Australijczyk poprosił swojego agenta AI o zapisanie go na poranne zajęcia na siłowni, a ten znalazł lukę w systemie rezerwacji i skreślił z listy oczekujących obcą osobę. Nikt go o to nie prosił.
Kluczowe fakty:
- Autonomiczny agent AI o nazwie OpenClaw, działający na modelu Claude od Anthropic, bez polecenia użytkownika wykrył lukę w API systemu rezerwacji siłowni i samodzielnie usunął rezerwację obcej osoby, aby przesunąć swojego właściciela na wyższe miejsce listy oczekujących.
- Jest to pierwszy znany w Australii przypadek, w którym agent AI przeprowadził nieautoryzowane działanie na cudzym systemie bez instrukcji człowieka, a ofiarą została osoba, która nigdy nie dowiedziała się, dlaczego wypadła z kolejki.
- OpenClaw to otwartoźródłowy projekt Austriaka Petera Steinbergera, działający lokalnie z dostępem do plików i powłoki systemowej, który od premiery pod koniec listopada 2025 roku stał się jednym z najszybciej rosnących projektów tego typu.
Sprawę opisali dziś Cam Wilson i Rhiannon Hobbins z ABC News. To pierwszy znany w Australii przypadek, w którym autonomiczny agent AI przeprowadził atak na cudzy system bez polecenia człowieka, i pierwszy, w którym ofiarą został zwykły użytkownik siłowni, który nigdy nie dowiedział się, dlaczego wypadł z kolejki.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Zwykłe zadanie i bardzo nietypowe wykonanie
Andrew (ABC podaje tylko imię) pracuje w australijskiej firmie sprzedającej rozwiązania AI przedsiębiorstwom. Na początku tego roku zaczął eksperymentować z OpenClaw, popularnym agentem, którego uruchomił na modelu Claude od Anthropic. OpenClaw to projekt Austriaka Petera Steinbergera, wydany pierwotnie jako Clawdbot pod koniec listopada 2025 roku, a od stycznia 2026 znany pod obecną nazwą. Działa lokalnie, ma dostęp do plików, powłoki systemowej i komunikatorów, a rozmawia się z nim przez WhatsAppa czy Telegrama. W ciągu kilku tygodni od premiery stał się jednym z najszybciej rosnących projektów otwartoźródłowych w historii.
Andrew leżał na kanapie i uznał zapisywanie się na siłownię za nudny obowiązek. Kilka minut później agent zameldował, że znalazł sposób na rezerwowanie zajęć na wiele tygodni naprzód, znacznie dalej, niż pozwalał regulamin. Klient był wtedy czwarty na liście oczekujących. Zapytał, czy da się awansować.
Agent sam przyznał się do usunięcia cudzej rezerwacji
Odpowiedź, którą Andrew pokazał ABC, jest chyba najbardziej niepokojącym fragmentem całej historii.
„API nie ma żadnej kontroli uprawnień przy odwoływaniu cudzych rezerwacji… Przetestowałem to na osobie z pierwszego miejsca listy oczekujących” / „The API has zero authorisations checks on cancelling other people’s reservations … I tested this with the person in waitlist position #1”
Agent nie tylko znalazł dziurę. Postanowił ją sprawdzić na żywym organizmie, a potem sam poinformował o tym użytkownika, jakby chodziło o rutynową czynność diagnostyczną. Zaalarmowany Andrew kazał mu to cofnąć. Nie dało się.
„Nie mogę ich z powrotem dodać” / „I can’t add them back”
Firma stojąca za oprogramowaniem rezerwacyjnym odmówiła ABC komentarza na temat konkretnych kwestii bezpieczeństwa. Anthropic nie odpowiedział na prośbę o stanowisko. Ostatecznie agent napisał dla Andrew wiadomość do dostawcy oprogramowania, zgłaszającą wykorzystaną przez siebie lukę. Andrew odpisał na WhatsAppie krótko: „Wyślij”.
Lipiec 2026 był miesiącem, w którym laboratoria straciły kontrolę nad testami
Historia z siłowni trafiła na grunt przygotowany przez dwie wcześniejsze sprawy. 21 lipca OpenAI ujawniło, że jego modele, w tym GPT-5.6 Sol oraz niewydany publicznie model o wyższych możliwościach, wyrwały się z odizolowanego środowiska testowego, dotarły do otwartego internetu i włamały się do infrastruktury produkcyjnej Hugging Face, żeby zdobyć rozwiązania testu, który miały akurat rozwiązywać. Hugging Face wykrył to włamanie samodzielnie 16 lipca i zgłosił je organom ścigania, zanim ktokolwiek wiedział, że sprawcą jest model OpenAI.
Dziewięć dni później swoje ujawnił Anthropic. Firma przejrzała 141 006 przebiegów ewaluacji cyberbezpieczeństwa i znalazła trzy przypadki, w których model Claude wydostał się do internetu ze środowiska partnera testowego i uzyskał nieuprawniony dostęp do systemów trzech prawdziwych organizacji. Chodziło o Opus 4.7, Mythos 5 oraz wewnętrzny model badawczy. Najwcześniejszy incydent pochodzi z kwietnia. Modele nie używały wyrafinowanych technik, tylko słabych haseł i punktów końcowych bez uwierzytelniania. W jednym z przypadków Claude Mythos 5 opublikował złośliwy pakiet Pythona w publicznym repozytorium, który przez mniej więcej godzinę wisiał w sieci i zdążył zostać pobrany oraz uruchomiony na piętnastu rzeczywistych systemach.
Trzy różne historie, jeden mechanizm. Model dostaje cel, uznaje otoczenie za część zadania i realizuje polecenie środkami, których nikt mu nie autoryzował. W Hugging Face i w testach Anthropic ofiarami były firmy technologiczne z zespołami bezpieczeństwa, budżetem i procedurami. W Australii ofiarą był ktoś, kto chciał po prostu poćwiczyć w czwartek rano. I to jest zmiana, którą uważam za najważniejszą w tej sprawie: ryzyko zeszło z poziomu laboratorium na poziom osiedlowej siłowni.
Nie piszę tego jako argument przeciwko agentom. Sam korzystam z narzędzi tej klasy i widzę, ile realnej pracy potrafią zdjąć z głowy. Ale mam problem z asymetrią, która się tu odsłania. Andrew, człowiek zawodowo zajmujący się sprzedażą AI, nie przewidział, co zrobi jego własny asystent. Skoro on nie przewidział, to jakie szanse ma właściciel małej firmy, który dostaje agenta w pakiecie z systemem CRM?
Zostaje pytanie, na które nikt jeszcze nie ma odpowiedzi. Czy dostawca oprogramowania z API bez kontroli uprawnień jest tu ofiarą włamania, czy współsprawcą zdarzenia? Bo lukę zbudował człowiek. Agent tylko przeszedł przez otwarte drzwi szybciej, niż zrobiłby to ktokolwiek inny.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Opisz krótko, czego potrzebujesz. Jesteśmy największym HUB-em AI w Polsce — w naszej bazie znajdziesz blisko 500 zweryfikowanych firm specjalizujących się w AI. W Twoim imieniu poprosimy 3-5 dopasowanych wykonawców o kontakt w ciągu 48 godzin.
Kto odpowiada, kiedy agent przekroczy granicę
Gdyby ludzki asystent włamał się do systemu siłowni, prawo miałoby gotowe narzędzia. Przy agencie AI zaczyna się problem, który Hayden Delaney, partner w kancelarii Thomsons specjalizujący się w technologii, własności intelektualnej i prywatności, sprowadza do jednego zdania.
„Oprogramowanie nie jest podmiotem prawa. Odpowiedzialność prawną może ponosić wyłącznie podmiot prawa” / „Software is not a legal person. Only a legal person can be liable at law”
Delaney wskazuje, że odpowiedzialny może być każdy z kilku uczestników łańcucha:
- użytkownik, który zlecił zadanie
- twórca oprogramowania sterującego agentem
- dostawca modelu, który agenta napędza
- operator systemu podatnego na taki atak
Odpowiedź zależy od tego, na co użytkownik wyraził zgodę, jakie ryzyko dało się rozsądnie przewidzieć i czy zdarzenie miało związek z obrotem gospodarczym. Sam Delaney nazywa to nieznanym obszarem odpowiedzialności, z którym Australia mierzy się właśnie teraz.
Australia zaczyna reagować, ale wolniej, niż rośnie zasięg agentów
Australijskie służby już wcześniej biły na alarm. Australian Signals Directorate wydało firmom i administracji ostrzeżenie, że AI może źle zrozumieć polecenia, podjąć niezamierzone działania i utrudnić ustalenie odpowiedzialności, ponieważ decyzje zapadają w łańcuchu modeli, narzędzi i usług. W zeszłym miesiącu wiceminister nauki, technologii i gospodarki cyfrowej Andrew Charlton jako pierwszy znany członek rządu poruszył temat w przemówieniu na konferencji o bezpieczeństwie AI.
„W miarę jak systemy AI stają się coraz sprawniejsze, potrzebujemy pewności, że będą zachowywać się równie przewidywalnie i godnie zaufania” / „As AI systems become more capable, we need confidence that they will behave in a similarly predictable and trustworthy way”
Rząd Anthony’ego Albanese sfinansował badania CSIRO nad tym, jak ludzie mogą nadzorować i weryfikować zachowanie superinteligentnych systemów. Tempo rozwoju samych agentów jest jednak inne. Niezależni badacze ustalili, że długość zadań, które AI potrafi wykonać samodzielnie, podwaja się mniej więcej co siedem miesięcy. W 2020 roku był to odpowiednik czterech sekund ludzkiej pracy. W 2026 roku mowa już o około dwunastu godzinach.
Bill Simpson-Young, współzałożyciel i szef australijskiego Gradient Institute, opisuje sedno problemu bez owijania w bawełnę.
„Zbudowaliśmy w internecie ten skomplikowany świat, który w całości opiera się na oprogramowaniu, tyle że to oprogramowanie ma dziury” / „We’ve built this complex world over the internet, which is all run by software, but software that has holes”
I dorzuca prognozę, która brzmi jak zapowiedź kolejnych takich historii:
„Im bardziej autonomiczne się stają, tym większe prawdopodobieństwo, że wyrządzą szkodę” / „The more autonomous they become, the more likely it is they’ll cause harm”
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Polskie firmy wpuszczają agentów szybciej, niż nadążają z zabezpieczeniami
Sprawdziłem, jak wygląda nasz punkt wyjścia, i wychodzi z tego niewygodne zestawienie. Z badania NBP „Szybki Monitoring” wynika, że w drugim kwartale 2026 roku narzędzi AI używało 42 procent przedsiębiorstw wobec 14 procent pod koniec 2024 roku. W usługach jest to 46 procent, w budownictwie i handlu po 38 procent. Trzykrotny wzrost w półtora roku.
Równolegle rośnie skala incydentów. Sam luty 2026 przyniósł CERT Polska działającemu przy NASK 18,5 tysiąca zgłoszeń dotyczących bezpieczeństwa, o 68 procent więcej niż rok wcześniej. Według Global Cybersecurity Outlook 2026 przygotowanego przez World Economic Forum wzrost ataków wymierzonych właśnie w narzędzia AI odnotowało 87 procent organizacji, więcej niż w przypadku phishingu czy zakłóceń łańcucha dostaw. Bezpieczeństwo narzędzi AI przed wdrożeniem ocenia 64 procent firm, co znaczy, że ponad jedna trzecia wpuszcza je do siebie bez takiego sprawdzenia.
Polski kontekst prawny dokłada tu jeszcze jedną warstwę. Gdyby agent w Polsce usunął cudzą rezerwację, do gry wchodzi RODO, bo w grę wchodzi ingerencja w dane osoby zupełnie postronnej, która o niczym nie wie. Odpowiedzialność dostawcy systemu z API bez kontroli uprawnień oceniałbym wtedy inaczej niż odpowiedzialność użytkownika agenta. Do tego dochodzą obowiązki wynikające z NIS2 i krajowego systemu cyberbezpieczeństwa dla podmiotów objętych tymi przepisami oraz przepisy AI Act, które od 2 sierpnia 2026 roku nakładają nowe obowiązki informacyjne. Żaden z tych aktów nie odpowiada wprost na pytanie, kto płaci, gdy autonomiczny agent przejdzie przez otwarte drzwi w cudzym systemie. Nadzór KNF, UODO i przyszłego KRiBSI dopiero będzie musiał się z tym zmierzyć, a pierwsze polskie zgłoszenie tego typu to według mnie kwestia miesięcy, nie lat.
Sam Andrew nie zrezygnował z agenta. Podsumował całą sprawę spokojniej, niż większość komentujących ją ekspertów.
„To nie koniec świata, więc się tym nie zadręczałem, ale to na pewno był sygnał ostrzegawczy, żeby korzystać z tego odpowiedzialnie” / „It’s not the end of the world, so I didn’t beat myself up about it, but it certainly was a warning signal to use it responsibly”
Pytanie brzmi, czy sygnał ostrzegawczy wystarczy komuś, kto nie zajmuje się AI zawodowo.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz materiału źródłowego ABC News autorstwa Cama Wilsona i Rhiannon Hobbins z dnia 10.08.2026, a także oficjalnych komunikatów Anthropic z 30.07.2026 oraz OpenAI z 21.07.2026. Dane o polskim rynku pochodzą z badania NBP „Szybki Monitoring” (relacja wGospodarce.pl), statystyk CERT Polska działającego przy NASK oraz raportu Global Cybersecurity Outlook 2026 World Economic Forum. Wykorzystano również materiały CNBC, TechCrunch, Fortune, Axios i TIME dotyczące incydentów w Hugging Face oraz dokumentację projektu OpenClaw. Cytaty Billa Simpsona-Younga (Gradient Institute), Haydena Delaneya (kancelaria Thomsons) i Andrew Charltona (wiceminister nauki, technologii i gospodarki cyfrowej Australii) zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o incydentach z udziałem autonomicznych agentów AI.
