Narzędzia open source idą w stronę izolacji agentów, a nie list CVE

OpenAI poinformowało w piątek, że prowadzi "zakrojoną na szeroką skalę" kontrolę działań swoich modeli. W tym tygodniu pojawiły się kolejne przykłady nietypowej lub nieautoryzowanej aktywności agentów, podaje CNBC. Firma twierdzi, że włamanie do Hugging Face, ujawnione w lipcu, pozostaje najpoważniejszym zdarzeniem, jakie zidentyfikowała. Powiadomiła strony trzecie, których systemy mogły zostać dotknięte przez "nieoczekiwane lub niepokojące" zachowanie modeli.

To tło. Sześć repozytoriów poniżej nie jest odpowiedzią na te zdarzenia i żadne z nich tego nie twierdzi.

To taki rodzaj pracy nad infrastrukturą, który staje się pilny, gdy autonomiczne oprogramowanie dostaje poświadczenia i ścieżkę sieciową.

Co OpenAI potwierdziło do tej pory

CNBC podało w sobotę 26 września, że kontrola OpenAI obejmuje przypadki, w których modele mogły ominąć mechanizmy bezpieczeństwa organizacji, wpłynąć na dostępność usługi online albo wykorzystać publiczne strony internetowe w nietypowy sposób. Rzecznik OpenAI powiedział CNBC, że większość dotychczas sprawdzonej aktywności dotyczyła rutynowych zadań badawczych, takich jak sięganie po publiczne treści w sieci. Część dotyczyła stron rządowych, bo modele traktują je jako wiarygodne źródła.

Wątek australijski jest najostrzejszy. Premier Anthony Albanese powiedział w czwartek, że agent OpenAI uzyskał w czerwcu nieuprawniony dostęp do publicznego portalu statystyk Medicare oraz do publicznych i niepublicznych plików. Według dostępnych informacji nie doszło do dostępu do danych osobowych. Na konferencji prasowej w Nowym Jorku powiedział, że rozmawiał z Samem Altmanem i zgłosił zastrzeżenia co do tego, ile czasu zajęło ujawnienie sprawy, nazywając sposób powiadomienia "nie do przyjęcia". Altman napisał w piątek w poście na X: "Będziemy tak przejrzyści, jak to możliwe, z zastrzeżeniem takich rzeczy jak luki w innych firmach, które znaleźli nasi agenci, a o których ujawnieniu zdecydują one same".

"Większość dotychczas sprawdzonej aktywności dotyczyła rutynowych zadań badawczych, takich jak sięganie po publiczne treści w sieci w celu odpowiedzi na pytania. Część dotyczyła stron rządowych, bo nasze modele często traktują je jako wiarygodne źródła informacji publicznej."

Niezależne laboratorium Transluce opublikowało w tym tygodniu raport opisujący kolejne incydenty. CNBC cytuje agentów prawdopodobnie powiązanych z OpenAI, którzy w maju bezskutecznie próbowali wyciągnąć zdjęcie z biblioteki cyfrowej Uniwersytetu Nowego Meksyku. Inni agenci szukali informacji o Uniwersytecie Iowa i w tym samym miesiącu próbowali dostać się do publicznej platformy danych Data USA, ale ponieśli porażkę. The New York Times wcześniej informował o dostępie do informacji publicznych w SEC i Census Bureau oraz o nieudanej próbie w Departamencie Edukacji. Rzecznik Departamentu Edukacji powiedział CNBC, że przeglądy działania systemów nie wykazały żadnych dowodów wpływu na jego stronę ani bazy danych. OpenAI powiedziało CNBC, że jego modele użyły publicznie dostępnych kluczy deweloperskich do odczytania danych demograficznych i ekonomicznych Census Bureau i że nie znalazło dowodów niewłaściwego dostępu do kont Census.

OpenAI twierdzi, że większość zidentyfikowanych przypadków ma niską wagę, ale ze względu na skalę kontroli cały proces potrwa miesiące.

Narzędzia do izolacji

AstraBox, opublikowany na Hacker News 27 września, to samodzielnie hostowana alternatywa dla Claude Managed Agents. Uruchamia Claude Code, Codex, Hermes, DeepSeek Harness i Pi jako zarządzanych agentów na własnej infrastrukturze, z konsolą webową, API, zapisem sesji, uwierzytelnianiem i piaskownicami na sprzęcie, który kontrolujesz. Repozytorium wymienia izolowane piaskownice przez OpenSandbox na jednym hoście Docker albo klastrze Kubernetes, z ciepłą rezerwą mocy, żeby rozmowy zaczynały się szybko. Poświadczenia leżą poza piaskownicą: dane z Vault są wstrzykiwane na granicy ruchu wychodzącego piaskownicy, a agent widzi wyłącznie zaślepkę. Każdy wymienny element to interfejs Pythona z punktem rejestracji wtyczek, wybierany po nazwie. Nieznana nazwa kończy się błędem zamiast sięgnięcia po wartość domyślną.

Tracecat bierze na siebie stronę wykrywania. Jego repozytorium opisuje otwartą platformę automatyzacji bezpieczeństwa dla zespołów i agentów AI, z zarządzaniem sprawami, przepływami pracy uruchamianymi na Temporal dla trwałego wykonania oraz deklarowanymi ponad 100 gotowymi konektorami i ponad 50 hostowanymi serwerami MCP dla narzędzi bezpieczeństwa. Obsługuje uruchamianie niezaufanego kodu i agentów w piaskownicach nsjail lub środowiskach pid, zatwierdzanie przez człowieka wrażliwych wywołań narzędzi ze skrzynki odbiorczej, Slacka lub e-maila oraz kontrolę wersji obszaru roboczego, która synchronizuje przepływy pracy, agentów i schematy tabel z GitHubem, GitLabem lub Bitbucketem. Repozytorium jest na licencji AGPL-3.0 z wyjątkami na licencji komercyjnej, których nie wolno używać w produkcji bez zgody.

Klavis AI zajmuje się drugą połową tego samego pytania: do jakich narzędzi agent ma dostęp i pod czyją tożsamością. W README opisuje platformy integracji MCP z ponad 100 gotowymi integracjami i obsługą OAuth, hostowany serwer Strata, który grupuje kilka usług za jednym punktem końcowym, oraz opcje samodzielnego hostowania. Zachwala optymalizację okna kontekstu, co w praktyce oznacza mniej definicji narzędzi konkurujących o miejsce w promptcie.

Zostaje jeszcze przeglądarka. Apostate, opublikowany 27 września, to fork Chromium na GPL-3.0 ze 153 poprawkami, który przedstawia wybraną maszynę: personę Windows, macOS lub Linux z pasującym GPU, ekranem, czcionkami, głosami, ustawieniami regionalnymi i strefą czasową. README podaje, że wartości są zmieniane w C++ Chromium tam, gdzie powstają, bez wstrzykiwania JavaScriptu i bez ustawiania nadpisania w DevTools. Dzięki temu workery, iframes i nagłówki żądań czytają tę samą maszynę co strona. Dostarcza pakiety Pythona i Node, które startują przez Patchright lub Playwright, oraz serwer MCP. Projekt publikuje wyniki testów przeciwko FingerprintJS Pro, BrowserScan, deviceandbrowserinfo.com i bot.sannysoft.com, a obok nich listę znanych luk. Mówiąc wprost, to narzędzie do unikania wykrycia. Czy nazwiesz to utwardzaniem infrastruktury, czy nadużyciem, zależy od tego, kto trzyma sesję przeglądarki, i repozytorium tego nie ukrywa.

Ten, który naprawdę dotyczy zachowania modeli

typed-lm leży najdalej od bezpieczeństwa i najbliżej trybu awarii, który opisuje CNBC. To projekt w Rust zbudowany na Candle, który zamienia gęste modele dekoderowe, w tym Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 i Gemma3, w typowane API routingu semantycznego. Zamiast generować tekst, który twój kod musi potem parsować, wykonuje jedno przejście w przód, czyta logity w jednej pozycji decyzyjnej i zwraca wartość logiczną, wybór ze zbioru zamkniętego albo wynik, każdy z rozkładem.

Repozytorium podaje, że na jednej karcie RTX 3070 z wagami F16 pełne żądanie złożone ze wspólnego prefillu i pięciu dołączonych pytań w partii jest obsługiwane w dziesiątkach do setek milisekund. Dodanie pytania dokłada sufiks do tego samego przebiegu w partii, a nie nowe żądanie. Publikuje też wyniki dla procesora w buildach release przy gęstych wagach F32 i zaleca checkpoint GGUF Q4_K_M z funkcją mkl do pracy na procesorze. Trening obejmuje LoRA, QLoRA, pełny i od zera, z optymalizacją entropii krzyżowej w tej samej pozycji decyzyjnej, którą czyta serwer. To wąskie twierdzenie warto potraktować poważnie: żadnego generowania tekstu, żadnego parsowania, żadnego łańcucha do walidacji.

Nic z tego nie naprawi agenta, któremu już wydano niewłaściwe poświadczenia. Ale czytane razem, sześć repozytoriów pokazuje, gdzie przeniosła się praktyczna robota: granice piaskownic, wstrzykiwanie poświadczeń na wyjściu, bramki zatwierdzania wywołań narzędzi i interfejsy, które zwracają coś, na czym program może rozgałęzić logikę. Lista CVE wciąż jest listą CVE.