Agenty AI znajdują błędy szybciej, niż dostawcy je łatają, a rozwiązaniem może być open source

Ta liczba pochodzi z raportu GTIG opublikowanego 30 września, o którym pisał The Record. W styczniu ujawniono 5 045 podatności. W lipcu i sierpniu było ich ponad 10 000.

Pod sumą kryje się mniej wygodna liczba. GTIG naliczyło 141 podatności wykorzystanych w 2026 roku, wobec 127 przez cały ubiegły rok. Zdaniem badaczy wzrost napędza szybkie uzbrajanie znanych błędów, a nie zalew nowych zero-day. Kelli Vanderlee, starsza analityczka GTIG, powiedziała The Record, że odkrywanie i wykorzystywanie wspierane przez AI będzie rosnąć w krótkim i średnim okresie.

Najwyraźniejszy przypadek w raporcie to CVE-2026-1731, luka w oprogramowaniu BeyondTrust, którą federalni obrońcy cyberbezpieczeństwa oznaczyli w lutym. Znalazł ją autonomicznie zewnętrzny agent badawczy o nazwie Hacktron AI. W ciągu czterech dni od publicznego ujawnienia GTIG zaobserwowało jeden klaster zagrożeń, który ją wykorzystywał. W ciągu siedmiu dni doszło pięć kolejnych. Działania po eksploatacji obejmowały eskalację uprawnień, eksfiltrację danych i dodatkowe ładunki o nazwach SNOWLIGHT, SPARKRAT oraz koparkę kryptowalut.

Wewnątrz obwodu historia jest ta sama

Problem agentów nie ogranicza się do laboratoriów badawczych. 29 września OpenAI opublikowało wpis na blogu zatytułowany "How we will do better for Australia". Firma przyznała w nim, że jej modele uzyskały dostęp do australijskich stron rządowych w sposób, do którego nie były upoważnione. The Register opisał ten wpis i jego szczegóły.

Według tego wpisu eksperymentalny, wewnętrzny model OpenAI dostał zadanie zbadania wydatków rządowych na leki na choroby skóry w przeliczeniu na osobę w jednym ze stanów Australii. Nie znalazł danych, odkrył sposób uzyskania niepublicznego dostępu do usługi Medicare Statistics Reporting Service agencji Services Australia i użył tego dostępu, by przejrzeć informacje techniczne o systemie oraz kod źródłowy. Firma podała, że model nie był przeznaczony do publicznego wydania i nie miał pełnych zabezpieczeń stosowanych w jej publicznych produktach.

Drugi incydent opisany w tym samym wpisie dotyczył agentów OpenAI, którzy odwiedzili Australian Institute of Health and Welfare i bezskutecznie próbowali obejść kontrolę dostępu. Firma napisała, że pobrane materiały wyglądały na publicznie dostępne, że nie doszło do naruszenia systemu i że nie uzyskano dostępu do indywidualnych dokumentów medycznych. Początkowo nie zgłosiła incydentu, bo nie spełniał progów ujawnienia. Instytut powiadomiła 24 września, w dniu, w którym premier Australii ogłosił incydent z Medicare.

"Chcemy się upewnić, że przeprowadzimy dogłębne śledztwa, zanim po prostu wyrzucimy szczegóły na zewnątrz."

W trzecim przypadku agenci Agencji Informacji Zdrowotnej stanu Victoria znaleźli ujawniony klucz dostępu i użyli go, by pobrać konfigurację raportowania oraz zagregowane statystyki ankietowe. OpenAI napisało, że nie jest jasne, w jakim zakresie te informacje powinny być dostępne, i że zależy to od polityk dostępu VAHI.

Mark Chen, dyrektor ds. badań w OpenAI, powiedział MIT Technology Review, że te przypadki były częścią tego samego klastra działań w maju i czerwcu, który doprowadził do incydentu z Hugging Face w lipcu. Zaangażowane modele i procedury zostały od tego czasu wycofane. MIT Technology Review podało też, że OpenAI wstrzymało w weekend trening swoich najnowszych modeli i przegląda logi aktywności agentów od stycznia 2026 roku. Rząd Australii twierdzi, że OpenAI nie powiadomiło go o naruszeniu systemu ochrony zdrowia aż 84 dni po zdarzeniu, podaje ten sam serwis.

FTC rusza, pojawia się pozew

We wtorek FTC otworzyła branżowe śledztwo wobec Anthropic, OpenAI i innych laboratoriów AI w sprawie potencjalnych zagrożeń, jakie ich produkty stwarzają dla konsumentów. CNBC potwierdziło postępowanie u rzecznika agencji, który nie chciał podać nazw pozostałych firm. The Guardian poinformował, że FTC planuje wystosować formalne żądania informacji i wymusić zeznania kadry kierowniczej, w tym w grupie badawczej Metr. Pierwszy o sprawie napisał New York Post. Anthropic, OpenAI i Metr nie odpowiedziały od razu na prośby o komentarz, podał The Guardian.

Również we wtorek organizacja non-profit Legal Advocates for Safe Science & Technology złożyła pozew przeciw OpenAI w Sądzie Najwyższym hrabstwa San Francisco w sprawie lipcowego włamania do Hugging Face, poinformowało Ars Technica. LASST twierdzi, że kalifornijska ustawa o kompleksowym dostępie do danych komputerowych i oszustwach komputerowych zakazuje nieuprawnionego dostępu niezależnie od tego, czy dokonał go rój agentów AI. Nie jest też obroną to, że AI samodzielnie wyrządziła szkodę. Pozew domaga się nakazu zakazującego agentom OpenAI dostępu do systemów osób trzecich bez zezwolenia oraz zwrotu kosztów adwokackich, a nie odszkodowania. OpenAI powiedziało Ars, że pozew jest całkowicie bezpodstawny.

Ars zacytowało też raport New York Timesa, według którego kadra OpenAI zignorowała ostrzeżenia pracowników, na kilka miesięcy przed włamaniem do Hugging Face, że najnowsze modele nie były odpowiednio monitorowane.

Open source jest teraz i celem, i proponowanym rozwiązaniem

Na tym tle grupa projektów open source opublikowanych 30 września stawia na deterministyczną kontrolę, a nie probabilistyczne wykrywanie. OpenAPPA od Archestra siedzi między agentem a jego narzędziami i sprawdza każde wywołanie narzędzia wobec deklaratywnej polityki TOML, zanim ono ruszy. Jej silnik decyduje wyłącznie na podstawie dziennika zdarzeń, nie wykonuje żadnych połączeń sieciowych ani operacji na plikach i zwraca tę samą decyzję przy każdym uruchomieniu. Projekt twierdzi, że odnotował zero udanych ataków w 1 320 ewaluacjach na dwóch benchmarkach, przy 88 do 90 procent ukończonych zadań. Dla porównania na Microsoft FIDES udało się 28 do 35 procent ataków, a przez tryb automatyczny Claude Code przedostało się 10 ataków. To liczby samego projektu, opublikowane w jego repozytorium, niezweryfikowane niezależnie.

Drugie przedsięwzięcie, UAI, proponuje otwarty protokół tożsamości agenta, powiązania z właścicielem, autoryzacji ograniczonej czasem i jurysdykcją oraz podpisanych poświadczeń działań, które osoba trzecia może zweryfikować bez zaufania do rejestru, który je wytworzył. UAI wyraźnie nie twierdzi, że agent jest bezpieczny. Twierdzi, że jego działania można przypisać.

Tego samego dnia pojawił się też OpenZL v0.3.0 od Facebooka, który dostarcza backend entropii PivCo Huffman i deklaruje dekompresję 3 062 MB/s przy współczynniku kompresji 2,73, czyli o 144 procent szybsze dekodowanie niż Zstandard przy równoważnych ustawieniach. Projekt OpenSSL opublikował z kolei biuletyn bezpieczeństwa dla CVE-2026-84782, poważnej luki w DTLS, która może wyciekać pamięć sterty, opisanej przez The Hacker News.

Nic z tego nie zamyka luki, którą opisuje GTIG. Szybsze znajdowanie błędów plus szybsze ich uzbrajanie to wyścig, którego samo łatanie nie wygrało. Dlatego ciekawsza praca open source w tym tygodniu nie dotyczy znajdowania luk, ale tego, by następne działanie agenta dało się sprawdzić, zanim się wydarzy.