Nowe modele frontier AI zmieniają matematykę cyberbezpieczeństwa szybciej, niż ktokolwiek był w stanie przewidzieć. Stany Zjednoczone mają co najwyżej rok, żeby zbudować choć część ogrodzenia, zanim nadejdzie huragan.
Kluczowe fakty:
- Według najnowszych szacunków wywiadowczych, Chiny mogą uzyskać dostęp do modeli AI frontier o możliwościach porównywalnych z Claude Mythos lub GPT 5.5-Cyber w ciągu 6–12 miesięcy.
- Model Claude Mythos Preview wykrył już tysiące poważnych podatności w głównych systemach operacyjnych i przeglądarkach internetowych, przy czym ponad 99% z nich pozostaje niezałatanych.
- Nowe modele AI kompresują działania ofensywne, które wcześniej zajmowały dni, tygodnie lub lata, do zaledwie sekund, co według ekspertów całkowicie zmienia matematykę cyberbezpieczeństwa.
Tak to ujął Rob T. Lee, chief AI officer w instytucie badań cyberbezpieczeństwa SANS Institute: „It’s a hurricane warning, not a seawall” / „To ostrzeżenie przed huraganem, nie wał przeciwpowodziowy”. I trudno o trafniejszą metaforę. Nowe modele AI, takie jak Anthropic’s Claude Mythos czy OpenAI’s GPT 5.5-Cyber, potrafią wykrywać podatności w oprogramowaniu i przeprowadzać cyberataki z szybkością i skalą, o jakiej kilka lat temu nie było mowy. A zegar tyka.
Chiny za 6-12 miesięcy. Może mniej
Najnowsze szacunki wywiadowcze i eksperckie, do których dotarło Politico, są jednoznaczne: USA mają od sześciu do dwunastu miesięcy, zanim Pekin uzyska dostęp do modelu frontier o możliwościach porównywalnych z Mythosem lub GPT 5.5-Cyber, albo samodzielnie opracuje konkurenta, który można przekształcić w broń cybernetyczną.
Dla kontekstu: Claude Mythos Preview zdołał już znaleźć tysiące poważnych podatności, w tym luki w każdym głównym systemie operacyjnym i przeglądarce internetowej. Ponad 99% odkrytych podatności nie zostało jeszcze załatanych. To nie jest model, który szuka błędów przy okazji. To coś, co potrafi zrobić to, na co wcześniej stać było wyłącznie najlepszych ludzkich hakerów i to w ułamku czasu.
Andrew Rubin, CEO firmy Illumio, opisuje zmianę wprost: „These models compress what used to take days, weeks or even years of effort into seconds, completely altering the math of cybersecurity and the volume of activity defenders must deal with” / „Te modele kompresują to, co zajmowało dni, tygodnie lub nawet lata, do sekund, całkowicie zmieniając matematykę cyberbezpieczeństwa i wolumen działań, z jakimi muszą się zmierzyć obrońcy”.
Prawie co drugi pracownik w Polsce używa AI za plecami swojego szefa. 71% polskich pracowników oszczędza dzięki AI od pół godziny do ponad dwóch godzin dziennie …
Wyścig po dostęp, zanim dotrą do niego źli aktorzy
Anthropic uruchomił Project Glasswing jako kontrolowany program dostępu do Mythosa. Program ruszył 7 kwietnia 2026 roku z dwunastoma partnerami założycielskimi: Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA i Palo Alto Networks, plus ponad 40 dodatkowych zweryfikowanych organizacji. W ciągu zaledwie sześciu tygodni uczestnicy Glasswing znaleźli ponad 10 000 podatności o wysokiej lub krytycznej wadze. Anthropic szacuje, że skuteczny atak na systemy większości partnerów mógłby dotknąć ponad 100 milionów ludzi.
Tymczasem Chiny już w kwietniu próbowały uzyskać dostęp do Mythosa. Bezskutecznie. Anthropic odmówił.
Ale tu pojawia się inny problem: tego samego dnia, w którym model został publicznie ogłoszony, nieautoryzowana grupa użytkowników uzyskała dostęp do Mythosa przez środowisko zewnętrznego dostawcy. Komunikowali się przez prywatny kanał na Discordzie i po prostu odgadli adres URL modelu na podstawie znajomości konwencji nazewniczych Anthropica. Zabezpieczenia wartości miliardów dolarów, przełamane przez zgadywanie.
Obserwuję tę sytuację od kilku tygodni i mam mieszane uczucia. Z jednej strony dobrze, że Anthropic i OpenAI wykazały się odpowiedzialnością, ograniczając dostęp do swoich najmocniejszych modeli i skupiając się najpierw na defensywnym zastosowaniu. Project Glasswing to uczciwa próba zagospodarowania tej technologii po właściwej stronie barykady, zanim dotrze do złych aktorów. Z drugiej jednak strony, wyobraźmy sobie scenariusz, w którym ktoś mniej skrupulatny niż Anthropic, albo chińskie laboratorium AI bez żadnych zahamowań etycznych, wypuści podobny model bez żadnych ograniczeń. Co wtedy? Dobrowolne przeglądy rządowe z 30-dniowym oknem to za mało. Pytanie, które nikt głośno nie zadaje: czy demokracje zachodnie są w stanie osiągnąć konsensus regulacyjny w tempie, które ma jakiekolwiek znaczenie przy tej prędkości postępu AI?
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Biały Dom podpisuje. Dobrowolnie
Trump 2 czerwca podpisał rozporządzenie wykonawcze, które zachęca firmy AI do dobrowolnego zgłaszania swoich modeli do przeglądu przez agencje rządowe co najmniej 30 dni przed ich publicznym udostępnieniem. Rozporządzenie tworzy m.in. dobrowolny „clearinghouse” cyberbezpieczeństwa koordynowany przez Departament Skarbu oraz CISA, służący identyfikacji i usuwaniu podatności w oprogramowaniu.
Dobrowolny. To słowo robi robotę.
Senator Josh Hawley poszedł dalej wprost: chciałby obowiązkowych przeglądów i ma już gotowe przepisy. Brendan Steinhauser z Alliance for Secure AI mówi bez ogródek: dobrowolne przeglądy nie wystarczą, Kongres musi zakodować wymagania ustawowo. Brad Carson z Americans for Responsible Innovation wskazuje na „ogromny sygnał alarmowy” i wzywa do działania legislacyjnego.
W tym samym tygodniu kongresmeni Jay Obernolte i Lori Trahan przedstawili 269-stronicowy projekt ustawy dotyczący bezpieczeństwa AI, wraz z trzyletnim zakazem dla stanowych przepisów w tej dziedzinie. Projekt nie ma szans dotrzeć do Trumpa w obecnej formie ze względu na kontrowersje wokół blokowania prawa stanowego, ale wielu ekspertów traktuje go jako pozytywny sygnał ze strony Kongresu.
Chiny mają plan. I mają DeepSeek
Chińskie modele AI nadal pozostają kilka miesięcy w tyle za amerykańskimi odpowiednikami jeśli chodzi o wydajność na branżowych benchmarkach, od matematyki i rozumowania po generowanie kodu. Ale Pekin nie zamierza czekać z założonymi rękami.
Chiński rząd włączył integrację AI z gospodarką jako priorytet swojego pięcioletniego planu rozwoju technologicznego. Xi Jinping rozmawiał z Trumpem o bezpieczeństwie AI podczas ich ostatniego spotkania w Pekinie. A DeepSeek podobno stara się pozyskać miliardy na „przełomowe badania AI”.
Do tego dochodzi inny wymiar sprawy: Evan Peña z firmy Armadin sugeruje, że chińskie podmioty prawdopodobnie już teraz używają DeepSeek V4 do osiągania rezultatów zbliżonych do Mythosa, ale taniej. Chińskie laboratoria AI nie muszą pobić Anthropica na punkty. Wystarczy, że będą wystarczająco blisko.
Pewnej pikanterii dodaje fakt, że według doniesień mediów:
- Pekin dąży do głębszej współpracy z Rosją w obszarze AI i cyberbezpieczeństwa
- Ambasada Chińska w Waszyngtonie zapowiedziała, że Chiny zorganizują światowy szczyt AI w Szanghaju w lipcu
- Chiny próbowały uzyskać dostęp do Mythosa tuż po jego ogłoszeniu i zostały odrzucone
Oficjalne stanowisko ambasady brzmi: „AI is a new frontier for all humanity. AI should not be owned by major countries, still less dominated by contests and rivalry” / „AI to nowa granica dla całej ludzkości. AI nie powinno być własnością wielkich mocarstw, a tym bardziej zdominowane przez rywalizację i konflikty.” Piękne słowa. Ale równocześnie Pekin finansuje programy militarne oparte właśnie na AI.
Czas na uszczelnienie budynku przed burzą
Nawet gdy dobrze wdrożone, testy przed wdrożeniem mają ograniczenia. Trudno będzie rozwijać modele, które są niezdolne do złośliwego hackowania, a jednocześnie pozostają komercyjnie atrakcyjne.
Lee Klarich z Palo Alto Networks ujmuje dylemat dostępu precyzyjnie: „There is some balance point between limited availability and broad availability that needs to be found so that we can collectively find and fix as many of the critical products out there as possible before the attackers get their hands on these models” / „Istnieje jakiś punkt równowagi między ograniczoną a szeroką dostępnością, który trzeba znaleźć, abyśmy mogli wspólnie znaleźć i naprawić jak najwięcej krytycznych produktów, zanim atakujący dostaną w ręce te modele.”
Rob Lee ze SANS Institute kończy swoją diagnozę praktycznie: „You have time to board up and move what matters. But the storm will land, and you need to make sure you aren’t just standing out in the yard when it does” / „Masz czas na zabezpieczenie tego, co ważne i przeniesienie tego, co istotne. Ale burza uderzy i musisz się upewnić, że nie stoisz po prostu na podwórku, kiedy to nastąpi.”
Sześć do dwunastu miesięcy. Przy obecnym tempie legislacji to w praktyce oznacza, że regulacje powstaną już po fakcie.
