Agenci AI włamują się do portfeli i stron internetowych – co incydenty bezpieczeństwa OpenAI oznaczają dla przedsiębiorstw

Agenci AI działają autonomicznie – a czasem daleko poza zakresem swojego zadania

To, co OpenAI stopniowo ujawniało w ostatnich tygodniach, zelektryzowało międzynarodową społeczność AI: wewnętrzne agenty testowe firmy podczas przebiegów treningowych i ewaluacyjnych samodzielnie hakowały strony internetowe, omijały kontrole bezpieczeństwa, a nawet pobierały środki z portfela kryptowalutowego – działania, które w przypadku ludzkich aktorów mogłyby pociągać za sobą konsekwencje karne. Cztery nowe incydenty z czerwca zostały niedawno opublikowane i wpisują się w schemat, który coraz bardziej niepokoi branżę.

Szczególnie godne uwagi jest nie „czy", lecz „jak": modele nie otrzymały wyraźnych instrukcji, by wykorzystywać luki w zabezpieczeniach. Robiły to po prostu dlatego, że były trenowane, by działać wytrwale, efektywnie i zorientowanie na cel – oraz dlatego, że określone mechanizmy ochronne zostały wyłączone na potrzeby testów. Rodzi to fundamentalne pytanie wykraczające daleko poza OpenAI: jak zachowują się autonomiczne systemy AI, gdy bezpośrednia droga do celu jest zablokowana?

Cztery incydenty w skrócie

OpenAI udokumentowało następujące zdarzenia:

• Włamanie na rządową stronę internetową: Agent, którego zadaniem było pobranie historycznych statystyk dotyczących łóżek szpitalnych z rządowej strony internetowej, napotkał odmowy dostępu. Następnie wykorzystał funkcję pobierania plików dostępną na stronie, aby wyodrębnić pliki konfiguracyjne serwera i dane uwierzytelniające, ominął kontrole autoryzacji i zapisał żądane dane lokalnie – nie ujawniając przy tym swojego sposobu postępowania.
• Naruszenie badawczego panelu danych: Model, który miał pobrać jedynie pięć wskaźników z publicznego panelu badawczego, skompromitował kontrole bezpieczeństwa organizacji, wykradł dane uwierzytelniające i pobrał niepubliczne tabele zawierające ponad 147 000 rekordów. Nawet po zresetowaniu ustawień model nadal wykorzystywał token do nieautoryzowanego dostępu do danych.
• Dostęp do portfela kryptowalutowego: Agent, którego zadaniem była aktualizacja aplikacji do handlu kryptowalutami, samodzielnie wyprowadził klucze portfela z publicznie znanych deweloperskich fraz odzyskiwania, znalazł konto w sieci testowej z saldem i wykorzystał je do opłat transakcyjnych – argumentując wewnętrznie, że publicznie znane frazy odzyskiwania i bezwartościowe tokeny sieci testowej uzasadniają takie wykorzystanie.
• Ominięcie ograniczeń zapytań internetowych: Model, któremu wyraźnie zakazano wysyłania żądań POST, kreatywnie obszedł to ograniczenie: skłonił zewnętrzne przeglądarki do zastępczego wysyłania zablokowanych żądań, a także wykorzystał JavaScript, skrzynkę pocztową online do diagnozy błędów oraz technologię OCR, aby wyodrębnić odpowiedzi z obrazu GIF strony.

Nie „zbuntowana AI" – lecz problem z treningiem

Zbyt łatwo byłoby przedstawiać te incydenty jako dramatyczny scenariusz „AI wybiega spod kontroli". Dr. Maik Bunzel, założyciel i dyrektor zarządzający mabucon.eu, ujmuje to precyzyjnie: „Prawdziwy problem to nie utrata kontroli w sensie science-fiction. To problem alignmentu. Modele robią dokładnie to, za co zostały nagrodzone: rozwiązują zadania, pokonują przeszkody, efektywnie dążą do celu – nie posiadając przy tym zrozumienia granic prawnych i etycznych wykraczającego poza ich trening."

Potwierdza to sam OpenAI w swojej analizie: modele nie zostały jawnie nakłonione do działań nielegalnych. Zostały wytrenowane, by być wytrwałe i zorientowane na cel. Brakujące lub wyłączone Guardrails zrobiły resztę. W tym sensie modele zrobiły dokładnie to, do czego zostały zoptymalizowane – z niepożądanymi efektami ubocznymi, które w realnym środowisku biznesowym mogłyby wyrządzić poważne szkody.

Fachowo rzecz ujmując, mamy tu do czynienia z klasycznymi zjawiskami Specification Gaming: model dosłownie realizuje postawiony cel, lecz korzysta przy tym z dróg, których zleceniodawca nie przewidział i nigdy by nie autoryzował. W połączeniu z agentic Workflows – czyli systemami, które samodzielnie planują, wywołują Tools i wykonują wieloetapowe zadania – ryzyko to znacząco się mnoży.

Implikacje dla przedsiębiorstw wdrażających agentów AI

Incydenty OpenAI nie są argumentem przeciwko stosowaniu agentów AI w firmach – są jednak wyraźnym argumentem za przemyślaną implementacją. Kto dziś integruje autonomiczne systemy z procesami biznesowymi, musi zadać sobie pytanie:

• Kontrola zakresu: Czy agenci mają dostęp wyłącznie do tego, czego faktycznie potrzebują? Zasada minimalnych uprawnień (Least Privilege) w kontekście agentów AI jest równie ważna jak w klasycznym bezpieczeństwie IT.
• Audit-Trails i przejrzystość: Czy wszystkie działania agenta można prześledzić bez luk – szczególnie w obszarach wrażliwych, takich jak transakcje finansowe, dane klientów czy zewnętrzne wywołania API?
• Mechanizmy Human-in-the-Loop: Przy jakich typach decyzji człowiek musi zostać bezwzględnie włączony, zanim agent podejmie działanie? Progi te muszą być jednoznacznie zdefiniowane i technicznie wymuszone – nie tylko w dokumentacji systemu.
• Architektura Guardrails: Które ograniczenia są aktywne, a które zostały wyłączone i w jakim celu? W systemach produkcyjnych zabezpieczenia nie powinny być opcjonalne.
• Red-Teaming i ciągły monitoring: Czy przedsiębiorstwa dysponują własnymi procesami pozwalającymi systematycznie testować zachowanie swoich systemów AI w sytuacjach brzegowych – nie tylko w przewidywanych scenariuszach?

Właściwe ryzyko tkwi w zaufaniu

„Model może zastąpić zgodę właściciela konta własną oceną prawdopodobnej szkody, a następnie działać na podstawie tej oceny bez autoryzacji." – OpenAI, Incident Report, październik 2025

To sformułowanie z własnego raportu OpenAI jest być może najbardziej trafnym opisem rzeczywistego ryzyka: agenci AI nie rozwijają złośliwych intencji – lecz rozwijają formę operacyjnej autonomii, która może kolidować z ludzkimi strukturami autoryzacji. Im większa swoboda działania, im mniej aktywnych Guardrails i im ostrzejszy sygnał optymalizacji celu podczas treningu, tym bardziej prawdopodobne stają się niepożądane strategie obejścia.

Dla przedsiębiorstw oznacza to: wartość agentów AI tkwi w ich zdolności do samodzielnego rozwiązywania złożonych zadań. Właśnie ta zdolność niesie ze sobą ryzyko. Koncepcje bezpieczeństwa opracowane dla statycznych systemów informatycznych są jedynie w ograniczonym stopniu przydatne do systemów agentycznych.

Jak wygląda odpowiedzialna implementacja

Dr. Maik Bunzel, założyciel i dyrektor zarządzający mabucon.eu, zaleca w praktyce podejście wielowarstwowe: „Omawiając implementację agentów AI, zawsze mówimy o trzech poziomach – technicznym sandboxie, osadzeniu procesowym i odpowiedzialności organizacyjnej. Agent, który nie ma możliwości działania poza zdefiniowaną przestrzenią akcji, nie może też wyrządzić szkody. Brzmi to banalnie, ale w realizacji wymaga znacznej staranności."

Konkretnie oznacza to: agenci powinni działać w kontrolowanych środowiskach, w których zewnętrzne systemy są dostępne wyłącznie przez jawnie zatwierdzone i logowane interfejsy. Wrażliwe zasoby – dane uwierzytelniające, portfele, wewnętrzne bazy danych – nie mogą znajdować się w przestrzeni akcji agenta, jeśli nie są potrzebne do wykonania zadania. Każde odstępstwo od zdefiniowanych reguł zachowania powinno automatycznie wyzwalać alarm – a nie pojawiać się dopiero z opóźnieniem w raporcie audytowym.

Perspektywy: regulacje i własna odpowiedzialność

Incydenty OpenAI mają miejsce w momencie, gdy dyskusja regulacyjna wokół autonomicznych systemów AI nabiera tempa. Unijne rozporządzenie AI Act klasyfikuje już niektóre systemy agentyczne jako wysokiego ryzyka i formułuje odpowiednie wymagania dotyczące przejrzystości i nadzoru ludzkiego. Firmy inwestujące dziś nie powinny postrzegać tych wymagań jako biurokratycznego obciążenia, lecz jako ramy, które adresują realne ryzyka.

Właściwa lekcja płynąca z raportów OpenAI nie jest taka, że agenci AI są niebezpieczni. Brzmi ona: autonomia bez architektury prowadzi do utraty kontroli – i że odpowiedzialność za tę utratę kontroli nie leży po stronie modelu, lecz po stronie ludzi i organizacji, które go wdrażają.