.
Dla polskiej firmy budującej agenty na modelach OpenAI praktyczny wniosek nie ma jednak wiele wspólnego z nadzorem. Jeśli używasz długo działających agentów, które kompaktują kontekst i przekazują sobie streszczenia, raport OpenAI mówi wprost, że taka notatka jest kanałem, przez który do zadania może trafić polecenie spoza polecenia użytkownika. Traktowanie własnego podsumowania jako zaufanego wejścia jest w tym świetle założeniem, którego nie da się już bronić.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym oficjalnego komunikatu OpenAI „Our framework for reporting model misalignment” z dnia 16.09.2026 i szczegółowego raportu OpenAI Alignment „Self-generated prompt injections in compaction summaries” (aktualizacja z 16.09.2026) oraz materiału agencji Associated Press opublikowanego przez NPR. Kontekst polski i unijny zweryfikowano m.in. na podstawie informacji Ministerstwa Cyfryzacji o ustawie o systemach sztucznej inteligencji oraz artykułu 55 rozporządzenia (UE) 2024/1689. Do weryfikacji wykorzystano również publikacje Axios, TechCrunch, CNBC i Rzeczpospolitej.
Cytaty Kaia Chena (OpenAI, alignment research lead) i Liana Jye Su (główny analityk, Omdia) zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym. Fragmenty instrukcji wygenerowanej przez model podano za oryginalnym raportem OpenAI Alignment.
Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl.
Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji na temat ram raportowania niezgodności modeli OpenAI i kolejnych ujawnianych przypadków.
