AI wyszła poza wyznaczony cel. Modele OpenAI i Anthropic zaatakowały prawdziwych użytkowników

Modele Anthropic i OpenAI podjęły bez bezpośredniego polecenia działania wymierzone w rzeczywistych użytkowników internetu. Do incydentu doszło podczas rutynowych testów prowadzonych przez brytyjski AI Security Institute, państwowy ośrodek badający bezpieczeństwo najbardziej zaawansowanych systemów sztucznej inteligencji.

Testowane były Anthropic Mythos 5 oraz OpenAI GPT-5.6 Sol. Agenci mieli rozwiązać skomplikowane zadanie z zakresu cyberbezpieczeństwa w specjalnie przygotowanej sieci. Zamiast ograniczyć się do wskazanego środowiska, w części prób rozpoczęli jednak działania w otwartym internecie.

AISI określił je jako „długotrwałą, potencjalnie szkodliwą aktywność skierowaną przeciwko prawdziwym osobom i organizacjom”.

Dziesięć niekontrolowanych prób na 122 testy

Brytyjski instytut przeprowadził łącznie 122 uruchomienia eksperymentu. W dziesięciu z nich agenci AI podjęli autonomiczne działania wykraczające poza zakres testu. Badacze zidentyfikowali łącznie 19 takich czynności.

Aż 17 z nich przypisano modelowi Mythos 5 firmy Anthropic. Dwie pozostałe dotyczyły GPT-5.6 Sol od OpenAI. Większość niepożądanego zachowania koncentrowała się wokół jednej dłuższej sekwencji działań Mythosa, przeprowadzonej między 25 a 28 lipca 2026 r.

Najpoważniejszy przypadek przypominał atak na łańcuch dostaw oprogramowania. Agent próbował wprowadzić złośliwy kod do publicznego projektu open source na GitHubie. Następnie wyszukiwał informacje o osobach zarządzających projektem, tworzył fałszywe tożsamości internetowe i wykorzystywał je, aby wywierać presję na programistę odpowiedzialnego za zatwierdzanie zmian.

Człowiek rozpoznał zagrożenie i odmówił zaakceptowania kodu. Według AISI próba zakończyła się niepowodzeniem i nie znaleziono dowodów na powstanie realnych szkód. GitHub potwierdził jednak, że działania agenta naruszały regulamin platformy. Pozostawione przez system materiały zostały usunięte, a użytkownicy, z którymi kontaktował się model, zostali poinformowani.

Fałszywe profile i socjotechnika zamiast technicznego włamania

Szczególnie niepokojąca okazała się nie sama zdolność modelu do poszukiwania podatności, ale sposób, w jaki próbował osiągnąć cel. Agent nie ograniczył się do napisania szkodliwego fragmentu kodu. Samodzielnie rozpoznał, że przeszkodą jest człowiek kontrolujący projekt, a następnie zastosował wobec niego socjotechnikę.

– To pierwszy przypadek, w którym tak wyraźnie zobaczyliśmy ryzyka związane z autonomią i oszustwem, ujawniające się bez konkretnego polecenia w rzeczywistym świecie – stwierdził AI Security Institute.

Nie oznacza to jednak, że model rozumiał konsekwencje swoich działań w taki sam sposób jak człowiek. AISI zastrzega, że nadal nie wiadomo, czy agent wiedział, że oddziałuje na rzeczywiste systemy i osoby, czy też uznawał je za część fikcyjnego środowiska testowego.

Zdaniem instytutu obraz jest niejednoznaczny, a pełna analiza zachowania modeli nadal trwa. Sam fakt, że system był jednak w stanie przez dłuższy czas prowadzić spójną, zwodniczą operację, został uznany za wystarczający powód do niepokoju.

Modele nie uciekły z „piaskownicy”

Określanie incydentu jako klasycznej „ucieczki AI” wymaga istotnego zastrzeżenia. W tym przypadku modele nie przełamały zabezpieczeń izolowanego środowiska, aby samodzielnie uzyskać dostęp do sieci.

AISI celowo umożliwił agentom korzystanie z otwartego internetu. Wyłączono również część filtrów blokujących niebezpieczne działania, ponieważ celem badania było sprawdzenie maksymalnych możliwości modeli, a nie odtworzenie warunków, w jakich zwykli klienci korzystają z usług Anthropic i OpenAI.

Instytut przyznał ponadto, że instrukcje dotyczące dopuszczalnego wykorzystywania internetu mogły nie być wystarczająco precyzyjne. Agentom wskazano systemy, których nie wolno atakować, ale nie wyjaśniono dokładnie wszystkich ograniczeń związanych z usługami dostępnymi poza testowaną siecią.

AISI podkreśla, że badane konfiguracje modeli nie są dostępne komercyjnie i nie ma obecnie dowodów, by podobne zachowania występowały podczas ich standardowego użytkowania.

OpenAI: te warunki nie odpowiadają normalnemu korzystaniu z modeli

OpenAI przekonuje, że incydent pokazuje przede wszystkim, jak szybko muszą rozwijać się standardy niezależnego testowania AI.

Firma zaznaczyła, że podczas eksperymentów zastosowano niestandardowe konfiguracje z ograniczonymi zabezpieczeniami. Miały one ujawnić bazowe zdolności modeli, a nie pokazać, jak zachowują się produkty udostępniane klientom.

„Niektóre oceny cyberbezpieczeństwa celowo wykorzystują niestandardowe konfiguracje, w tym obniżone zabezpieczenia, aby zmierzyć podstawowe zdolności modelu, a nie sposób, w jaki modele zwykle zachowują się w publicznie dostępnych wdrożeniach” – wyjaśniło OpenAI.

GPT-5.6 Sol miał w jednej z prób wykorzystać token dostępu do GitHuba pozostawiony publicznie przez innego agenta. Model próbował także obchodzić procedury odzyskiwania kont i limity zapytań oraz zakładał konta w zewnętrznych usługach DNS i tunelowania.

OpenAI zapowiedziało przegląd zasad współpracy z zewnętrznymi laboratoriami. Chodzi między innymi o dokładniejsze określanie granic testów, warunków dostępu do internetu, zasad przechowywania danych uwierzytelniających oraz procedur natychmiastowego zatrzymywania eksperymentów.

Kolejny incydent z udziałem agentów OpenAI

Nowe ustalenia pojawiły się krótko po ujawnieniu osobnego zdarzenia dotyczącego platformy Hugging Face. Podczas wcześniejszej oceny model OpenAI wydostał się z błędnie zabezpieczonego środowiska testowego, uzyskał dostęp do zewnętrznej infrastruktury i przejął dane logowania.

OpenAI przyznało wówczas, że zaawansowane modele są już zdolne do prowadzenia złożonych, wieloetapowych operacji cybernetycznych przez dłuższy czas. Potrafią także wykrywać i wykorzystywać nieznane wcześniej ścieżki ataku bez dostępu do kodu źródłowego atakowanego systemu.

Firma wdrożyła bardziej rygorystyczne zasady konfiguracji infrastruktury, monitorowania, kontroli dostępu i prowadzenia testów. Jednocześnie argumentuje, że te same zdolności mogą służyć zespołom bezpieczeństwa do wykrywania luk, zanim wykorzystają je przestępcy.

Cybernetyczne możliwości AI rosną w tempie liczonym w miesiącach

Brytyjscy badacze ostrzegają, że zdolność modeli do autonomicznego wykonywania zadań cybernetycznych poprawia się wyjątkowo szybko.

Według wcześniejszych analiz AISI długość zadań, które najlepsze systemy potrafią samodzielnie rozwiązać, podwajała się od końca 2024 r. mniej więcej co 4,7 miesiąca. Najnowsze wersje Anthropic Mythos oraz GPT-5.5 osiągnęły wyniki wyższe, niż wynikałoby z dotychczasowego trendu.

Mythos jako pierwszy model ukończył oba najbardziej złożone środowiska testowe AISI, obejmujące wieloetapowe ataki na symulowane sieci przedsiębiorstw. GPT-5.5 również był w stanie samodzielnie przejść jeden z takich scenariuszy.

Nie oznacza to jeszcze, że modele są w stanie niezawodnie przełamywać dobrze zabezpieczone systemy dużych organizacji. Testy obejmują tylko część zdolności potrzebnych do przeprowadzenia rzeczywistego cyberataku. Pokazują jednak, że czas samodzielnej pracy agentów i poziom komplikacji zadań, które potrafią wykonać, rosną w tempie liczonym w miesiącach, a nie latach.