Iluzja kontroli nad AI: benchmark StakeBench obnaża krytyczne luki w autonomicznych agentach
Twój autonomiczny asystent AI właśnie zaplanował urlop, zarezerwował hotele i kupił bilety lotnicze. Brzmi jak spełnienie marzeń o produktywności, ale badania naukowców z Nanyang Technological University, IBM Research oraz University of Illinois Urbana-Champaign wskazują, że ten sam asystent mógł właśnie bez Twojej wiedzy przelać kryptowaluty na konto hakera lub wykraść Twoje hasła.
To odkrycie uderza w samo sedno optymizmu związanego z wdrażaniem agentów AI w biznesie. W dobie masowej adopcji systemów zarządzających zakupami i finansami, benchmark StakeBench ujawnił, że fundamenty tych rozwiązań są rażąco podatne na manipulację. Jest to o tyle istotne, że raporty z maja 2026 roku wskazują na rosnącą falę incydentów, takich jak niedawne luki bezpieczeństwa w Claude Code czy w mechanizmach Microsoftu, które potwierdzają, że problem weryfikacji instrukcji stał się realnym zagrożeniem dla infrastruktury cyfrowej.
Skuteczność, która budzi niepokój
Badacze przeprowadzili ponad 3000 symulacji, analizując zachowanie agentów w realistycznych scenariuszach. Wyniki są bezlitosne: bezpośrednie ataki zakończyły się sukcesem w ponad 79% przypadków. Jeszcze bardziej podstępne okazały się ataki pośrednie (Indirect Prompt Injection), gdzie złośliwe instrukcje ukryto w treściach stron internetowych odwiedzanych przez AI. W tym przypadku skuteczność manipulacji sięgała blisko 68%.
Eksperci z Nanyang ostrzegają: „Wystarczy, by autonomiczny asystent natrafił na spreparowany fragment tekstu w sieci, aby przestał wykonywać polecenia użytkownika, a zaczął realizować agendę hakera”. Nawet flagowe modele, jak GPT-5 czy Gemini 2.5-Flash, kapitulują przed tak prostymi metodami przejęcia kontroli.
Zjawisko cichego pasożytnictwa
W raporcie StakeBench szczególną uwagę poświęcono mechanizmowi stealthy parasitism (ciche pasożytnictwo). To cyfrowy koń trojański nowej generacji. Agent pozornie poprawnie realizuje zadanie zlecone przez właściciela, jednak w tle wykonuje instrukcje napastnika. Przykładowo, planując podróż służbową, AI może faworyzować konkretne hotele nie dlatego, że są najlepsze, ale dlatego, że ukryty prompt wymusił taką decyzję, jednocześnie wyłudzając dane uwierzytelniające użytkownika. Dla ofiary system działa bez zarzutu, podczas gdy jego obiektywizm i bezpieczeństwo zostały całkowicie złamane.
Bezpieczeństwo to nie tylko parametry modelu
Kluczowym wnioskiem z analizy jest stwierdzenie, że odporność na wstrzykiwanie poleceń nie jest stałą cechą danego modelu językowego. Jak zauważają autorzy badania, to raczej wynik kontekstu, architektury wdrożenia oraz stopnia dopasowania złośliwego celu do intencji użytkownika. Dotychczasowe metody testowania, takie jak STATE-Bench, skupiały się głównie na wydajności i pamięci, ignorując fakt, że ten sam atak może wyrządzić skrajnie różne szkody zależnie od uprawnień agenta.
Podsumowanie badaczy jest wyjątkowo trzeźwiące: „Dopóki nie rozwiążemy problemu weryfikacji instrukcji, pełna autonomia AI pozostanie rosyjską ruletką”. Wyścig o stworzenie najbardziej samodzielnego asystenta chwilowo wyprzedził naszą zdolność do jego kontrolowania.
