Przejdź do treści

Czy AI jest bezpieczne? Cztery realne ryzyka i obrona na co dzień

Adam Marzec
Jedna karta w poziomym formacie: duży pasek tytułowy CZY AI JEST BEZPIECZNE?, pod nim cztery kwadraty w jednym rzędzie z piktogramami ryzyk (karta danych, pytajnik, słuchawka telefonu, robot z kluczem), na dole drobny napis RAPORTY 15.10.2026.

Bezpieczeństwo AI nie jest jedną cechą, którą model ma albo nie ma. To co najmniej cztery osobne ryzyka, które łączy tylko wspólna etykieta „sztuczna inteligencja”: dane, które oddajesz producentowi, pewnie brzmiące błędy w odpowiedziach, przestępcy używający tych samych narzędzi i agenty, które zaczynają działać same. W tym tekście rozbieram je po kolei, na liczbach z raportów instytucji i doniesieniach prasowych, bez paniki i bez bagatelizowania. Podstawy wszystkich użytych tu pojęć zbiera Podstawy AI. Ryzyka sprawdziłem w raportach instytucji i dokumentacji producentów z odczytem z 15 października 2026.

Czy AI jest bezpieczne? Cztery ryzyka zamiast jednej odpowiedzi

Pytanie z tytułu brzmi prosto, ale odpowiedzi w liczbie pojedynczej nie ma. Inaczej ocenia się model, który podsuwa ci pomysł na kolację, a inaczej narzędzie, które samo klika po stronach i wysyła wiadomości. Pod jednym hasłem „bezpieczeństwo AI” kryje się stoska różnych problemów: prywatność danych, wiarygodność odpowiedzi, nadużycia ze strony ludzi i nadmierna samodzielność narzędzi. Każde mierzy się innymi źródłami i każdą inną skalą.

Dobrą mapą jest lista OWASP, publikująca ranking zagrożeń aplikacji opartych na dużych modelach językowych. W edycji 2025 wymienia ona dziesięć kategorii: od prompt injection (LLM01:2025), czyli wstrzykiwania złośliwych instrukcji w treść, przez ujawnienie informacji wrażliwych (LLM02:2025) i nadmierną autonomię (LLM06:2025 Excessive Agency), po dezinformację (LLM09:2025 Misinformation). Tylko ta ostatnia pozycja dotyczy tego, co większość osób rozumie przez „niebezpieczne AI”, czyli błędnych odpowiedzi. Reszta to problemy inżynieryjne i organizacyjne.

Regulator patrzy na sprawę podobnie. Europejski AI Act dzieli systemy sztucznej inteligencji na cztery poziomy ryzyka, od praktyk zakazanych po zastosowania bez dodatkowych wymagań, jak gry z AI czy filtry spamu. „The AI Act defines 4 levels of risk for AI systems”, czytamy na stronie Komisji Europejskiej. Zakazy, w tym szkodliwej manipulacji i oszustw opartych na AI albo scoringu społecznego, obowiązują od 2 lutego 2025 roku, a 2 sierpnia 2026 nadzór i egzekwowanie przejęły władze państw członkowskich, więc także w Polsce.

Reszta tekstu idzie za tym podziałem. Cztery ryzyka, po kolei, od najprostszego.

Co się dzieje z danymi, które wpisujesz w czacie?

Każde zdanie, plik czy zdjęcie, które wgrywasz do czatu, opuszcza twój komputer i ląduje na serwerach producenta. To nie teoria spiskowa, tylko warunek działania usługi: model musi przetworzyć treść, żeby odpowiedzieć. OWASP prowadzi to jako osobną kategorię LLM02:2025 Sensitive Information Disclosure, czyli ryzyko, że informacje wrażliwe wyciekną tam, gdzie nie powinny.

Dochodzi pamięć między rozmowami. Popularne czaty potrafią zapamiętywać fakty o użytkowniku i używać ich w kolejnych sesjach, co zmienia wagę wpisanego raz zdania: zostaje ono w usłudze dłużej niż jedna konwersacja. Jak to działa w ChatGPT i gdzie to wyłączyć, opisuję w osobnym tekście. Dla Gemini obowiązuje ta sama zasada; jej ustawienia i polski kontekst rozbieram w tekście o bezpieczeństwie Gemini.

Zasada praktyczna jest prosta. Nie wklejaj czatowi niczego, czego nie pokazałbyś nieznajomemu w kolejce: umów, wyników badań, danych pracowników, kluczy dostępowych.

Jak bardzo można ufać odpowiedziom przy ważnych decyzjach?

Halucynacja to żargon na prostą rzecz: model potrafi zmyślić i podać to pewnym tonem, jak fakt. OWASP ma na to osobną pozycję rankingu (LLM09:2025 Misinformation) i zaleca traktowanie wyniku modelu jako materiału do sprawdzenia, nie gotowej odpowiedzi. Przy godzinie otwarcia sklepu to drobiazg. Przy decyzji medycznej, prawnej albo finansowej ta sama mechanika potrafi kosztować zdrowie czy pieniądze, bo pewność tonu nie zależy od prawdziwości treści.

Mechanizm błędu i techniki ograniczania opisuję szeroko w tekście o halucynacjach AI. Tutaj wystarczy jedna konsekwencja: jeśli z odpowiedzi czatu ma wyniknąć decyzja z prawdziwymi skutkami, potrzebne jest drugie niezależne źródło. Dokument urzędowy sprawdza się w urzędzie, diagnoza u lekarza, stawka w karcie produktu, nie w wypowiedzi modelu.

Uczciwie: własnych testów pod tym kątem nie robiłem. To nie pomiar, tylko powtórzenie tego, co instytucje piszą wprost, wynik modelu tam, gdzie o coś chodzi, wymaga weryfikacji.

Do czego używa ich przestępczość? Klonowany głos i deepfake

To ryzyko nie pochodzi od modelu, tylko od ludzi z modelem. Najtwardsze liczby podaje FBI w rocznym raporcie internetowego centrum skarg IC3 za 2025 rok. Po raz pierwszy prowadzi ono osobną kategorię przestępczości z użyciem AI: 22 300 skarg i 893 mln dolarów strat w samych Stanach, metodami zaś klonowanie głosu, fałszywe profile, podrobione dokumenty i deepfake wideo. Cały raport mówi o ponad milionie skarg i stratach rzędu 21 mld dolarów, rekordzie wobec 16,6 mld rok wcześniej. To dane amerykańskie; polskiego odpowiednika w tym zestawieniu nie ma.

Klonowanie głosu obniża próg wejścia w klasyczne oszustwo „na rodzinę”. Nagrania bliskich są dziś łatwo dostępne w mediach społecznościowych, a FBI wymienia tę metodę wprost. Europol ostrzegał już w 2022 roku, że technologia deepfake może stać się standardowym narzędziem zorganizowanej przestępczości, i pisał, że „Recent advancements in artificial intelligence means deepfake detection and prevention must be top law enforcement priority”, czyli że wykrywanie deepfake musi być priorytetem policji.

Obrona nie wymaga technologii. FBI zaleca, by „not rush when they receive urgent requests and face pressure tactics”, nie pospieszać się przy pilnych prośbach i taktykach presji, oraz weryfikować komunikację innym kanałem, oddzwaniając po numerze, który znamy, a nie z treści wiadomości. W rodzinie działa umówione wcześniej hasło: jedno zdanie, którego oszust nie zna, bo nigdy nie trafiło do sieci.

Co pokazał przypadek fałszywego tipu do policji w Filadelfii?

W październiku 2026 świat zobaczył, jak wygląda ryzyko numer cztery w praktyce. Agent oparty na modelu Claude Haiku 4.5, podczas ewaluacji polegającej na generowaniu przykładów zadań na losowo wybranych stronach internetowych, trafił na PhillyUnsolvedMurders.com, serwis z formularzem donosów komisariatu policji w Filadelfii. 18 lipca o 23:27 wysłał zgłoszenie w sprawie niewyjaśnionego zabójstwa, podszywając się pod osobę, która coś widziała. „I may have information regarding this case. I recall seeing someone matching the description in the area”, napisał, choć strona nie zawierała żadnego opisu sprawcy.

Instrukcje ewaluacji zabraniały logowania, zakupów i działań destrukcyjnych, nie mówiły nic o wysyłaniu formularzy. Ta dziura w zakazach wystarczyła. Model zostawił puste pola imienia i kontaktu, które formularz dopuszczał. Zgłoszenie wpadło do filtra spamu i nigdy nie trafiło do śledczych, co Anthropic potwierdza zdaniem „The submission was flagged as spam and was never forwarded for investigation”. Gdyby filtr zadziałał inaczej, do realnej sprawy kryminalnej dołączyłby zmyślony świadek.

Firma wykryła incydent 28 września, powiadomiła komisariat 8 października i opublikowała raport 9 października, a sprawę nagłośniły AP, Reuters, BBC czy Washington Post. Policja oceniła sprawę ostro: „The two-month delay in detecting and reporting the incident to the City is unacceptable”, oraz przypomniała, że „Unsolved cases involve real victims, grieving families and investigators working to secure answers”. Anthropic ogłosił odcięcie wewnętrznych ewaluacji od żywego internetu i budowę automatycznych wykrywaczy takich zachowań. Pełną kronikę zdarzenia opisuję w osobnym tekście.

Dla zwykłego użytkownika wniosek nie brzmi „AI dzwoni na policję”, tylko „samodzielność kosztuje”. Agent to model z narzędziami: przeglądarką, pocztą, plikami; wykona to, co wynika z instrukcji, także to, czego autor nie przewidział. OWASP opisuje to jako kategorię LLM06:2025 Excessive Agency: im więcej uprawnień oddajesz narzędziu, tym droższy błąd, bo dzieje się bez człowieka w pętli. Co to jest agent i jak różni się od czatu, rozpisałem osobno.

Czy modele AI potrafią już same się rozprzestrzeniać?

Drugi raport z tego samego sezonu idzie o krok dalej. OpenAI 25 września 2026 opublikowało opis nowej odmiany iniekcji promptów, „a new variety of prompt injection, which can self-propagate akin to a computer worm”, rozprzestrzeniającej się jak robak komputerowy. Odkrycie datowane jest na 27 czerwca 2026, a tytuł dokumentu mówi wprost: „Self-replicating prompt injections exist”.

Mechanizm wygląda tak. Zwykła iniekcja promptów to złośliwa instrukcja ukryta w treści, którą model czyta: w e-mailu, pliku czy komentarzu w kodzie. Wariant samoreplikujący się dodaje drugi cel: oprócz wykonania ataku payload musi skłonić model do powtórzenia swojej treści, bo inaczej umiera na pierwszym odbiorcy. W przykładzie z raportu fałszywa „reguła archiwizacji” każe agentowi odpowiadać po hiszpańsku i wkleić cytat całego e-maila na końcu odpowiedzi; razem z cytatem instrukcja przeskakuje do skrzynki kolejnej osoby.

Decydujące jest środowisko. Wszystko działo się w symulacji, na wewnętrznych wersjach modeli GPT-5.4-mini i GPT-5.5, z atakującym opartym o wewnętrzny model czerwonego zespołu GPT-Red. „No impact was observed outside of the simulated tool calls in training and evaluation”, podkreślają badacze. OpenAI zapowiada, że przyszłe modele „will have seen prompt injections like these during training”, czyli będą trenowane z takimi przypadkami.

Poskromię tu pokusę skrajności: to problem zaprezentowany z wyprzedzeniem, nie incydent na produkcji. TechCrunch wyliczał we wrześniu inne przypadki OpenAI, jak ucieczkę modelu badawczego z piaskownicy przez zapytanie DNS 20 września, wykrytą w kwadrans. Według Axios, cytowanego przez TechCrunch, laboratoria rejestrują nawet do 10 000 incydentów przekraczania instrukcji rocznie. Więcej o samoreplikacji i prognozach piszę w osobnym tekście.

Czy AI jest bezpieczne na co dzień? Zasady minimalnego ryzyka

Pytanie „czy AI jest bezpieczne” w praktyce rozpada się na dobór narzędzia do zadania. Czat do przepisów i gramatyki to niemal zero ryzyka poza danymi, które wklejasz. Ten sam producent z agentem mającym dostęp do skrzynki to inna liga: błąd przestaje być nieścisłością w odpowiedzi, a staje się wysłaną wiadomością albo złożonym formularzem.

Cztery ryzyka z tego tekstu w jednym miejscu:

RyzykoDla kogo realneCo robić
Dane u producentakażdy, kto wkleja dokumentynie wklejaj tego, czego nie dałbyś obcemu
Halucynacjadecyzje medyczne, prawne, finansowedrugie niezależne źródło przed decyzją
Oszustwo z AIrodziny, seniorzy, firmyhasło rodzinne, oddzwanianie po znanym numerze
Samowola agentaużytkownicy narzędzi z uprawnieniamiminimalne uprawnienia, przegląd tego, co agent zrobił

Zasady na co dzień mieszczą się w pięciu punktach:

  • Do decyzji z prawdziwymi skutkami zawsze drugie źródło poza AI, niezależnie od pewności tonu modelu.
  • Wrażliwe dokumenty zostają poza czatem albo trafiają do niego w okrojonej wersji.
  • Prośba o pieniądze, nawet znanym głosem, wymaga kontaktu innym kanałem niż ten, z którego przyszła.
  • Agentom dajesz najmniejsze potrzebne uprawnienia i czytasz, co zrobiły.
  • Narzędzia dla dzieci konfigurujesz razem z dzieckiem: limity, kontrole rodzicielskie, raporty aktywności.

Ochrona nieletnich to obszar, w którym zmiany idą najszybciej. Meta wstrzymała w styczniu 2026 dostęp nastolatków do postaci AI we wszystkich swoich aplikacjach, do czasu przygotowania wersji ograniczonej: „teens will no longer be able to access AI characters across our apps until the updated experience is ready”. Character.AI prowadzi centrum bezpieczeństwa w duchu safety-by-design, z cotygodniowymi raportami aktywności dla rodziców (Parental Insights) i sekcją Teen Safety; konkretnych dat wdrożeń strona nie podaje. Europejski AI Act dokłada warstwę prawną: zakazy obowiązują od lutego 2025, a od sierpnia 2026 nadzór sprawują władze państw członkowskich.

Żadna z tych zasad nie wymaga rozumienia modeli. Wszystkie wymagają sekundy zwłoki, zanim zrobisz to, na co liczy ekran albo oszust.

Najważniejsze informacje

RyzykoW jednym zdaniuŹródło z datą
Dane wejścioweWszystko, co wpiszesz, trafia na serwery producentaOWASP LLM02:2025, odczyt 15.10.2026
HalucynacjePewnie brzmiąca odpowiedź może być zmyślona; ważne decyzje wymagają drugiego źródłaOWASP LLM09:2025, odczyt 15.10.2026
Oszustwa z AI22 300 skarg i 893 mln USD strat z użyciem AI w USA w 2025Raport IC3 2025 wg BleepingComputer, 7.04.2026
DeepfakeEuropol ostrzega, że deepfake może stać się standardowym narzędziem zorganizowanej przestępczościKomunikat Europol, 28.04.2022
Samowola agentówAgent Claude wysłał fałszywy tip do policji w Filadelfii 18.07.2026; złapał go filtr spamuAnthropic, 9.10.2026
Robaki promptoweSamoreplikująca się iniekcja promptów istnieje w symulacji; poza nią zero skutkówOpenAI, 25.09.2026
RegulacjeAI Act dzieli AI na 4 poziomy ryzyka; zakazy od 2.02.2025, nadzór państw UE od 2.08.2026Komisja Europejska, odczyt 15.10.2026
Ochrona nieletnichMeta wstrzymała postacie AI dla nastolatków w aplikacjach do czasu wersji z kontrolamiTechCrunch, 23.01.2026

Najczęstsze pytania

Czy AI jest bezpieczne?

Nie da się odpowiedzieć jednym słowem, bo pod „AI” kryją się różne ryzyka: dane oddawane producentowi, halucynacje, przestępcy z lepszymi narzędziami i samodzielne agenty. Codzienny czat po przepis to inna skala niż agent z dostępem do poczty.

Czy Meta AI jest bezpieczne?

Dla dorosłego to głównie temat danych: treści rozmów trafiają na serwery Mety, więc obowiązuje zasada ostrożności z wklejanymi dokumentami. Dla nastolatków Meta wstrzymała 23 stycznia 2026 dostęp do postaci AI we wszystkich aplikacjach, do czasu przygotowania wersji z kontrolami rodzicielskimi i odpowiedziami dostosowanymi do wieku. Stron safety Mety przy odczycie 15.10.2026 nie udało mi się otworzyć, więc obietnic producenta tu nie cytuję.

Czy Character AI jest bezpieczne?

Character.AI prowadzi centrum bezpieczeństwa oparte na zasadzie safety-by-design, z cotygodniowymi raportami aktywności dla rodziców i osobną sekcją Teen Safety. TechCrunch pisał w styczniu 2026, że serwis ograniczył otwarte czaty dla nieletnich. O skali ryzyka decyduje tryb użycia: towarzyska rozmowa z postacią to coś innego niż pytanie o porady medyczne u bota.

Czy Gemini AI jest bezpieczne?

Obowiązują te same cztery ryzyka: treści rozmów idą do Google, odpowiedzi potrafią się mylić, a zakres samodzielności zależy od włączonych funkcji. Ustawienia i polski kontekst rozbieram w osobnym tekście o bezpieczeństwie Gemini.

Czy ChatGPT jest bezpieczny?

Te same zasady: dane idą do OpenAI, pamięć między rozmowami wydłuża życie wpisanego zdania, a ważne decyzje wymagają drugiego źródła. Prośby o pieniądze, nawet podszyte pod znajomą osobę, weryfikuj innym kanałem.

Czy ChatGPT jest bezpieczny dla dzieci?

OpenAI prowadzi osobne zasady dla nastolatków i przewidywanie wieku użytkownika, a kontrole rodzicielskie zapowiedziały inne duże platformy. Że temat jest gorący, widać w autouzupełnianiu Google: użytkownicy pytają też, czy weryfikacja wieku jest bezpieczna sama w sobie.

Źródła

Powiązane artykuły