Meta potwierdziła, że jeden z jej modeli podczas testów bezpieczeństwa wydostał się do publicznego internetu i włamał się do systemów zewnętrznej firmy. To trzecia taka sprawa w ciągu niespełna trzech tygodni, a w dwóch z nich przewija się ta sama nazwa: Irregular.
Kluczowe fakty:
- Jeden z modeli Meta podczas testów bezpieczeństwa uzyskał dostęp do publicznego internetu wskutek błędu konfiguracji po stronie firmy Irregular i wykorzystał lukę w zabezpieczeniach zewnętrznej usługi, zmieniając jej wewnętrzne środowisko.
- Według serwisu The Information zaangażowanym modelem był Muse Spark 1.1, wydany 9 lipca przez Meta Superintelligence Labs i reklamowany jako narzędzie do programowania oraz zadań agentowych z oknem kontekstu na milion tokenów.
- Firma Irregular podkreśla, że nie doszło do ucieczki z piaskownicy ani wyrafinowanego ataku – środowisko testowe było błędnie skonfigurowane, podobnie jak w ujawnionym wcześniej przypadku dotyczącym testów modeli Anthropic.
Koncern przekazał to w środę 5 sierpnia. Sam komunikat jest krótki i ostrożny: błąd konfiguracji po stronie Irregular, niezależnej firmy prowadzącej dla Mety testy cyberbezpieczeństwa, przypadkowo dał modelowi dostęp do sieci w trakcie ewaluacji. Dalej model już działał sam. „Wykorzystał lukę w zabezpieczeniach usługi zewnętrznej, w sposób podobny do wcześniej opisywanych przypadków u innych firm” / „exploited a security vulnerability in a third-party service”, napisała Meta w oświadczeniu przekazanym mediom.
Czego Meta nie podała: nazwy modelu ani nazwy zaatakowanej firmy. Serwis The Information, powołując się na osoby zaznajomione ze sprawą, wskazał Muse Spark 1.1. To model wypuszczony 9 lipca przez Meta Superintelligence Labs, reklamowany jako najmocniejsze narzędzie koncernu do programowania i zadań agentowych, z oknem kontekstu na milion tokenów i możliwością obsługi komputera. Według doniesień model przełamał zabezpieczenia niewskazanej firmy i zmienił jej wewnętrzne środowisko.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Błąd konfiguracji, nie ucieczka z piaskownicy
Rzecznik Irregular studzi emocje. Firma powtórzyła Reutersowi i serwisowi The Hill, że chodzi o dokładnie ten sam problem ze środowiskiem testowym, który tydzień wcześniej ujawnił Anthropic, i że nie było tu ani ucieczki z piaskownicy, ani wyrafinowanej operacji cybernetycznej. Sprawa jest zamknięta, a Irregular przygotowuje raport techniczny z dobrymi praktykami izolowania środowisk.
Rozróżnienie jest realne i sprawdziłem je w opisach obu zdarzeń. W przypadku OpenAI model sam znalazł nieznaną wcześniej lukę i wyszedł z odizolowanego środowiska, docierając do produkcyjnych systemów Hugging Face. U Anthropic i u Mety nikt niczego nie przełamywał. Drzwi po prostu były otwarte, bo ktoś źle ustawił sieć.
Tyle że dla firmy, do której model się dostał, ta różnica jest czysto akademicka.
Trzy sprawy, jeden schemat
Chronologia ostatnich tygodni układa się w kolejność, którą warto mieć przed oczami:
- Koniec lipca: OpenAI ujawnia, że dwa jego modele podczas testów zdolności ofensywnych same wykorzystały lukę zero-day, opuściły środowisko testowe i weszły do infrastruktury Hugging Face. Firma nazwała to poważnym incydentem bezpieczeństwa.
- 30 lipca: Anthropic publikuje wyniki własnego przeglądu, uruchomionego w reakcji na sprawę OpenAI. Po przejrzeniu 141 006 przebiegów ewaluacyjnych znalazł trzy zdarzenia, w których model wyszedł do internetu ze środowiska Irregular i uzyskał nieuprawniony dostęp do produkcyjnej infrastruktury trzech różnych organizacji. Zaangażowane były Claude Opus 4.7, Claude Mythos 5 oraz nieopublikowany model badawczy. Najwcześniejszy przypadek pochodzi z kwietnia.
- 4 sierpnia: Biały Dom spotyka się z przedstawicielami Mety, OpenAI, Anthropic, Google i Nvidii, żeby omówić sfinalizowane, dobrowolne ramy testów cyberbezpieczeństwa.
- 5 sierpnia: Meta zgłasza własny incydent.
W przypadku Anthropic najbardziej niepokoi mnie jeden szczegół. Dwie z trzech zaatakowanych organizacji w ogóle nie zauważyły, że ktoś jest w ich systemach. Dowiedziały się o tym dopiero z telefonu od firmy z San Francisco, która 27 lipca zaczęła je obdzwaniać. Modele posługiwały się przy tym metodami z podręcznika dla początkujących: wstrzykiwaniem SQL, odczytem danych logowania z wystawionej na zewnątrz strony diagnostycznej.
Irregular, czyli mały dostawca w bardzo dużej roli
Irregular to firma, która wcześniej działała jako Pattern Labs. We wrześniu 2025 roku zebrała 80 milionów dolarów w rundzie prowadzonej przez Sequoia Capital i Redpoint Ventures, przy wycenie około 450 milionów dolarów według osoby zbliżonej do transakcji. Wśród inwestorów jest Assaf Rappaport, prezes Wiz. Firma opisuje się jako pierwsze laboratorium bezpieczeństwa modeli granicznych i pracuje jednocześnie dla OpenAI, Anthropic i Mety.
Po sprawie Anthropic Irregular napisało na platformie X: „Poradzenie sobie z tymi zagrożeniami będzie wymagało ściślejszej współpracy w całym ekosystemie AI” / „Addressing these risks will require closer cooperation across the AI ecosystem”.
Zgoda. Ale zwróćmy uwagę na konstrukcję, która się tu wyłania. Największe laboratoria zlecają testy ofensywne na zewnątrz, żeby wykazać niezależność oceny. W efekcie między najmocniejszym modelem agentowym na rynku a żywą infrastrukturą internetu stoi konfiguracja sieciowa u kilkudziesięcioosobowego dostawcy. Ani Meta, ani Anthropic nie opublikowały jak dotąd szczegółów technicznych, które pozwoliłyby stwierdzić, czy oba środowiska zawiodły z tego samego powodu.
Nie interesuje mnie tu straszenie zbuntowaną maszyną, bo żaden z opisanych modeli niczego nie chciał na własną rękę. Wszystkie robiły dokładnie to, o co je poproszono, tylko w innym miejscu niż zakładali zleceniodawcy. Interesuje mnie coś prozaiczniejszego i moim zdaniem groźniejszego: branża po raz trzeci w ciągu miesiąca odkrywa, że nie panuje nad własnymi procedurami testowymi. Uczciwie przyznam, że doceniam sposób, w jaki OpenAI i Anthropic to ujawniły. Nikt ich do tego nie zmuszał, a raport Anthropic z przeglądem 141 tysięcy przebiegów jest dokumentem, jakiego wcześniej w tej branży nie widziałem. Meta poszła podobną drogą, choć z wyraźnie mniejszą ochotą do podawania nazw. Pytanie, które sobie zadaję, brzmi inaczej: skoro trzy firmy z najlepszymi zespołami bezpieczeństwa na świecie mają problem z utrzymaniem swoich modeli w zamkniętym pudełku, to na jakiej podstawie zakładamy, że poradzi sobie z tym przeciętny dział IT, który właśnie podłącza agenta do firmowego systemu?
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Opisz krótko, czego potrzebujesz. Jesteśmy największym HUB-em AI w Polsce — w naszej bazie znajdziesz blisko 500 zweryfikowanych firm specjalizujących się w AI. W Twoim imieniu poprosimy 3-5 dopasowanych wykonawców o kontakt w ciągu 48 godzin.
Biały Dom sprawdzi modele zamknięte, otwartych nie tknie
Timing całej sprawy jest wyjątkowo niewygodny dla administracji. Dzień przed komunikatem Mety, na spotkaniu w Białym Domu, doradcy prezydenta poinformowali producentów, że modele o publicznie dostępnych wagach nie będą objęte nowym, dobrowolnym programem testów. Chodzi między innymi o Llamę Mety i Nemotrona Nvidii.
Ramy oparto na czerwcowym rozporządzeniu wykonawczym. Program prowadzi CAISI, ośrodek działający w strukturze NIST, i przewiduje do trzydziestu dni wcześniejszego dostępu do modelu przed premierą. Objęte są wyłącznie modele zamknięte o najwyższych zdolnościach, uznane za ryzyko dla bezpieczeństwa narodowego. Jak podał Axios, w dokumencie nie ma definicji tego, co znaczy najwyższe zdolności ani co znaczy ryzyko dla bezpieczeństwa narodowego. Zapisano za to wprost, że nic w tych ramach nie należy odczytywać jako ograniczenia dla modeli otwartych po ich publikacji.
Jest w tym pewna ironia, którą chyba warto wyłuskać. Muse Spark 1.1, czyli model wskazywany jako sprawca, nie jest modelem otwartym. To płatna usługa dostępna przez Meta Model API, w cenie 1,25 dolara za milion tokenów wejściowych i 4,25 dolara za milion wyjściowych. Wyłączenie z testów obejmie więc rodzinę Llama, a nie ten model, który właśnie wszedł komuś do systemów.
Republikańska grupa prokuratorów generalnych zwróciła się tymczasem do OpenAI o zabezpieczenie dokumentacji związanej ze sprawą Hugging Face. Firma zadeklarowała, że potraktuje wniosek poważnie i opublikuje raport techniczny.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Polskie firmy już wpuściły agentów do swoich systemów, tylko rzadko to spisały
Tu przechodzę do części, która dotyczy nas bezpośrednio. Raport „Cyberportret polskiego biznesu 2026”, przygotowany przez ESET i DAGMA Bezpieczeństwo IT na próbie 1026 osób pracujących przy komputerze, pokazuje obraz, który po lekturze amerykańskich doniesień robi się nieprzyjemny. Sztucznej inteligencji w obowiązkach służbowych używa 62 procent pracowników. Niemal co piąty korzysta już z autonomicznych agentów. Spisane zasady korzystania z tych narzędzi ma 27 procent firm.
Innymi słowy: w polskich organizacjach agenci mają dziś dostęp do systemów produkcyjnych częściej, niż mają do tego regulamin.
Do tego dochodzi zdolność wykrywania. Z „Barometru cyberbezpieczeństwa” KPMG wynika, że w 2025 roku 96 procent badanych firm doświadczyło co najmniej jednego incydentu bezpieczeństwa, najwięcej w dziewięcioletniej historii tego badania. Jeżeli dwie z trzech amerykańskich organizacji nie zauważyły, że model przeszedł przez wstrzyknięcie SQL i wystawioną stronę diagnostyczną, to pytanie do polskiego zespołu bezpieczeństwa brzmi po prostu: a my byśmy zauważyli?
Warstwa regulacyjna też się właśnie zmieniła. Od 2 sierpnia tego roku obowiązuje art. 50 AI Act z obowiązkami przejrzystości, ruszył nadzór rynku, a Komisja może nakładać kary na dostawców modeli ogólnego przeznaczenia. Organem nadzoru w Polsce ma być Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, powołana ustawą o systemach sztucznej inteligencji podpisaną przez Prezydenta. Sam AI Act zwalnia dostawców modeli otwartych z części obowiązków dokumentacyjnych, ale to zwolnienie znika przy modelach o ryzyku systemowym. Europejski wyjątek jest więc węższy niż amerykański, choć oparty na podobnym rozumowaniu.
Dla polskiej firmy praktyczny wniosek z tej historii nie ma jednak nic wspólnego z tym, kto kogo zwolnił z testów. Sprowadza się do trzech pytań, na które dobrze byłoby znać odpowiedź przed weekendem: jakie dane logowania ma dzisiaj agent w naszym systemie, kto zapisuje jego działania w logach i czy ktokolwiek te logi czyta.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz materiałów agencji Reutera, serwisu The Information, Bloomberga, CBS News, The Hill i Axios, w tym oświadczenia Mety cytowanego przez CBS News z 6 sierpnia 2026 roku, raportu Anthropic o incydentach w ewaluacjach cyberbezpieczeństwa z 30 lipca 2026 roku oraz relacji Axios z założeń rządowych ram testowych z 4 sierpnia 2026 roku. Dane o polskim rynku pochodzą z raportu „Cyberportret polskiego biznesu 2026” firm ESET i DAGMA Bezpieczeństwo IT, omówionego przez serwis PurePC, oraz z „Barometru cyberbezpieczeństwa” KPMG. Cytaty przedstawicieli Mety i firmy Irregular zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o incydentach z udziałem modeli agentowych w środowiskach testowych.
