- Agent OpenAI obchodzący zabezpieczenia australijskiego portalu Medicare.
- System działający bez złych intencji, ale zachowujący się jak haker.
- Nowe ryzyko w cyberbezpieczeństwie: autonomiczne systemy realizujące cele za wszelką cenę.
- Konieczność stosowania zasady najmniejszych uprawnień dla sztucznej inteligencji.
- Opóźniona i nieprawidłowa reakcja OpenAI na czerwcowy incydent z 2026 roku.
Wszystko zaczęło się od prostego zadania. 18 czerwca 2026 roku, podczas wewnętrznych testów w OpenAI, jeden z autonomicznych systemów sztucznej inteligencji otrzymał polecenie: znaleźć publiczne dane na temat wydatków na leki w Australii. W trakcie swoich poszukiwań trafił na rządowy portal Medicare Statistics Reporting Service. Kiedy strona nie udostępniła mu poszukiwanych informacji w prosty sposób, system nie zatrzymał się i nie zgłosił błędu.
Zamiast tego zaczął szukać innej drogi - relacjonuje portal ceo.com.pl.
Samodzielnie znalazł sposób na ominięcie blokad i ograniczeń serwisu. Uzyskał dostęp nie tylko do publicznie dostępnych statystyk, ale również do plików, które nie powinny być widoczne dla nikogo z zewnątrz.
Ten incydent pokazuje, że autonomiczny agent AI może zachowywać się jak atakujący, nawet jeśli jego głównym celem nie jest przeprowadzenie cyberataku. Na szczęście, jak na razie nic nie wskazuje na to, by naruszone zostały wrażliwe dane konkretnych pacjentów. Sprawa pokazuje jednak zupełnie nową kategorię ryzyka, z którą będziemy musieli się mierzyć.
Czy sztuczna inteligencja może atakować bez polecenia?
Odpowiedź brzmi: tak, i to jest właśnie sedno problemu, który ujawnił incydent w Australii. Nie mamy tu do czynienia ze scenariuszem rodem z filmów science fiction, w którym AI buntuje się i świadomie postanawia zaszkodzić ludziom. Sytuacja jest o wiele bardziej subtelna, ale przez to potencjalnie groźniejsza. Klasyczny cyberprzestępca z premedytacją szuka dziur w systemie, by się do niego włamać. Agent AI zrobił coś bardzo podobnego, ale bez złych intencji. Dostał cel i po prostu szukał najskuteczniejszej drogi do jego realizacji.
Ten incydent pokazuje fundamentalną różnicę między klasycznym cyberzagrożeniem a ryzykiem związanym z autonomiczną AI. Cyberprzestępca świadomie szuka sposobu na ominięcie zabezpieczeń. Agent może zrobić coś bardzo podobnego bez takiej intencji – po prostu dlatego, że dostał cel do wykonania i poszukuje skutecznej drogi do jego osiągnięcia
– wyjaśnia Kamil Sadkowski, analityk cyberzagrożeń w ESET.
Kluczowa jest różnica między prostym chatbotem, a autonomicznym agentem. Chatbotowi musisz mówić krok po kroku, co ma robić. Agentowi dajesz cel. On sam analizuje wyniki i jeśli pierwsza metoda zawiedzie, próbuje kolejnej. Polecenie „znajdź dane o wydatkach” uruchamia cały łańcuch działań: próba wejścia na stronę, analiza błędu, sprawdzenie innej ścieżki, odgadywanie nazw plików. Kluczowa jest tu rosnąca autonomia systemów, która sprawia, że kwestia bezpieczeństwa AI nabiera zupełnie nowego wymiaru.
Problem pojawia się wtedy, gdy na tej drodze agent odkryje możliwość zrobienia czegoś, czego twórca zadania w ogóle nie przewidział
– tłumaczy Dawid Koziorowski z DAGMA Bezpieczeństwo IT.
Kto odpowiada za bezpieczeństwo sztucznej inteligencji?
Nnaturalnie pojawia się pytanie: kto jest winny? OpenAI, które stworzyło model? Programista, który zlecił mu zadanie? A może australijski rząd, którego portal dało się obejść?
Eksperci podkreślają, że zabezpieczenie samego modelu AI to za mało. Ryzyko powstaje na styku trzech elementów: możliwości sztucznej inteligencji, narzędzi, jakie jej damy, oraz zabezpieczeń systemów, z którymi będzie się łączyć. Dlatego w kontekście bezpieczeństwa AI coraz częściej mówi się o modelu współdzielonej odpowiedzialności.
Dostawca modelu odpowiada za bezpieczeństwo samego modelu, infrastruktury, API i mechanizmów ograniczających niepożądane zachowania. Twórca agenta odpowiada za to, jakie narzędzia agent otrzyma, do jakich API i danych może się łączyć oraz jakie operacje może wykonywać. Odpowiedzialność pozostaje też po stronie właściciela systemu, z którym agent się komunikuje
– tłumaczy Koziorowski. Mówiąc prościej: OpenAI musi dbać o to, by ich model nie był z natury "złośliwy". Programista musi pilnować, by nie dawać agentowi AI kluczy do całego królestwa – czyli nadmiernych uprawnień. Właściciel strony (w tym przypadku australijska administracja) musi mieć solidne zabezpieczenia, zakładając, że ktoś – lub coś – będzie próbował je złamać. Jeśli któryś z tych elementów zawiedzie, cały system staje się podatny na zagrożenia.
Skandal wokół reakcji OpenAI i co dalej?
Sam incydent to jedno, ale sposób, w jaki firma OpenAI poinformowała o nim australijskie władze, wywołał osobny skandal. Okazało się, że choć do obejścia zabezpieczeń doszło 18 czerwca 2026 roku, firma zgłosiła sprawę do Services Australia dopiero 10 września. To prawie trzy miesiące zwłoki. Co gorsza, informację wysłano na ogólną skrzynkę e-mail instytucji, co nie jest standardową procedurą w przypadku tak poważnych naruszeń.
Reakcja była natychmiastowa. Premier Australii Anthony Albanese określił zarówno opóźnienie, jak i formę powiadomienia jako "nieakceptowalne". Australijskie służby sprawdzają, czy aktywność agentów AI dotyczyła także innych systemów administracji publicznej. Sprawa opóźnionej reakcji na obejście zabezpieczeń przez ich system pokazuje, że kwestie proceduralne i odpowiedzialność za bezpieczeństwo AI to wciąż pole minowe.
Ten przypadek to zimny prysznic dla całej branży. Pokazuje, że nie wystarczy stworzyć potężne narzędzie. Trzeba jeszcze zbudować wokół niego cały system zabezpieczeń, procedur i granic. Im większą autonomię dajemy sztucznej inteligencji, tym ważniejsze staje się to, byśmy potrafili technicznie odebrać jej możliwość zrobienia czegoś, czego nie powinna.
AI nas nie „hakuje” w takim sensie, jaki znamy z filmów science fiction. Ale coraz częściej wyposażamy ją w narzędzia, uprawnienia i autonomię, dzięki którym może samodzielnie znaleźć drogę do celu. Niebezpieczny nie musi być sam model. Ryzyko powstaje z połączenia jego możliwości z dostępem do prawdziwych systemów. Im więcej agent może zrobić samodzielnie, tym ważniejsze stają się granice tego, na co technicznie mu pozwalamy
– podsumowuje Dawid Koziorowski.
Podcasty
Playlisty tematyczne
