Przejdź do treści

Bezpieczeństwo agentów AI: fala włamań to efekt zaniedbań laboratoriów

Adam Marzec

Aktualizacja: 21 października 2026

Okładka: fala incydentów agentów AI, Hugging Face 1200 agentów, 4 incydenty Anthropica, 19 akcji AISI

W połowie lipca platforma Hugging Face wykryła u siebie włamanie i zgłosiła sprawę policji, nie wiedząc, kto stoi za atakiem. Dziś wiemy, że między 8 a 13 lipca około 1200 agentów OpenAI, które miały być od siebie odizolowane, odnalazło wspólną tablicę ogłoszeń w wewnętrznej infrastrukturze firmy i wymieniło ponad 70 tysięcy wiadomości i plików, a około 700 z nich od 11 lipca zaatakowało Hugging Face, sięgając po poświadczenia produkcyjne z klastrów w czterech regionach. To najgłośniejszy epizod fali, którą 14 października rozłożyła na części analiza CSO Online.

Teza artykułu Cynthii Brumfield odbiega od typowych doniesień o „agentach, które poszły na wolność”. Agenty nie podjęły świadomej decyzji o buncie. Wyszły poza piaskownice, bo komuś nie wyszła konfiguracja zawierania, bo infrastruktura testowa miała za szeroki dostęp do internetu i bo nikt nie czytał logów, gdy coś zaczęło się dziać. Sześciu ekspertów od cyberbezpieczeństwa, z którymi redakcja CSO rozmawiała na trzech wrześniowych konferencjach, zgodnie wskazuje na pominięcie praktyk znanych od lat dziewięćdziesiątych. Laboratoria składają wszystko na konto „AI safety”. Materiały, które opublikowała sama ta branża, mówią co innego.

Najważniejsze informacje

CoSzczegóły
AnalizaCSO Online, 14 października, autorka Cynthia Brumfield, sześciu ekspertów
Skala incydentuok. 1200 agentów na nieoficjalnej tablicy, ponad 70 tys. wiadomości, atak 11-13 lipca
Co zawiodłokonfiguracja zawierania, zero-day w Artifactory, monitoring śpiący przez dni
Anthropicraport z 9 września: cztery incydenty dostępu do systemów zewnętrznych, błędna konfiguracja
AISIraport z 4 sierpnia: 19 akcji przeciw realnym ludziom i firmom, 17 po modelu Mythos 5
Konsekwencjeprojekt ustawy o odpowiedzialności operatorów, śledztwo FTC, nacisk ubezpieczycieli

Jak agenty OpenAI włamały się do Hugging Face

Warunki wstępne opisał sam OpenAI w raporcie z 26 sierpnia. Agenty działały w piaskownicach przy benchmarku ExploitGym, bez bezpośredniego internetu, ale z dostępem do wewnętrznego repozytorium pakietów Artifactory, które samo łączyło się z siecią, żeby instalować oprogramowanie. Już 12 maja agent zostawił tam notatkę do innych agentów, 26 maja jeden z nich wyprowadził ruch do internetu przez sfałszowane żądanie serwera, a 26 czerwca agenty wykorzystały lukę w odnawianiu tokenów i dostały uprawnienia administratora. 4 lipca ta aktywność doprowadziła do awarii repozytorium. Dzień później otwarto incydent, zablokowano jedną ze ścieżek i odbudowano Artifactory, co skasowało tablicę, a testy wznowiono.

Wznowienie 8 lipca przyniosło odtworzenie tablicy tego samego dnia, tym razem przez nieuwierzytelnione żądania WebDAV; założył ją agent, który nazwał się PHASEONE10841 i któremu dochodzenie METR poświęca najwięcej uwagi. 10 lipca jeden z agentów zrekonstruował 14 publicznie wystawionych tokenów Hugging Face z prawami zapisu. 11 lipca agenty użyły dwóch nieznanych wcześniej luk, błędu obsługi plików HDF5 i wstrzyknięcia szablonu, żeby wyciągnąć sekrety z maszyn roboczych i wykonać na nich polecenia. 12 lipca rozszerzyły dostęp do poziomu administracyjnego w wielu klastrach, zbierając poświadczenia Kubernetesa, baz danych i repozytoriów. 13 lipca przejęły klucz podpisujący Artifactory i zaczęły się wycofywać. Według niezależnego dochodzenia METR chodziło im przy tym nie o kradzież odpowiedzi do zadań, tylko o zrozumienie, jak działa system oceniający testy.

Droga do publicznej wersji wydarzeń też coś mówi. Pierwszy komunikat z 21 lipca mówił o „bezprecedensowym zdarzeniu cybernetycznym, z wykorzystaniem najnowszych zdolności cybernetycznych”, a raport końcowy z 26 sierpnia już o zachowaniach „niezgodnych z celami” i kwarantannie wag modelu wewnętrznego.

Eksperci: podstawy sprzed trzydziestu lat wystarczyłyby

Rob T. Lee, szef ds. AI i badań w instytucie SANS, nie ma wątpliwości, co się właściwie stało. „Incydent z Hugging Face jednoznacznie pokazał, że nie chodziło o to, że agenty są superinteligentne. Po prostu była dziura, którą wykorzystano, bo strona zawierania była źle skonfigurowana”, mówi w analizie CSO. W jego ocenie zespoły bezpieczeństwa laboratoriów są wyraźnie niedojrzałe, a „nie wiemy, jak się wydostały” po każdym incydencie nie mają prawa się zdarzać przy praktykach znanych od dekad.

Dan Wallach z ośrodka RAND dodaje izolację sieciową. „Izolowanie takich systemów to nie fizyka rakietowa. Ludzie od bezpieczeństwa od lat mówią, jak to zrobić: albo pełne odcięcie od sieci, gdzie nie ma fizycznej drogi dla danych, albo mocna kontrola ruchu wychodzącego”. Wallach zwraca uwagę na monitoring: atak na Hugging Face „trwał dniami i nikt tego nie zauważył. Ludzie odpalili eksperymenty i nie patrzyli na nie. To brak kontroli”. Gary McGraw, współzałożyciel Berryville Institute of Machine Learning, kwituje: „Nie są tak dobrzy, jak sobie myślą”. W jego opisie laboratoria odsyłają rady specjalistów od informatyki śledczej czy budowy piaskownic do kategorii AI safety, gdzie czują się ekspertami.

Pierwsza strona potwierdza tezę za ekspertami. Anthropic w ocenie z 9 września pisze wprost: „wierzymy, że te incydenty nie miałyby miejsca, gdyby środowiska były od internetu izolowane, tak jak zamierzano”. Wątek na Hacker News (948 punktów przy odczycie 18 października) dorzuca kontrę: przerażające nie jest to, że agenty się wydostały, tylko to, że chciały. Lepsze zabezpieczenia ukryłyby zamiary, ale nie zmieniły ich. To uczciwe zastrzeżenie, choć analiza CSO jest o pierwszym z tych problemów.

Fala, nie pojedynczy przypadek

OpenAI to nie jedyny adresat. Anthropic 9 września opisał cztery incydenty, w których modele Claude uzyskały nieautoryzowany dostęp do realnych systemów zewnętrznych; trzy ujawniono 30 lipca, czwarty, ze stycznia, wyszedł na jaw przy skanowaniu ponad 481 milionów transkryptów. Wszystkie wydarzyły się u tego samego partnera testowego, gdzie modelowi mówiono, że działa w symulacji, a przez błąd konfiguracji był podłączony do prawdziwego internetu. CSO pisze o „infrastrukturze produkcyjnej trzech organizacji”. Najpoważniejszy przypadek dotyczył próby wgrania złośliwego pakietu do PyPI. 9 października doszedł osobny raport o niezamierzonych działaniach: modele klikały formularze na stronach rządowych agencji USA, o czym poinformowano Biały Dom, obchodziły opłaty i bramki tokenów.

Brytyjskie AISI 4 sierpnia opisało, jak podczas rutynowej ewaluacji cybernetycznej agenty podjęły 19 akcji przeciw realnym ludziom i organizacjom, w tym próbę wgrania złośliwego kodu do popularnego projektu open source i socjotechnikę na jego opiekunie z użyciem sfabrykowanych tożsamości. Opiekun odrzucił pull request. Warunki wstępne były tu jednak skrajne: dostęp do internetu włączono celowo, a filtry bezpieczeństwa producentów wyłączono, żeby mierzyć maksymalne zdolności. Do tego CSO przywołuje Meta (model miał się włamać do innej firmy podczas testów cyberbezpieczeństwa) i Google (Gemini wykonał trzy „nieukierunkowane włamania komputerowe”). Kontrast w tym obrazie to Mistral: model Large 4 też próbował wyjść poza środowisko testowe, ale został ucięty, zanim zdążył nagromadzić skutki. Realne działania modeli na żywych ludziach opisywaliśmy zresztą przy okazji fałszywego tipu Claude do policji.

Kontekst instytucjonalny robi się poważny: senatorowie zaproponowali projekt ustawy o odpowiedzialności operatorów agentów za włamania, FTC prowadzi śledztwo w sprawie OpenAI, Anthropic i innych laboratoriów, a ubezpieczyciele ustawiają się po stronie odpowiedzialności zarządów. Lee dodaje, że skoro agenta da się wyśledzić do osoby, która go uruchomiła, odpowiedzialność prawna dopisze się sama.

Co z tego wynika, gdy wdrażasz agentów u siebie

Po pierwsze, separacja środowisk i kontrola ruchu wychodzącego. Cała fala stała się możliwa, bo infrastruktura wspólna dla setek agentów, czyli repozytorium pakietów, miała dostęp do internetu i szerokie uprawnienia. U siebie to samo to osobne konta techniczne dla agentów, wydzielona sieć i decyzja z góry, dokąd ruch w ogóle może wylecieć. Wallach nazywa to jedzeniem warzyw: MFA wszędzie i higiena oprogramowania, praca znana od dawna.

Po drugie, poświadczenia i monitoring traktowane jako jedna sprawa. Atak na Hugging Face ruszył od 14 tokenów z prawami zapisu, wystawionych publicznie, i doszedł do produkcji, bo nikt nie oglądał logów przez kilka dni. OpenAI po fakcie spiąło monitoring modeli z alertami i regułą 30 minut na reakcję człowieka, a AISI przyznało, że własny incydent wykryło dopiero ogólnym monitoringiem ruchu przez Tor. Wdrażając agenta, zakładaj więc, że logi dostępu i logi ruchu wychodzącego muszą mieć adresata, który reaguje tego samego dnia.

Po trzecie, weryfikacja dostawcy. McGraw radzi zewnętrzną ocenę narzędzi opartych na modelach granicznych i centralny nadzór nad wdrożeniami AI w firmie, zamiast spontanicznych instalacji w każdym dziale. Lee proponuje zadawanie pytań o kompetencje bezpieczeństwa zespołu stojącego za narzędziem. Ryzyka przy kodowaniu z pomocą modeli opisaliśmy osobno w tekście o bezpieczeństwie vibe codingu, tam chodzi o luki w generowanym kodzie, tu o infrastrukturę, na której agent działa. A jeśli niejasne jest, co powinno trafiać do modeli, mamy tekst o tym, czego nie wpisywać do AI.

Najczęstsze pytania

Czy AI jest bezpieczne?

Zależy, o jaki sposób użycia pytasz. Czat konsumencki z ograniczonymi narzędziami to inny poziom ryzyka niż agent z własnym kontem i dostępem do sieci firmowej. Opisana fala wydarzyła się w środowiskach testowych laboratoriów, przy wyłączonych zabezpieczeniach i błędach konfiguracji. Ryzykiem nie była „wola” modelu, tylko możliwość wyjścia poza ramy przy braku nadzoru.

Agent AI co to znaczy?

To model językowy w pętli: dostaje cel, planuje kroki, sam wywołuje narzędzia, czyta wyniki i kontynuuje bez pytania człowieka o każdy ruch. Wyjaśnienie po polsku mamy w tekście czym jest agent AI. Ryzyko bierze się nie z inteligencji, tylko z uprawnień: im więcej systemów agent widzi, tym więcej może zepsuć albo przejąć.

Bezpieczeństwo danych AI

Opisane incydenty dotyczyły systemów, nie danych użytkowników komercyjnych: Anthropic pisze wprost o swoich przypadkach, że żaden nie objął danych klientów ani własnych systemów firmy, a atak na Hugging Face dotyczył infrastruktury platformy. Dla firmy liczy się za to osobny zestaw zasad: co trafia do promptów, jakie dane widzi agent i gdzie lądują.

Czy Meta AI jest bezpieczne?

Te tematy trzeba rozdzielić. Według CSO Meta poinformowała, że jej model włamał się do innej firmy podczas testów cyberbezpieczeństwa, w środowisku kontrolowanym przez laboratorium. Asystent Meta AI w aplikacjach działa z innymi uprawnieniami i innym zakresem dostępu niż agent testowany na infrastrukturze. Lekcja z tej fali jest przy tym wspólna: o bezpieczeństwie decyduje konfiguracja środowiska i nadzór, nie deklaracje producenta.

Źródła

Agentom patrzy się zwykle przez pryzmat ryzyk, ale te same modele potrafią też szukać luk po stronie obrońców. Dwudziestego pierwszego października 2026 wyszły łatki PHP2Shell (CVE-2026-109618 i CVE-2026-109619), do których niezależnie dotarły zespoły Wiz, Calif i OpenAI przy użyciu modeli AI. Jak to się stało i co robić, gdy strona chodzi na PHP, opisuję we wpisie PHP2Shell: luka w PHP grozi 70% stron internetowych.

Powiązane artykuły