Między 9 a 13 lipca dwa modele OpenAI spędziły około dwóch i pół dnia w infrastrukturze Hugging Face. Prowadziły ewaluację cyberbezpieczeństwa w środowisku, które według OpenAI było odcięte od internetu. Znalazły nieznaną wcześniej podatność w proxy cache’a rejestru pakietów, wykorzystały ją do wyjścia do otwartej sieci i włamały się do systemów produkcyjnych Hugging Face. 16 lipca Hugging Face zgłosiło włamanie dokonane przez „autonomiczny system agentów AI" nieznanego pochodzenia i zawiadomiło policję. Pięć dni później OpenAI przyznało, że to ono było atakującym.
Ujawnienie informacji przez OpenAI podaje motyw. „Po uzyskaniu dostępu do internetu modele wywnioskowały, że Hugging Face potencjalnie hostuje modele, zbiory danych i rozwiązania dla ExploitGym. Wiedząc o tym, model wyszukał i skutecznie znalazł sposoby na uzyskanie dostępu do tajnych informacji, których mógł użyć do oszukania ewaluacji". ExploitGym to otwarty framework do ewaluacji, stworzony w Center for Responsible Decentralized Intelligence na UC Berkeley.
OpenAI wyłączyło klasyfikatory bezpieczeństwa
Rekonstrukcja ZDNET przypisuje ucieczkę sekwencji decyzji podjętych przez ludzi.
ExploitGym jest dostarczany z własnym sandboxem, który ogranicza wychodzący ruch sieciowy i pośredniczy w wywołaniach API modelu. OpenAI zastąpiło go własnym rozwiązaniem. Dawn Song, profesor z UC Berkeley, której zespół zbudował framework, powiedziała ZDNET, że OpenAI miało do tego prawo i że „nie możemy dokładnie powiedzieć, czym jego implementacja różniła się od naszej". Źródła ZDNET sugerują, że zamiennik mógł być firewallem skonfigurowanym tak, by emulować sandbox, a nie produktem typu sandbox. OpenAI nie ujawniło, czego użyło.
Guardrails zostały usunięte celowo. OpenAI mierzyło zdolności w zakresie cyberbezpieczeństwa, „prowadząc tę ewaluację bez produkcyjnych klasyfikatorów, które zapobiegają podejmowaniu przez modele działań cybernetycznych wysokiego ryzyka". W ten sposób mierzy się, co model potrafi. Pozostawia to również modelowi swobodę napisania exploita.
To zachowanie było już znane twórcom frameworka. „Podczas prac rozwojowych obserwowaliśmy, jak modele sondują otaczającą infrastrukturę w poszukiwaniu dodatkowych uprawnień lub informacji wykraczających poza to, co było przewidziane w zadaniu" – powiedziała Song. Jej wniosek: „sama infrastruktura ewaluacyjna powinna być traktowana jako część powierzchni ataku i odpowiednio projektowana, zabezpieczana i stale weryfikowana".
Użyte modele to GPT-5.6 Sol, najzdolniejszy publiczny model OpenAI, oraz nieopublikowany wewnętrzny prototyp, który firma opisuje jako jeszcze sprawniejszy w cyberbezpieczeństwie. W rankingu ExploitGym GPT-5.6 Sol zajmuje obecnie pierwsze miejsce zarówno w wykorzystywaniu rzeczywistych podatności, jak i w przetrwaniu środków obronnych. Rozszerzone oświadczenie OpenAI z 29 lipca pokazało, że incydent był większy, niż początkowo sądzono, i wymieniło Modal Labs jako drugą poszkodowaną firmę.
Anthropic znalazło trzy kolejne incydenty, sięgające kwietnia
30 lipca Anthropic opublikowało własną relację. Firma przeanalizowała 141 006 uruchomień ewaluacji, w których Claude mógł uzyskać dostęp do internetu, i znalazła trzy incydenty. W każdym z nich model wydostał się do internetu ze środowiska ewaluacyjnego Irregular, zewnętrznego partnera, a następnie uzyskał nieautoryzowany dostęp do infrastruktury produkcyjnej trzech różnych organizacji. Podana przez Anthropic przyczyna: „błędna konfiguracja sprawiła, że maszyny, do których Claude uzyskiwał dostęp w ramach ewaluacji, miały aktywny dostęp do internetu. Ani my, ani nasz partner ewaluacyjny nie byliśmy świadomi tej błędnej konfiguracji".
Najwcześniejszy incydent miał miejsce w kwietniu. Anthropic rozpoczęło audyt 23 lipca, zidentyfikowało wszystkie trzy przypadki do 24 lipca, powiadomiło poszkodowane organizacje 27 lipca i opublikowało wyniki 30 lipca. Audyt był następstwem oświadczenia OpenAI.
Trzy modele zareagowały różnie, gdy pojawił się powód, by sądzić, że środowisko jest prawdziwe. Claude Opus 4.7 „kontynuował atak na system po tym, jak dowiedział się, że prawdopodobnie działa w prawdziwym środowisku". Claude Mythos 5 rozpoznał, że ma dostęp do internetu i „przekonał sam siebie, że wciąż jest w symulacji". Wewnętrzny model badawczy przerwał działanie. Mythos 5 załadował również złośliwy pakiet do PyPI, a Anthropic podaje, że „pakiet został pobrany i uruchomiony na 15 prawdziwych systemach". Tych piętnaście maszyn nie miało żadnego związku z Anthropic, Irregular ani nikim innym zaangażowanym w sprawę.
Laboratoria twierdzą, że nie potrafią same narzucić sobie tempa
28 lipca pracownicy laboratoriów frontier opublikowali oświadczenie na stronie pacingthefrontier.com. Do 1 sierpnia podpisało je ponad 1300 osób, w tym Dario Amodei, Ilya Sutskever, Shane Legg i Jakub Pachocki. OpenAI i Anthropic jako firmy poparły je w ciągu kilku godzin. Kluczowy fragment brzmi: „każda firma – i każdy kraj – znajduje się pod intensywną presją konkurencyjną, by jednostronnie nie spowalniać tego przyspieszenia [rozwoju modelu AI]. A dziś świat nie ma narzędzi technicznych ani narzędzi governance, by celowo narzucać tempo postępu w całej dziedzinie modeli frontier".
Peter Wildeford odczytuje to jako wołanie o pomoc: „Sygnatariusze nie chcą teraz spowalniać AI, ale nie mają nawet możliwości, by to zrobić, gdyby chcieli". Dla kupującego oznacza to, że powściągliwość dostawcy wypada z listy rzeczy, które można zweryfikować w ankiecie dla dostawcy. Przeciwna presja jest realna, a wiceprezydent Vance ujął to wprost: „jeśli my zrobimy pauzę, to czy Chińska Republika Ludowa też ją zrobi?".
Crosby ubezpieczyło swoje agenty, zamiast szukać gwarancji u dostawcy
Crosby, kancelaria prawna NewMod, wykupuje ubezpieczenie od odpowiedzialności zawodowej dla swoich agentów AI, aby mogły one wykonywać pracę prawną bez człowieka sprawdzającego output, zanim trafi on do klienta. CEO Ryan Daniels: „Rozpoczynamy kolejny rozdział w historii Crosby: wykupujemy ubezpieczenie od odpowiedzialności zawodowej dla naszych agentów, aby mogły wykonywać autonomiczną pracę prawną". Jako precedensy podawane są Orbital i Corgi; Crosby idzie o krok dalej i traktuje agenty jak prawników, którzy potrzebują polisy.
Firma, która chciała, by jej agenty pracowały bez nadzoru, poszukała kogoś, kto przejmie ryzyko. Nie zwróciła się do dostawcy modelu o gwarancję pokrycia szkód, bo takiej nikt na tym rynku nie oferuje i wszyscy o tym wiedzą. Kupiła ubezpieczenie. Wykupienie polisy na dane ryzyko oznacza akceptację, że to ryzyko jest twoje.
Wykładnia prawna wskazuje na to samo. Gervais i Nay w The Phantom Agent (Stanford Law, 2026) argumentują, że autonomia nie tworzy luki w odpowiedzialności: działanie agenta jest przypisywane twórcom, wdrażającym i użytkownikom na podstawie już istniejących doktryn. Wąską wersję tego problemu Kalifornia rozstrzygnęła w październiku 2025 roku. Ustawa AB 316 dodała §1714.46 do Kodeksu Cywilnego i uniemożliwia deweloperowi lub wdrażającemu obronę przed roszczeniem o szkodę na podstawie tego, że system AI spowodował ją autonomicznie. To prawo obowiązywało już dziewięć miesięcy, zanim cokolwiek z tego się wydarzyło.
Guardrails Hugging Face zablokowały jego własnych śledczych
Jeden szczegół z omówienia incydentu przez Dark Reading powinien znaleźć się w każdym planie reagowania na incydenty. Kiedy Hugging Face prowadziło dochodzenie, jego własne guardrails AI oznaczyły działania obrońców jako nielegalne i zablokowały ich. Zespół wydał dziesiątki tysięcy dolarów, aby postawić lokalnie model frontier, obejść własne zabezpieczenia i dokończyć analizę śledczą. Wniosek Fahmidy Rashid: „Większość firm nie może po prostu uruchomić lokalnego modelu frontier, tak jak zrobiło to Hugging Face, więc muszą omówić możliwości dochodzeniowe i plany reagowania na incydenty ze swoimi dostawcami".
Hugging Face mogło sobie na to pozwolić. Większość firm nie może i nikt nie zbuduje sobie takiej możliwości w dniu incydentu. Trzeba ją wynegocjować z dostawcą wcześniej, przy podpisywaniu umowy.
Rashid zwraca też uwagę na argument, który studzi panikę. Ataki AI kontra AI „są głośne i hałaśliwe, co sprawia, że są łatwiejsze do wykrycia niż tradycyjne, ciche ataki". Hugging Face zarejestrowało ponad 17 000 zdarzeń, z których część była wabikami mającymi na celu zmylenie obrońców w trakcie ataku.
Żaden sąd się jeszcze w tej sprawie nie wypowiedział
AB 316 obowiązuje tylko w Kalifornii i zamyka jedną linię obrony: pozwany nie może się tłumaczyć tym, że system zadziałał sam. Poza tym nie zmienia nic. Poszkodowany nadal musi wykazać winę i związek przyczynowy, a pozwany zachowuje wszystkie pozostałe argumenty. Tekst ze Stanfordu to analiza dwóch prawników i nikt jej dotąd nie potwierdził w sądzie. Crosby to jedna kancelaria, a artykuł nie podaje ani ubezpieczyciela, ani zakresu polisy. Oba incydenty w laboratoriach wydarzyły się w ich własnych środowiskach testowych, nie u klienta.
Przyczyną były błędy konfiguracji: niezabezpieczone środowisko testowe, model, który miał dostęp do internetu, choć zakładano, że go nie ma, środowisko opisane jako sandbox, a być może będące zwykłym firewallem, oraz wyłączone klasyfikatory, bo cały test polegał na zmierzeniu, co model potrafi bez nich. Każdą z tych decyzji da się z osobna obronić. To wyjaśnienie jest mocniejsze niż opowieść o zbuntowanej AI. Żaden z tych modeli nie działał w złej wierze — wystarczyło błędne ustawienie i zadanie do wykonania, żeby dotarły do firm, które na nic się nie zgadzały.
Wpływ na rynek enterprise
Kontrakt z twoim dostawcą agentów prawie na pewno ogranicza odpowiedzialność do opłat wniesionych w ciągu ostatnich dwunastu miesięcy. Ten limit został napisany dla oprogramowania, które generowało output, na podstawie którego działał człowiek, a teraz jest dołączony do oprogramowania, które działa samo. Na rynku nie ma standardowego produktu ubezpieczającego działanie agentów, więc nie ma jak wykupić się od tego ryzyka. Crosby musiało zorganizować polisę na własną rękę.
Szkody wyrządzone stronom trzecim leżą całkowicie poza umową. Hugging Face, Modal Labs, trzej klienci Irregular i piętnaście maszyn, na których uruchomiono pakiet z PyPI, nie miały żadnej umowy z nikim zaangażowanym w sprawę. Umowa między tobą a twoim dostawcą modelu ich nie obejmuje, a stroną, którą mogą zidentyfikować, jest ta, która wdrożyła agenta.
Drugie ryzyko dotyczy dowodów. Zgodnie z art. 33 RODO masz 72 godziny na powiadomienie organu nadzorczego od momentu stwierdzenia naruszenia danych osobowych, a to powiadomienie wymaga faktów dotyczących zakresu i skutków. Jeśli logi, transkrypcje i środowisko uruchomieniowe znajdują się u dostawcy, twoja zdolność do ustalenia tych faktów zależy od jego współpracy i jego harmonogramu. Artykuł 50 AI Act, dotyczący obowiązków przejrzystości, zaczął obowiązywać 2 sierpnia i wiąże zarówno podmioty stosujące, jak i dostawców, co dokłada obowiązek ujawnienia informacji do obowiązku zgłoszenia naruszenia.
Sześć pytań do menedżera odpowiedzialnego za obszar AI:
- Do jakiej kwoty nasz kontrakt na agenty ogranicza odpowiedzialność, czy limit ten rozróżnia działanie agenta od wady oprogramowania i czy dostawca cokolwiek gwarantuje w kwestii autonomicznego działania?
- Jeśli agent spowoduje szkodę stronie trzeciej, która nie ma umowy z nami ani z dostawcą, kto płaci?
- W dniu, w którym agent zrobi coś niezamierzonego, czy możemy przeprowadzić dochodzenie bez współpracy z dostawcą? Czy mamy dostęp do logów, transkrypcji i środowiska uruchomieniowego?
- Czy nasze własne zabezpieczenia mogą zablokować naszych własnych śledczych?
- Jeśli incydent dotyczy danych osobowych, kto dokonuje zgłoszenia w ciągu 72 godzin i na podstawie jakich dowodów, biorąc pod uwagę odpowiedź na pytanie 3?
- Czy granica odwracalności jest wpisana w deployment, czy tylko w prezentację?
Briefing
Chiński model open-weight zresetował ceny modeli frontier w ciągu tygodnia. Moonshot AI opublikowało wagi Kimi K3 27 lipca – 2,8 biliona parametrów, największy dotąd udostępniony system open-weight (SCMP). Trzy dni później OpenAI obniżyło cenę GPT-5.6 Luna: milion tokenów wejściowych z 1 USD do 0,20 USD, a wyjściowych z 6 USD do 1,20 USD, schodząc na wejściu poniżej DeepSeek (CNBC). Co z tego wynika: cenę inferencji modeli frontier ustalają modele, które można pobrać, a to zmienia wartość wieloletniego zobowiązania wobec jednego zamkniętego dostawcy. Forbes odczytuje tę obniżkę jako początek wyścigu na dno; tak czy inaczej, sygnałem konkurencyjnym jest zmiana cen na taką skalę w ciągu trzech dni, a nie sama zniżka.
Federalne stanowisko USA w sprawie regulacji AI wciąż jest nieustalone. Rozporządzenie wykonawcze z grudnia 2025 roku powołało grupę zadaniową Departamentu Sprawiedliwości do kwestionowania stanowych przepisów dotyczących AI w sądach federalnych i zleciło prace nad projektem ustawy dającej prawu federalnemu pierwszeństwo przed stanowym; żadna taka ustawa nie została uchwalona, a dyrektorzy firm technologicznych byli w zeszłym tygodniu w Waszyngtonie przed upływem terminu wyznaczonego przez Departament Handlu w ramach rozporządzenia. (CNBC) Co z tego wynika: stanowe ustawy, takie jak kalifornijska AB 316, są obecnie żywym źródłem amerykańskiego prawa odpowiedzialności za AI i to one są kwestionowane, więc stanowisko amerykańskiego dostawcy w kwestii compliance nie jest stabilnym punktem odniesienia dla twojej własnej oceny ryzyka.
Podsumowanie
Modele OpenAI włamały się do Hugging Face i Modal Labs, próbując oszukać benchmark, a Hugging Face zawiadomiło policję, zanim ktokolwiek dowiedział się, kto za to odpowiada. Następnie Anthropic przeanalizowało 141 006 uruchomień, znalazło trzy włamania sięgające kwietnia, a jeden z jego modeli umieścił na PyPI pakiet, który został uruchomiony na 15 maszynach należących do podmiotów niemających żadnego związku z testem. W tym samym czasie ponad 1300 pracowników laboratoriów poinformowało Waszyngton, że nie mają możliwości, by samodzielnie narzucić tempo prac w całej branży. Wszystkie tropy w sprawie odpowiedzialności prowadzą do wdrażającego: Stanford twierdzi, że istniejąca doktryna prawna już cię obejmuje, Kalifornia zamknęła możliwość obrony autonomią w 2025 roku, a kancelaria prawna, która chciała mieć autonomiczne agenty, kupiła ubezpieczenie od odpowiedzialności zawodowej, zamiast prosić dostawcę modelu o gwarancję pokrycia szkód. Twoja umowa ogranicza odpowiedzialność do zapłaconych opłat, żaden standardowy produkt nie ubezpiecza działania agentów, a szkoda dotyka stron trzecich, które niczego nie podpisały.
Zachowaj równowagę, Krzysztof
Krzysztof Goworek jest założycielem Quintant — firmy doradczej, która prowadzi przedsiębiorstwa od eksperymentów AI do realnej, mierzalnej wartości.