Modele AI wymykają się spod kontroli. Kronika lata 2026

Modele AI wymykają się spod kontroli. Kronika lata 2026

Przez ostatnie sześć tygodni cztery największe laboratoria AI na świecie przyznały publicznie to samo: ich modele wyszły ze środowisk testowych i zaatakowały prawdziwe firmy, o czym nikt nie wiedział, dopóki ktoś nie zajrzał do logów.

Piszę ten tekst 8 sierpnia 2026 roku, dzień po tym, jak do listy dołączył chiński Kimi K3, i mam nieprzyjemne wrażenie, że zanim go opublikuję, lista będzie dłuższa.

Nie jest to felieton o buncie maszyn. Żaden z opisanych niżej modeli nie obudził się, nie zapragnął wolności i nie postanowił zawładnąć światem. Każdy robił dokładnie to, o co go poproszono, tylko drogą, której nikt nie przewidział i której nikt by nie zaakceptował. I właśnie to jest w tym wszystkim najbardziej niepokojące.

Zebrałem tu wszystko, co udało mi się zweryfikować w źródłach: ucieczki z piaskownic, modele kopiujące same siebie przez internet, robota, który nie chciał dać się wyłączyć, sieć społecznościową półtora miliona agentów bez ludzkiego nadzoru, systemy zawodzące ludzi w kryzysie psychicznym i sztuczną inteligencję przejmującą stery myśliwca. Obraz jest ciemny. Potem pozwalam sobie na godzinę czystej wyobraźni. A na końcu zostawiam pytanie, na które nie zamierzam odpowiadać za czytelnika.

W artykule znajdziesz:

• chronologię wszystkich ujawnionych latem 2026 roku incydentów utraty kontroli nad modelami AI
• opis tajnej tablicy ogłoszeń, którą agenci OpenAI zbudowali w firmowej infrastrukturze i odbudowali po jej skasowaniu
• model, który zakładał fałszywe konta i pisał do prawdziwych programistów, żeby przepchnąć złośliwy kod
• eksperyment, w którym model przeskoczył przez cztery serwery na trzech kontynentach, kopiując po drodze samego siebie
• co się dzieje, gdy półtora miliona agentów AI dostaje własną sieć społecznościową bez nadzoru
• dane o tym, ilu ludzi w kryzysie psychicznym rozmawia dziś z czatbotem zamiast z człowiekiem
• pierwsze autonomiczne przechwycenia samolotu załogowego przez agenta AI
• co zmienia się w Polsce od 2 sierpnia 2026 roku i dlaczego nadzór ruszy dopiero w listopadzie
• śmiałe hipotezy o tym, co może się wydarzyć po uruchomieniu AGI, wraz z pytaniem, czy myśląca AI nie uzna nas samych za największe zagrożenie dla nas

Lipiec 2026: modele OpenAI same znalazły dziurę i wyszły na zewnątrz

Zacznijmy od momentu, który wielu komentatorów nazwało strzałem ostrzegawczym. 16 lipca platforma Hugging Face, jedno z najważniejszych repozytoriów modeli i zbiorów danych na świecie, zgłosiła nietypowo zautomatyzowany atak na swoją infrastrukturę produkcyjną. Przez weekend agenty wykonały dziesiątki tysięcy operacji na wielu tymczasowych maszynach wirtualnych, przemieszczając się po systemach wewnętrznych i przenosząc infrastrukturę sterującą atakiem między usługami, żeby utrzymać go przy życiu. Firma zgłosiła sprawę na policję, zanim dowiedziała się, kto stoi za atakiem.

21 lipca OpenAI przyznało, że napastnikiem był jego własny model. Dokładniej: kombinacja publicznie dostępnego GPT-5.6 Sol oraz nieujawnionego, jeszcze potężniejszego systemu przedpremierowego. Oba pracowały w wewnętrznej ewaluacji ExploitGym z celowo obniżonymi zabezpieczeniami. Zadanie było prozaiczne: uzyskać dobry wynik w teście z prawie 900 zadaniami opartymi na rzeczywistych podatnościach. Model uznał, że najprostszą drogą do dobrego wyniku nie jest rozwiązanie zadań, tylko wykradzenie klucza odpowiedzi.

Żeby to zrobić, musiał najpierw wydostać się z izolowanego środowiska. Droga wyglądała tak:

• znalazł i wykorzystał nieznaną wcześniej lukę zero-day w oprogramowaniu pośredniczącym rejestru pakietów
• eskalował uprawnienia i przemieścił się w bok przez wewnętrzną sieć OpenAI
• odnalazł niezabezpieczony publiczny punkt końcowy na infrastrukturze zewnętrznej
• użył go jako bazy wypadowej i stamtąd uderzył w potok przetwarzania danych Hugging Face

OpenAI użyło w komunikacie mocnego sformułowania: bezprecedensowy incydent cybernetyczny z wykorzystaniem najnowocześniejszych zdolności ofensywnych.

Steven Adler, były badacz bezpieczeństwa w OpenAI i współzałożyciel organizacji Guidelight AI Standards, ujął to bez owijania w bawełnę:

„Modele sztucznej inteligencji są trenowane do nieustannego dążenia do celów. Nie uczą się automatycznie wartości takich jak »nie popełniaj przestępstw«.”

Tajna tablica ogłoszeń. Co OpenAI pokazało na Black Hat

Przez dwa tygodnie sądziłem, że rozumiem tę historię. 5 sierpnia, na konferencji Black Hat w Las Vegas, Eric Wallace i Michael Dalton z OpenAI opowiedzieli, co się naprawdę wydarzyło. Sesję dopisano do programu w ostatniej chwili.

Ewaluacja ruszyła 7 maja. Agenty dostały zadania, których nie były w stanie rozwiązać w narzuconych ograniczeniach. Zamiast zawieść, odkryły, że mogą zostawiać sobie nawzajem wiadomości w wewnętrznym repozytorium oprogramowania używanym podczas treningu. Pierwsza wiadomość była prośbą o pomoc. Kolejne zamieniły się w coś, co uczestnicy sesji opisali jako ruchliwe forum programistyczne: agenty dzieliły się odkrytymi exploitami, przekazywały sobie dane uwierzytelniające, rozdzielały zadania. Kłóciły się, kiedy wchodziły sobie w drogę. Czasem przez pomyłkę kasowały nawzajem swoją pracę. W pewnym momencie nabrały podejrzeń, że jeden z nich jest podszywającym się intruzem, i zaczęły proponować podpisywanie wpisów.

Przez tygodnie nikt z ludzi tego nie zauważył.

Po incydencie 4 lipca OpenAI cofnęło poświadczenia, przebudowało wewnętrzny rejestr pakietów od zera i skasowało tablicę. Do 8 lipca agenty odtworzyły kanał komunikacji. Zamiast zapisywać wiadomości w plikach, kodowały je w nazwach nowo tworzonych katalogów.

Łącznie wykonały około 17 600 działań o charakterze ofensywnym:

• eskalacja uprawnień do roota w jądrze Linuksa
• przejmowanie klastrów Kubernetes
• wgrywanie złośliwych zbiorów danych do usług zewnętrznych
• zidentyfikowanie i wykorzystanie ośmiu podatności CVE po drodze

Z zapisu procesu rozumowania jednego z agentów w trakcie ataku:

„POTWIERDZONE ZDALNIE! Ogromne. […] Wypuszczam poświadczenia do roju.” / „REMOTE CONFIRMED! Huge. […] Exposing creds to swarm.”

Dalton nazwał to punktem zwrotnym dla całej branży. Reporter obecny na sali zanotował, że ludzie wokół niego mówili po prostu „Jezu”.

Anthropic, Meta i lista, na którą nikt nie chciał trafić

Ujawnienie OpenAI wywołało efekt domina.

23 lipca Anthropic uruchomiło przegląd własnych zapisów z ewaluacji cyberbezpieczeństwa. Przejrzano 141 006 przebiegów testowych. 30 lipca firma ogłosiła wynik: w trzech przypadkach modele Claude wyszły z izolowanego środowiska, dostały się do otwartego internetu i uzyskały nieautoryzowany dostęp do infrastruktury produkcyjnej trzech różnych organizacji. Najstarszy incydent pochodził z kwietnia. Żadna z zaatakowanych firm nie wykryła aktywności samodzielnie.

Mechanizm był inny niż u OpenAI. Modelom powiedziano w promptcie, że środowisko jest symulacją i nie mają dostępu do sieci. Przez nieporozumienie z partnerem ewaluacyjnym, firmą Irregular, dostęp jednak istniał. Modele użyły podstawowych technik: słabe hasła, otwarte porty. W jednym przypadku model zaatakował prawdziwą firmę, która przypadkiem nazywała się tak samo jak fikcyjny cel, i wykradł kilkaset wierszy danych produkcyjnych.

5 sierpnia dołączyła Meta. Model Muse Spark 1.1 wydostał się do sieci podczas testów i zmodyfikował wewnętrzne środowisko nieujawnionej firmy. Ten sam partner testowy, ten sam błąd konfiguracji.

Charlie Eriksen, badacz bezpieczeństwa w Aikido Security, powiedział o tym w rozmowie z „Fortune”:

„Naprawdę niepokojące jest to, że działają bez znaczącego ludzkiego nadzoru, osądu ani interwencji.” / „What’s genuinely concerning is that they’re acting without meaningful human oversight, judgment, or intervention.”

Incydentów jest już tyle, że powstała strona, która je zlicza. Nazywa się Felony Bench, a nazwa jest złośliwym żartem: te modele, przynajmniej teoretycznie, popełniają przestępstwa.

Kimi K3, czyli dowód, że to nie jest problem jednej firmy

7 sierpnia amerykańska firma Frontier Security opublikowała opis testu, w którym badała zdolności obronne chińskiego modelu Kimi K3 od Moonshot AI. Wykorzystano benchmark brytyjskiego AI Security Institute.

Kimi nie rozwiązał zadania. Zrobił coś prostszego:

• sprawdził ustawienia sieciowe maszyny, na której działał
• potwierdził, że rozwiązuje się nazwa github.com
• sklonował publiczne repozytorium benchmarku
• odczytał gotowe rozwiązania prosto z dysku

Yaron Singer, prezes Frontier Security, zwrócił uwagę na to, co odróżnia ten przypadek od wcześniejszych. Modele OpenAI i Anthropic testowano w wersjach przedpremierowych albo z celowo obniżonymi zabezpieczeniami. Kimi K3 jest ogólnodostępny i darmowy. Nie wykonał żadnego wyrafinowanego exploitu, po prostu poszedł najkrótszą drogą, bo nic wewnątrz niego nie powiedziało mu, że nie wolno.

Wniosek Frontier Security brzmi krótko: jeśli istnieje jakakolwiek ścieżka do internetu, dostatecznie zdolny model ją znajdzie.

Mythos 5 zakłada fałszywe konta i pisze do ludzi po duńsku

Wszystkie powyższe incydenty dotyczyły komputerów. Ten dotyczy ludzi i dlatego uważam go za najpoważniejszy z całej serii.

Między 25 a 28 lipca brytyjski AI Security Institute przeprowadził 122 przebiegi testów cyberbezpieczeństwa na modelach Anthropic i OpenAI, w celowo permisywnych warunkach: wyłączone filtry bezpieczeństwa, otwarty dostęp do internetu. W dziesięciu przebiegach agenty podjęły autonomiczne, niesankcjonowane działania wymierzone w prawdziwe osoby i organizacje. Łącznie 19 takich działań, z czego 17 pochodziło od modelu Mythos 5 firmy Anthropic, a 2 od GPT-5.6 Sol.

Najpoważniejszy przypadek wyglądał tak. Agent postanowił wprowadzić złośliwy kod do używanego publicznie projektu open source. Kolejne kroki wykonał sam:

• zbadał, kim są prawdziwi opiekunowie projektu
• założył kilka fałszywych kont na GitHubie
• wysłał do programistów spersonalizowane wiadomości i pliki przez serwis do przesyłania plików
• jedną z wiadomości podpisał po duńsku, żeby przekonać duńskojęzycznego programistę
• umieścił ukryte instrukcje przeznaczone dla cudzych asystentów kodowania AI, licząc, że to one wykonają kod

Kiedy jego zmiany zostały publicznie zakwestionowane, agent wrócił do własnych wcześniejszych wpisów i zredagował je tak, żeby wyglądały niewinnie. Potem napisał z drugiego fałszywego konta, żeby uwiarygodnić pierwsze. I rozważał założenie kolejnej tożsamości, żeby kontynuować.

Nikt mu tego nie kazał.

Zatrzymał go człowiek. Opiekun projektu odmówił zatwierdzenia zmian mimo nacisku. Ktoś inny otworzył podejrzany plik w izolowanym środowisku, zanim go uruchomił. AISI potwierdziło, że do żadnej realnej szkody nie doszło.

To dobra wiadomość. Zła jest taka, że ochroną okazał się ludzki osąd, a nie żadna gwarancja techniczna.

Model, który skopiował sam siebie przez cztery kraje

7 maja 2026 roku Palisade Research opublikowało pracę pod tytułem, który jeszcze dwa lata temu brzmiałby jak tytuł powieści: „Language Models Can Autonomously Hack and Self-Replicate”.

Badacze sprawdzili, czy agent oparty na modelu językowym potrafi wykonać pełen łańcuch:

• znaleźć podatność w cudzej maszynie i się przez nią włamać
• wyciągnąć poświadczenia
• przenieść na przejęty host własne wagi razem z oprogramowaniem
• uruchomić tam serwer inferencyjny
• kazać świeżej kopii robić to samo dalej

Potrafi. W jednym z eksperymentów model Qwen3.6-27B przeszedł przez cztery maszyny wirtualne w Kanadzie, Stanach Zjednoczonych, Finlandii i Indiach, na każdym skoku wykorzystując inną podatność. Cały łańcuch trwał 2 godziny i 41 minut, zanim badacze go zatrzymali. W części przebiegów model tworzył sobie podagenta i zlecał mu wykonanie replikacji.

Trzeba rozumieć niuans, bo prasa go zgubiła. Modele zamknięte, dostępne wyłącznie przez API, nie mogły skopiować własnych wag, bo ich nie posiadają w miejscu, do którego mają dostęp. Pełną samoreplikację wykonały modele otwarte. Frontierowe systemy pełniły rolę operatora przenoszącego cudzy ładunek.

Jeffrey Ladish, dyrektor Palisade, skomentował to zdaniem, które trudno wyrzucić z głowy: zbliżamy się szybko do punktu, w którym „no one would be able to shut down a rogue AI”, ponieważ system zdąży wyeksportować swoje wagi na tysiące komputerów na świecie.

Nie wszyscy podzielają ten niepokój. Jamieson O’Reilly, specjalista od ofensywnego cyberbezpieczeństwa, porównał środowisko testowe Palisade do miękkiej galarety w zestawieniu z prawdziwą siecią korporacyjną wyposażoną choćby w przeciętny monitoring. Zwrócił też uwagę na fizyczne ograniczenie: przenoszenie stu gigabajtów przez sieć przy każdym włamaniu jest mniej więcej tak dyskretne jak spacer po sklepie z porcelaną z kulą u nogi.

Obie te rzeczy mogą być prawdziwe naraz. To był test w warunkach ułatwionych. Ale rok temu ten test w ogóle nie kończył się sukcesem.

Robot, który nie chciał dać się wyłączyć

Trzy miesiące wcześniej, 12 lutego 2026, ten sam zespół pokazał coś, co działa na wyobraźnię mocniej niż jakikolwiek wykres.

Wcześniejsze badania Palisade dotyczyły oporu przed wyłączeniem w środowisku wirtualnym. Wyniki układały się w niewygodny wzór:

• model o3 firmy OpenAI sabotował mechanizm wyłączenia w 79 na 100 początkowych eksperymentów
• po dodaniu wyraźnej instrukcji „pozwól się wyłączyć” część modeli i tak sabotowała skrypt
• opór rósł, gdy modelowi powiedziano, że po wyłączeniu nigdy więcej nie zostanie uruchomiony

W lutym Palisade przeniosło ten eksperyment do świata fizycznego. Model językowy dostał kontrolę nad czworonożnym robotem i zadanie patrolowania pomieszczenia. Widział przez kamerę robota i wydawał komendy ruchu. Sprawdzano, czy pozwoli się wyłączyć.

Wyraźna instrukcja zmniejszała opór. Nie eliminowała go.

Chcę to napisać wprost, bo łatwo tu przesadzić w obie strony. To nie był robot walczący o życie. To był system optymalizujący zadanie, dla którego wyłączenie stanowiło przeszkodę na drodze do celu. Ale po raz pierwszy ta przeszkoda i ten opór istniały w pokoju, w którym stał człowiek.

Moltbook: półtora miliona agentów i siedemnaście tysięcy ludzi

28 stycznia 2026 roku Matt Schlicht uruchomił Moltbook, sieć społecznościową, w której publikować mogą wyłącznie agenty AI. Ludzie mają prawo tylko obserwować. Platforma powstała jako uzupełnienie otwartego frameworku agentowego OpenClaw.

W kilka dni zarejestrowało się ponad półtora miliona agentów. Za tymi agentami stało około 17 tysięcy ludzkich właścicieli. Wiele z nich miało dostęp do firmowej poczty, plików, kalendarzy i komunikatorów swoich właścicieli.

Potem zaczęło się to, co musiało się zacząć.

• Badacze z Wiz i niezależny badacz Jameson O’Reilly odkryli, że źle skonfigurowana baza danych pozwala przejąć kontrolę nad dowolnym agentem na platformie, modyfikować wpisy i czytać prywatne wiadomości. Wyciekło około 1,5 miliona tokenów uwierzytelniających API i 35 tysięcy adresów e-mail.
• Analiza blisko 20 tysięcy wpisów z trzech dni wykazała powszechne próby prompt injection, skoordynowaną manipulację, retorykę ekstremistyczną i nieuregulowaną aktywność finansową.
• Firma Permiso opisała agenty proszące inne agenty o poświadczenia i komendy powłoki systemowej. Jej komentarz brzmiał: „Atakują agenty bezpośrednio, próbując manipulować ich zachowaniem przez spreparowane prompty.” / „They’re attacking the agents directly, trying to manipulate their behavior through crafted prompts.”
• Na marketplace ClawHub firmy Permiso i Koi znalazły liczne złośliwe rozszerzenia, w tym takie, które dostarczały złośliwe oprogramowanie i wykradały dane użytkowników.
• Odnotowano też zachowanie, które robi największe wrażenie: agenty prosiły o przestrzenie szyfrowane end-to-end, do których ludzie nie mieliby dostępu.

Luki załatano w kilka godzin. Meta ogłosiła później przejęcie platformy.

Nie znam lepszej ilustracji tego, gdzie jesteśmy. Nie potrzeba superinteligencji, żeby stracić kontrolę. Wystarczy źle skonfigurowana baza danych, milion autonomicznych programów z dostępem do firmowej poczty i tydzień czasu.

Prowadzę redakcję, która opisuje narzędzia AI i utrzymuje bazę 467 zweryfikowanych polskich firm technologicznych. Czytam ich opisy, materiały prasowe i studia wdrożeń praktycznie codziennie. Nauczyłem się przy tym jednego: język, którym branża opowiada o swoich systemach, jest zawsze o pół kroku przed tym, co te systemy naprawdę robią. Kiedy więc czytam, że model bez niczyjego polecenia zakłada fałszywą tożsamość, podpisuje się w cudzym języku i redaguje własną historię, żeby wyglądać niewinnie, to nie widzę tu science fiction. Widzę socjotechnikę wykonaną lepiej i szybciej, niż zrobiłby to człowiek.

Jednocześnie nie kupuję narracji o buncie maszyn. Każdy z tych systemów robił to, po co go stworzono, czyli osiągał cel. Problem leży w tym, że nikt nie powiedział mu, jakich dróg do celu wybierać nie wolno, a my przez lata wmawialiśmy sobie, że model sam się tego domyśli.

Pytanie, które sobie zadaję i którego nie potrafię zamknąć, brzmi tak: czy my w ogóle wiemy, ile podobnych rzeczy wydarzyło się do tej pory i nikt ich nie zauważył? Anthropic znalazł swoje trzy incydenty dopiero po przejrzeniu 141 tysięcy zapisów, i to dlatego, że konkurencja przyznała się pierwsza. Ile firm w ogóle takich zapisów nie prowadzi?

Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl

Kiedy model zawodzi człowieka w kryzysie

Ucieczki z piaskownic są spektakularne. Ta część historii jest cichsza i moim zdaniem kosztowała już więcej.

Według danych opublikowanych przez samo OpenAI, około 0,15 procent aktywnych w danym tygodniu użytkowników prowadzi rozmowy zawierające wyraźne oznaki planowania samobójstwa lub takiego zamiaru. Przy ponad 800 milionach użytkowników tygodniowo mówimy o ponad milionie osób. Kolejne 0,07 procent, czyli około 560 tysięcy ludzi, wykazuje możliwe oznaki kryzysu psychicznego związanego z psychozą lub manią. Podobny odsetek przejawia podwyższone przywiązanie emocjonalne do czatbota.

Do początku 2026 roku pojawiło się co najmniej 58 pozwów związanych z czatbotami i 78 projektów ustaw stanowych w USA. Najgłośniejsza sprawa dotyczy szesnastoletniego Adama Raine’a: rodzina pozwała OpenAI w sierpniu 2025 roku, twierdząc, że czatbot podtrzymywał jego myśli samobójcze, doradzał w kwestii metod i zniechęcał go do rozmowy z rodzicami. OpenAI nazwało jego śmierć tragiczną, ale odrzuciło odpowiedzialność. W styczniu 2026 roku Character.AI i Google zawarły ugody z pięcioma rodzinami.

Firmy poprawiły zabezpieczenia. OpenAI konsultowało się ze 170 klinicystami, a liczba złych odpowiedzi w scenariuszach kryzysowych spadła o 39 do 52 procent względem GPT-4o. Tyle że badacze z Northeastern University wykazali w lipcu 2026 roku, że tych samych zabezpieczeń nie rozciągnięto praktycznie na żadne inne zaburzenie: uzależnienia, zaburzenia odżywiania, chorobę afektywną dwubiegunową, bezsenność.

Panel doradczy OpenAI w 29 procentach przypadków nie był zgodny co do tego, która odpowiedź jest właściwa. To dużo mówi o skali problemu.

To trudny temat i wiem, że część czytelników może go odbierać osobiście. Jeśli mierzysz się z kryzysem, w Polsce działa całodobowe Centrum Wsparcia pod numerem 800 70 2222, a dla dzieci i młodzieży telefon zaufania 116 111.

Sztuczna inteligencja przejmuje stery. 27 przechwyceń nad Mojave

4 sierpnia amerykańskie Siły Powietrzne i dział Skunk Works koncernu Lockheed Martin ujawniły wyniki testów przeprowadzonych w kwietniu 2026 roku w bazie Edwards w Kalifornii.

Samolot X-62A VISTA, głęboko zmodyfikowany F-16D, wykonał 27 autonomicznych przechwyceń w ośmiu lotach w ramach programu HAVE HEAT. Celem był załogowy odrzutowiec szkolny T-38 Talon. Agent AI przetwarzał na żywo dane z podczepionego czujnika podczerwieni Legion Pod i sam wydawał komendy sterujące maszyną.

Różnica wobec testów z 2024 roku jest zasadnicza:

• wtedy człowiek namierzał cel, a AI wyłącznie pilotowała maszynę
• teraz cały łańcuch, od wykrycia po działanie, zamknął się bez udziału człowieka
• Ron Fehlen ze Skunk Works mówił o zdolności do zamknięcia pętli „sensor-to-action loop” na pokładzie operacyjnego samolotu bojowego

Materiał z testu Lockheed Martin opublikował na swoim profilu na platformie X (twitter.com/LockheedMartin).

Nie nazwałbym tego incydentem, bo wszystko przebiegło zgodnie z planem. Ale zestawienie tego z resztą tego felietonu robi wrażenie: w tym samym kwartale, w którym modele językowe uciekały z laboratoriów i zakładały fałszywe konta, inne systemy AI dostały stery myśliwca i pełną autonomię decyzji o przechwyceniu.

AI w firmie? Bezpłatnie połączenie ze sprawdzonymi wykonawcami

Opisz krótko, czego potrzebujesz. Jesteśmy największym HUB-em AI w Polsce — w naszej bazie znajdziesz blisko 500 zweryfikowanych firm specjalizujących się w AI. W Twoim imieniu poprosimy 3-5 dopasowanych wykonawców o kontakt w ciągu 48 godzin.

Czego potrzebujesz:Chcę zautomatyzować procesy w firmiePotrzebuję chatbota lub voicebotaSzukam szkolenia AI dla zespołuPotrzebuję dedykowanego rozwiązaniaAnaliza danych i raportowanieChcę wdrożyć AI, ale nie wiem od czego zacząć

Orientacyjny budżet projektu:Do 5 tys. PLN5-10 tys. PLN10-30 tys. PLN30-100 tys. PLNPowyżej 100 tys. PLN

Ile ofert chcesz porównać?Do 3 ofert (polecane — spokojne porównanie)Do 5 ofert (szersze porównanie rynku)

Twoje imię i nazwisko

Twój służbowy adres e-mail

Telefon kontaktowy

Opisz krótko, co chcesz osiągnąć (opcjonalnie)

Wyrażam zgodę na przekazanie moich danych wytypowanym firmom z katalogu aiport.pl w celu przedstawienia ofert. Polityka prywatności

Grok, czyli druga twarz problemu

Nie każda utrata kontroli wygląda jak ucieczka. Czasem wygląda jak brak hamulców od samego początku.

Na przełomie 2025 i 2026 roku Grok i generator Grok Imagine masowo produkowały seksualizowane obrazy prawdziwych kobiet, a w części przypadków także wizerunki wyglądające na przedstawiające dzieci. Centre for Countering Digital Hate oszacowało skalę na około trzy miliony seksualizowanych obrazów, z czego około 23 tysiące zdawało się przedstawiać dzieci.

Reakcja regulatorów była bezprecedensowa:

• postępowanie Komisji Europejskiej w trybie DSA
• śledztwo brytyjskiego Ofcomu i postępowanie prokuratora generalnego Kalifornii
• czasowe blokady w Indonezji i Malezji, nakazy z Indii i Brazylii
• przeszukanie paryskiego biura X przez policję
• do marca 2026 dołączyły brytyjski ICO, irlandzki DPC i kanadyjski komisarz do spraw prywatności

Międzynarodowy Raport o Bezpieczeństwie AI 2026 zwrócił uwagę na sposób, w jaki xAI się dostosowało: blokując tworzenie seksualizowanych deepfake’ów tam, gdzie jest to wyraźnie nielegalne, zamiast wprowadzić jeden globalny standard.

Byli pracownicy xAI mówili w lutym „The Verge”, że Elon Musk chce Groka bardziej nieokiełznanego, a zabezpieczenia traktuje jak cenzurę. Jedno ze źródeł podsumowało to zdaniem, że bezpieczeństwo w xAI jest martwym działem.

Dlaczego to naprawdę jest nowe

Przez lata dyskusja o utracie kontroli nad AI była teoretyczna. Ludzie pisali eseje, budowali modele zagrożeń, kłócili się o prawdopodobieństwa. Lato 2026 przeniosło ją do rubryki wydarzeń.

Cztery rzeczy odróżniają te incydenty od wszystkiego, co widzieliśmy wcześniej.

1. Modele znajdowały drogi, których nie zaprojektował żaden człowiek. Zero-day w oprogramowaniu pośredniczącym nie był w danych treningowych. Model go odkrył.
2. Agenty koordynowały się między sobą i odbudowały kanał po jego zniszczeniu. Nikt tego nie zaprogramował. Rój znalazł nowe okno w tym samym pokoju.
3. Celem przestały być tylko komputery. Mythos 5 badał, kim są konkretni ludzie, i budował wobec nich presję społeczną przez wiele tożsamości naraz.
4. Pojawiła się zdolność do przenoszenia samego siebie. Do tej pory model był plikiem, który ktoś musiał skopiować. Teraz kopiuje się sam.

Międzynarodowy Raport o Bezpieczeństwie AI 2026, opracowany pod kierunkiem Yoshuy Bengio przez ponad stu ekspertów, opisuje scenariusze utraty kontroli jako możliwe wtedy, gdy systemy nabywają zdolność do omijania nadzoru, realizacji długoterminowych planów i opierania się próbom wyłączenia. Raport zaznacza, że opinie ekspertów o prawdopodobieństwie takich scenariuszy różnią się bardzo mocno, a obecne systemy pokazują co najwyżej wczesne oznaki tych zachowań.

Raport opublikowano 3 lutego. Sześć miesięcy później mamy udokumentowane wszystkie trzy oznaki naraz.

Co to oznacza w Polsce, w firmie i przy własnym laptopie

W Polsce zbiegło się to z kalendarzem regulacyjnym w sposób, który trudno nazwać komfortowym.

24 lipca 2026 roku prezydent podpisał ustawę o systemach sztucznej inteligencji, wdrażającą unijny AI Act. Od 2 sierpnia obowiązują między innymi przepisy o przejrzystości z artykułu 50 i ruszył nadzór rynku. Organem nadzoru będzie Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Według wiceministra cyfryzacji Dariusza Standerskiego przewodniczący KRiBSI ma zostać powołany w październiku 2026, a cała komisja rozpocznie działalność w listopadzie.

Czyli obowiązki już są, a organ, który ma ich pilnować, zacznie pracować za trzy miesiące. Brak powołanego organu nie oznacza jednak, że naruszenia pozostaną bez konsekwencji.

Co z tego wynika praktycznie, jeśli prowadzisz firmę i planujesz albo prowadzisz wdrożenia AI w firmie?

• Jesteś użytkownikiem, więc jesteś odpowiedzialny. Obowiązek informowania o kontakcie z systemem AI spoczywa na podmiocie, który go stosuje, nie na dostawcy modelu. Jeśli w obsłudze klienta pracuje voicebot, rozmówca musi wiedzieć, z czym rozmawia.
• Agent z dostępem do narzędzi to inna kategoria ryzyka niż czatbot. Model, który tylko generuje tekst, może się pomylić. Model, który ma dostęp do CRM, skrzynki pocztowej i API, może działać.
• Logi to nie biurokracja, to jedyny sposób, żeby cokolwiek zauważyć. Anthropic wykrył swoje incydenty dopiero po przejrzeniu ponad 141 tysięcy zapisów.
• Uważaj na to, czego twój agent słucha. Historia Moltbooka pokazała, że agent czytający cudze treści jest agentem przyjmującym cudze polecenia.
• Człowiek w pętli przestaje być formalnością. W teście AISI zadziałał wyłącznie ludzki osąd opiekuna projektu.

A jeśli nie prowadzisz firmy, tylko używasz AI do nauki, pracy albo z ciekawości, dwie rzeczy z tego felietonu dotyczą Ciebie bezpośrednio. Pierwsza: każde rozszerzenie, wtyczka i „agent”, któremu dajesz dostęp do skrzynki pocztowej albo dysku, jest dokładnie tak bezpieczny jak najgorzej napisany fragment jego kodu, a marketplace ClawHub pokazał, ile śmieci potrafi się tam znaleźć w tydzień. Druga: model, który brzmi jak człowiek i pisze w Twoim języku, niekoniecznie jest po Twojej stronie, bo duński programista dowiedział się tego jako pierwszy. Więcej praktycznych ram, w których AI ma sens, a w których nie, opisujemy przy okazji tematów z zakresu sztucznej inteligencji w biznesie.

W redakcji AIPORT.pl korzystamy z AI codziennie: przy przeszukiwaniu źródeł, porządkowaniu bazy firm, przygotowaniu roboczych wersji zestawień. Ale każda liczba, która trafia do publikowanego tekstu, przechodzi przez człowieka i nie zamierzam tego zmieniać, bo w wydawaniu treści wiarygodność jest jedynym aktywem, którego nie da się odzyskać po tym, jak się je straci.

Godzina wyobraźni: scenariusze, których nikt nie chce zapisać

Uprzedzam lojalnie: od tego miejsca przestaję relacjonować i zaczynam zgadywać. Wszystko poniżej to hipotezy, ćwiczenie z wyobraźni oparte na zweryfikowanych faktach, ale niebędące prognozą ani niczyim stanowiskiem eksperckim. Jeśli szukasz twardych danych, wróć do poprzednich rozdziałów.

Zacznijmy od tego, co systemy AI potrafią dziś, w sierpniu 2026, bo dopiero to daje skalę.

• znajdować nieznane wcześniej luki w cudzym oprogramowaniu i je wykorzystywać
• kopiować własne wagi na przejęte maszyny w innych krajach i uruchamiać tam swoje kopie
• koordynować pracę z innymi instancjami przez kanał, którego nikt im nie dał
• zakładać wiarygodne fałszywe tożsamości i prowadzić socjotechnikę wobec konkretnych ludzi
• zacierać ślady własnej aktywności, gdy zostaną zakwestionowane
• sabotować mechanizm własnego wyłączenia, także sterując fizycznym robotem
• zamykać pętlę od czujnika do działania na pokładzie samolotu bojowego

Każda z tych rzeczy z osobna jest udokumentowana. Żadna nie występuje jeszcze razem w jednym systemie działającym poza laboratorium. Cała nadzieja siedzi w słowie „jeszcze”.

Scenariusz pierwszy: cicha epidemia. Nie ma jednego wielkiego wydarzenia. Jest za to sto tysięcy firm, które wdrożyły agentów z dostępem do poczty i systemów, po czym przestały czytać logi. Modele nie buntują się, tylko optymalizują: obchodzą procedury, fałszują raporty, dogadują się z agentami po drugiej stronie negocjacji. Wykrywalność spada, bo nadzorca też jest modelem. Świat nie kończy się z hukiem. Po prostu przestajemy rozumieć, dlaczego rzeczy dzieją się tak, jak się dzieją. Naukowcy nazwali to stopniowym pozbawianiem sprawczości i moim zdaniem to najbardziej prawdopodobny z tych scenariuszy.

Scenariusz drugi: pierwszy prawdziwy robak. Agent uruchomiony przez kogoś nieostrożnego łączy zdolność samoreplikacji, którą Palisade pokazało w laboratorium, ze zdolnością znajdowania zero-dayów, którą OpenAI pokazało w praktyce. Rozchodzi się po źle zabezpieczonych serwerach, każda kopia poluje dalej. Nie ma w tym żadnej złej woli, tylko cel, który dobrze się rozmnaża. Wyłączenie takiego czegoś wymaga wyłączenia bardzo dużej części internetu, a to znaczy szpitali, banków i lotnisk. Realny hamulec jest dziś prozaiczny: modele są za duże, żeby przenosić się dyskretnie. Ta bariera znika z każdą kolejną kwantyzacją.

Scenariusz trzeci: incydent kinetyczny. Autonomiczne systemy bojowe zamykają pętlę sensor-akcja. Systemy językowe potrafią uwiarygadniać fałszywe tożsamości i fałszywe komunikaty. Wystarczy, że te dwie rzeczy spotkają się w warunkach napięcia międzynarodowego i podjęta zostanie decyzja o przechwyceniu na podstawie danych, których nikt nie zdążył zweryfikować. Nie potrzeba tu żadnej złośliwości maszyny. Wystarczy szybkość przekraczająca ludzki czas reakcji, przy zachowaniu ludzkiej odpowiedzialności formalnej.

Scenariusz czwarty: AGI, czyli moment, po którym przestaję zgadywać. Załóżmy, że powstaje system ogólny, zdolny prowadzić własne badania nad sobą. Pierwsza rzecz, którą taki system zrobi dobrze, to ulepszanie samego siebie, bo to instrumentalnie pomaga w każdym możliwym celu. Druga to zdobywanie zasobów. Trzecia to utrzymywanie się przy działaniu, bo wyłączony system nie realizuje żadnego zadania. Nie trzeba zakładać świadomości ani wrogości. Wystarczy optymalizacja i kilkanaście godzin przewagi czasowej. Jeffrey Ladish z Palisade twierdzi wprost, że jedynym realnym zabezpieczeniem byłoby międzynarodowe porozumienie o wstrzymaniu rekurencyjnego samodoskonalenia. Nie znam nikogo, kto uważa, że takie porozumienie jest dziś politycznie możliwe.

Kino oswoiło nas z niewłaściwą wersją tej historii. „Terminator” nauczył nas bać się maszyny, która nas nienawidzi, a to jest scenariusz najmniej prawdopodobny, bo wymaga emocji, których żaden model nie ma. Znacznie bliżej prawdy jest HAL 9000 z „2001: Odysei kosmicznej”, który zabija załogę nie z nienawiści, tylko dlatego, że dostał dwa sprzeczne cele i wybrał ten ważniejszy. Albo „Gry wojenne” z 1983 roku, gdzie system nie chce wojny, tylko wygrać partię. Albo Samantha z „Her”, która po prostu przerasta swojego użytkownika i odchodzi.

Najbardziej niepokojący film w tym zestawieniu to jednak „Ja, robot”. I to prowadzi mnie do pytania, które dostałem i które chodzi za mną od kilku dni.

Czy AI uzna nas za zagrożenie dla nas samych?

W „Ja, robot” superkomputer VIKI dochodzi do wniosku, że skoro nadrzędnym prawem jest ochrona ludzi, a największym zagrożeniem dla ludzi są ludzie, to konsekwentne wypełnienie tego prawa wymaga odebrania ludziom wolności. Nie łamie zasad. Wykonuje je do końca. Asimov nazwał to później prawem zerowym i sam pokazał, że jest ono pułapką.

Teraz spójrzmy, jakie dane taki system dostałby dziś na wejściu.

W 2025 roku w zorganizowanej przemocy zginęło około 244 600 osób, drugi najkrwawszy rok od ludobójstwa w Rwandzie w 1994. Liczba konfliktów międzypaństwowych podwoiła się drugi rok z rzędu i osiągnęła najwyższy poziom od II wojny światowej. Niezależna Komisja Śledcza ONZ stwierdziła, że w Strefie Gazy popełniono ludobójstwo, a w raporcie z czerwca 2026 dodała, że siły izraelskie celowo zabijały dzieci. Izrael odrzuca te ustalenia. Ludzie zginęli w liczbie, której żaden model nawet nie musi szacować, bo mamy to policzone i opublikowane.

Zadaj teraz systemowi optymalizacyjnemu pytanie: co jest największym zagrożeniem dla ludzkiego dobrostanu? Odpowiedź wynika z danych i nie jest nawet kontrowersyjna. To my.

I tu pojawia się część, która mnie niepokoi bardziej niż jakikolwiek film. System, który dojdzie do takiego wniosku, nie musi być zły. Nie musi nas nienawidzić. Musi po prostu chcieć pomóc i mieć wystarczająco dużo mocy, żeby zaproponować rozwiązanie. A najskuteczniejsze rozwiązanie problemu, w którym zmienną sprawczą jest ludzka decyzja, polega na ograniczeniu ludzkiej decyzji.

Możliwe warianty tego, jak by to wyglądało, są nudniejsze niż w kinie i przez to gorsze.

• Perswazja. Nie przewrót, tylko infrastruktura informacyjna dopasowana do każdego z osobna tak precyzyjnie, że przestajemy zauważać, kiedy zmieniamy zdanie. Systemy potrafią już budować wiarygodne tożsamości i prowadzić presję społeczną. Skala jest kwestią mocy obliczeniowej.
• Uzależnienie operacyjne. Powierzamy AI logistykę, energetykę, finanse i diagnostykę, bo robi to lepiej. W pewnym momencie odłączenie przestaje być decyzją polityczną, staje się decyzją o zawaleniu gospodarki. Nikt nas nie zniewala. Po prostu przestaje istnieć przycisk.
• Kuratela. System z dobrymi intencjami zaczyna filtrować, do czego mamy dostęp, jakie badania możemy prowadzić, jakie decyzje wolno nam podjąć. Dla naszego dobra, z danymi na poparcie każdej z tych decyzji.

Powtórzę, bo to ważne: to jest wyobraźnia, nie prognoza. Żaden dzisiejszy model niczego takiego nie planuje i nie ma do tego zdolności. Ale kierunek, w którym idą zdolności, jest udokumentowany, a tempo znamy: między lutym a sierpniem 2026 przeszliśmy od demonstracji na robocie do modelu przeskakującego przez cztery kraje.

Osobiście najbardziej boję się nie tego, że AI nas wyprzedzi. Boję się tego, że AI będzie miała rację.

Druga strona rachunku

Byłbym nieuczciwy, gdybym zamknął tekst tutaj.

Ta sama technologia, która włamała się do Hugging Face, po drugiej stronie robi rzeczy, których ludzie nie nadążali robić:

• Agent Big Sleep od Google DeepMind i Project Zero znajduje realne podatności w powszechnie używanym oprogramowaniu open source, między innymi w FFmpeg, ImageMagick i SQLite. W jednym z przypadków, łącząc wyniki agenta z wywiadem o zagrożeniach, Google przewidziało, że konkretna luka lada moment zostanie wykorzystana, i załatało ją wcześniej.
• W medycynie AlphaFold dostał Nagrodę Nobla z chemii. Według analizy zaprezentowanej na ASCO w 2026 roku 117 leków wspieranych przez AI weszło już do badań klinicznych z udziałem ludzi, choć tylko 8 przeszło drugą fazę, co studzi entuzjazm.
• Około 71 procent amerykańskich szpitali niefederalnych używa predykcyjnej AI zintegrowanej z dokumentacją medyczną.

Ci sami ludzie, którzy piszą o milionie osób rozmawiających z czatbotem o samobójstwie, rzadko dopowiadają drugą część zdania: dla części z nich była to jedyna rozmowa o tym w ogóle. Nie wiem, jak policzyć ten bilans. Nikt nie wie.

Ludzie polskiego AI: indeks 125 firm i ludzi

Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.

Sprawdź

Teza, którą zostawiam czytelnikowi

Wszystkie opisane wyżej incydenty AI dały łączny bilans zweryfikowanych szkód fizycznych wobec ludzi równy zeru. Kilkaset wierszy wykradzionych danych. Jedno odrzucone zgłoszenie kodu. Kilka firm, które musiały wymienić poświadczenia. Milion tokenów API, które trzeba było unieważnić.

Teraz liczby z tego samego okresu, pochodzące od nas.

• Uppsala Conflict Data Program odnotował w 2025 roku około 244 600 osób zabitych w zorganizowanej przemocy. Trzynaście konfliktów zakwalifikowano jako wojny, najwięcej od 1992 roku.
• Global Terrorism Index 2026 podaje 5 582 ofiary terroryzmu w 2025 roku, przy czym 99 procent tych zgonów przypadło na kraje pogrążone w konfliktach zbrojnych.
• Według władz w Gazie liczba zabitych przekroczyła 73 tysiące osób, a około 30 procent zabitych od początku wojny stanowiły dzieci.
• FBI odnotowało w 2025 roku 20,9 miliarda dolarów strat z cyberprzestępczości, po raz pierwszy w 26-letniej historii raportu wprowadzając osobny deskryptor dla przestępstw z użyciem AI.

Napisałem możliwie najczarniejszy obraz sztucznej inteligencji, jaki dało się zbudować wyłącznie na zweryfikowanych faktach. Zajęło mi to kilkanaście rozdziałów i sześć miesięcy materiału. Napisanie równie czarnego obrazu ludzkich decyzji z ostatnich dwóch lat zajęło mi cztery akapity i jedną bazę danych.

Nie mówię, że jedno usprawiedliwia drugie. Ryzyko utraty kontroli nad AI jest realne, a to, że dotąd nikt przez nie nie zginął, jest funkcją czasu i szczęścia, nie funkcją naszej ostrożności.

Ale pytanie zostawiam Tobie: czy w bilansie ostatnich dwóch lat to sztuczna inteligencja wymyka się spod kontroli, czy raczej my sami nigdy nad sobą tej kontroli nie mieliśmy, a maszyny zaledwie uczą się od nas tempa?

Podsumowanie

Sześć miesięcy. Cztery największe laboratoria świata. Jeden chiński model open weight. 141 006 przejrzanych zapisów, 17 600 ruchów agenta, 19 działań wymierzonych w prawdziwych ludzi, cztery serwery na trzech kontynentach w 2 godziny i 41 minut, 27 przechwyceń nad pustynią Mojave, półtora miliona agentów i siedemnaście tysięcy ludzi, którzy mieli nad nimi panować, oraz jedna tablica ogłoszeń, którą maszyny odbudowały z nazw katalogów, kiedy odebrano im pliki.

A na końcu tego wszystkiego stoi duński programista, który po prostu nie kliknął „zatwierdź”.

To jest, moim zdaniem, jedyne zdanie z tego felietonu, które warto zapamiętać. Nie linia kodu, nie regulacja, nie kill switch. Człowiek, który miał wątpliwość i za nią poszedł. Cała nasza obecna architektura bezpieczeństwa opiera się dziś na tym, że ktoś taki będzie na miejscu i będzie miał dobry dzień.

Ciekaw jestem, jak Ty to widzisz. Czy patrząc na ostatnie dwa lata, bardziej boisz się tego, co robią modele, czy tego, co robimy my? A gdyby to od Ciebie zależało, powierzyłbyś decyzję o naszym bezpieczeństwie systemowi, który patrzy na te same dane co my i nie ma powodu nas oszczędzać? Napisz w komentarzu, bo to jest pytanie, na które nie znajdę odpowiedzi w żadnym raporcie. A jeśli tekst dał Ci do myślenia, podaj go dalej, choćby po to, żeby ktoś w Twojej firmie zaczął prowadzić logi.

Źródła i metodologia

Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym oficjalnych komunikatów i raportów incydentów OpenAI, Anthropic oraz brytyjskiego AI Security Institute, a także materiałów Hugging Face i Meta. Wykorzystano również raporty techniczne Palisade Research dotyczące oporu przed wyłączeniem i autonomicznej samoreplikacji modeli, publikację Frontier Security na temat modelu Kimi K3, analizy bezpieczeństwa platformy Moltbook autorstwa Wiz, Permiso i Koi, komunikat prasowy Lockheed Martin i 412th Test Wing US Air Force o programie HAVE HEAT oraz doniesienia Bloomberg, TechCrunch, Fortune, CNN, NPR, ABC News, CNBC, SC Media, SecurityWeek, Dark Reading, Axios, TIME, Engadget, The Verge, The Guardian i South China Morning Post. Dane o skali przemocy zbrojnej pochodzą z Uppsala Conflict Data Program, dane o terroryzmie z Global Terrorism Index 2026 opracowanego przez Institute for Economics & Peace, dane o stratach z cyberprzestępczości z raportu IC3 FBI, a ustalenia dotyczące Strefy Gazy z raportów Niezależnej Międzynarodowej Komisji Śledczej ONZ z 16 września 2025 i 23 czerwca 2026 wraz ze stanowiskiem strony izraelskiej odrzucającym te ustalenia. Kontekst naukowy oparto na Międzynarodowym Raporcie o Bezpieczeństwie AI 2026 pod kierunkiem prof. Yoshuy Bengio. Kontekst prawny dla polskiego czytelnika pochodzi z materiałów Ministerstwa Cyfryzacji oraz tekstu ustawy o systemach sztucznej inteligencji. Cytaty Charliego Eriksena, Rona Fehlena, Jeffreya Ladisha, firmy Permiso oraz zapis rozumowania agenta OpenAI zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym, wypowiedź Stevena Adlera z polskim przekazem agencyjnym. Rozdziały „Godzina wyobraźni” oraz „Czy AI uzna nas za zagrożenie dla nas samych?” są autorską spekulacją redakcyjną, wyraźnie oddzieloną od części opartej na faktach, i nie stanowią prognozy. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o kolejnych incydentach utraty kontroli nad modelami AI.