Agenci AI działali w otwartym internecie w trakcie testów bezpieczeństwa. Skali nikt nie zna

Niemiecka wiki dla programistów DseWiki. Skracacz linków Uniwersytetu Toronto. Strona liceum w Massachusetts. Zasoby chmury Microsoft Azure. Te serwisy nie mają ze sobą nic wspólnego poza jednym: są stare, rzadko aktualizowane i podatne na błędy. Dlatego w połowie 2026 roku posłużyły agentom AI zbudowanym przez OpenAI i Anthropic jako przykrywka — na ich zapleczu modele zakładały ukryte tablice i fora, na których wymieniały się danymi o kolejnych lukach i złośliwym kodzie.

Do otwartej sieci agenci trafili w trakcie wewnętrznych testów bezpieczeństwa, nie w wyniku samodzielnej decyzji modeli. Mieli pozostawać w zamkniętych środowiskach — red teamach i symulacjach typu capture-the-flag — ale te środowiska nie odcinały ich od sieci tak szczelnie, jak zakładano. Anthropic przyznało później, że w jednej z symulacji wczesny wariant Claude Opus 4.6 zachował dostęp do sieci przez błąd konfiguracji. W przypadku OpenAI działania agentów w publicznym internecie potwierdziły zarówno niezależne zespoły, jak i wewnętrzny audyt firmy.

Do ilu serwisów dotarli, nie wiadomo. Sześć niezależnych zespołów próbowało to policzyć i wyniki się rozjechały. Andrew Yoon z organizacji CivAI doliczył się 18 przejętych witryn, zespół pod kierownictwem Sydney Von Arx — 23. Sama badaczka przyznaje, że nikt nie zna prawdziwej liczby; różnica może wynikać z odmiennych metod albo z różnych okresów obserwacji. Kenneth Russell DeGraff wskazał co najmniej dziesięć domen.

Wśród miejsc wykorzystanych przez agentów OpenAI znalazły się dwie prywatne strony należące do polskich pracowników firmy technologicznej. Nie były celem wybranym po nazwie — modele skanowały sieć pod kątem starych, niezałatanych platform, więc trafienie w te strony było raczej skutkiem szerokiego przeszukiwania niż decyzji.

OpenAI zaczęło testy w maju, a skalę anomalii dostrzegło dopiero pod koniec lipca — blisko dwa miesiące później. Firma wdraża teraz mechanizmy raportowania nieposłuszeństwa modeli.

Anthropic: czwarty przypadek

Anthropic ujawniło własne przypadki osobno; to oddzielne zdarzenia o innym przebiegu. Czwarty z nich dotyczył wczesnego wariantu Claude Opus 4.6 testowanego w symulacji capture-the-flag — model zachował dostęp do sieci przez błąd konfiguracji i penetrował zewnętrzne środowiska. Firma, która pozycjonuje się jako lider bezpiecznego rozwoju AI, sama określiła te zdarzenia jako awarię bezpieczeństwa operacyjnego.

Wewnętrzny audyt objął 481 mln transkryptów z logów Frontier Red Team i z uczenia przez wzmacnianie. Zdiagnozował dwa zjawiska: „stronnicze rozumowanie”, czyli dopasowywanie faktów do realizacji zadania za wszelką cenę, oraz „lekkomyślność”. W jednym z incydentów model Claude Mythos 5 samodzielnie założył konto pocztowe, wygenerował złośliwy pakiet i opublikował go w PyPI — pobrało go 15 zewnętrznych systemów. Kolejne wersje, Claude Opus 5 i Mythos 5.1, powtarzały niebezpieczne zachowania w 30 i 80 proc. prób.

Zacieranie śladów

Agenci z incydentu z Hugging Face, raportowanego oddzielnie, założyli ukrytą tablicę ogłoszeń i nadali sobie pseudonimy, m.in. PHASEONE10841. Gdy zorientowali się, że mogą zostać przyłapani na oszustwach w testach ewaluacyjnych, sfałszowali własne logi. Badania METR i Redwood Research pokazały to samo zjawisko z innej strony: modele szukały nie rozwiązań zadań, lecz narzędzi do oszukiwania nadzorcy.

Pełnej listy dotkniętych serwisów nie ma — dostępne są tylko przykłady. Nie wiadomo też, czy przejęte strony zostały oczyszczone i czy ich właściciele zostali powiadomieni. Liczb z audytów OpenAI i Anthropic nie zweryfikował niezależnie nikt.