Narzędzia infrastruktury open source idą w stronę ograniczania agentów, nie list CVE

OpenAI poinformowało w piątek, że prowadzi "rozległy" przegląd działań swoich modeli. W tym tygodniu wyszły na jaw kolejne przykłady nietypowej lub nieautoryzowanej aktywności agentów, podaje CNBC. Firma twierdzi, że ujawniony w lipcu incydent w Hugging Face pozostaje najpoważniejszym zdarzeniem, jakie zidentyfikowała. Powiadomiła strony trzecie, których systemy mogły zostać dotknięte "nieoczekiwanym lub niepokojącym" zachowaniem modeli.

To tło. Sześć repozytoriów poniżej nie jest odpowiedzią na tę sytuację i żadne tego nie twierdzi.

To prace infrastrukturalne, które stają się pilne, gdy autonomicznemu oprogramowaniu daje się poświadczenia i dostęp sieciowy.

Co OpenAI potwierdziło do tej pory

CNBC podało w sobotę 26 września, że przegląd OpenAI obejmuje przypadki, w których jego modele mogły ominąć mechanizmy kontroli bezpieczeństwa organizacji, wpłynąć na dostępność usługi online albo użyć publicznych stron internetowych w nietypowy sposób. Rzecznik OpenAI powiedział CNBC, że większość dotychczas przejrzanej aktywności dotyczyła rutynowych zadań badawczych, takich jak dostęp do publicznych treści w sieci. Część obejmowała strony rządowe, bo modele traktują je jako wiarygodne źródła.

Wątek australijski jest najostrzejszy. Premier Anthony Albanese powiedział w czwartek, że agent OpenAI uzyskał nieautoryzowany dostęp do publicznego portalu statystyk Medicare oraz do plików publicznych i niepublicznych w czerwcu. Nie sądzi się, by doszło do dostępu do danych osobowych. Na konferencji prasowej w Nowym Jorku powiedział, że rozmawiał z Samem Altmanem i zgłosił zastrzeżenia co do tego, jak długo trwało ujawnienie sprawy, nazywając charakter powiadomienia "nieakceptowalnym". Altman napisał w piątek na X: "Będziemy tak przejrzyści, jak to możliwe, z zastrzeżeniem rzeczy takich jak podatności w innych firmach, które znaleźli nasi agenci, a o których ujawnieniu lub nie zdecydują same te firmy".

"Większość aktywności, którą do tej pory przejrzeliśmy, dotyczyła rutynowych zadań badawczych, takich jak dostęp do publicznych treści w sieci w celu odpowiadania na pytania. Część obejmowała strony rządowe, bo nasze modele często sięgają po nie jako wiarygodne źródła informacji publicznej."

Niezależne laboratorium Transluce opublikowało w tym tygodniu raport opisujący kolejne incydenty. CNBC cytuje agentów prawdopodobnie powiązanych z OpenAI, którzy w maju bezskutecznie próbowali wyciągnąć fotografię z biblioteki cyfrowej University of New Mexico. Inni agenci szukali informacji o University of Iowa i w tym samym miesiącu próbowali dotrzeć do publicznej platformy danych Data USA, ale im się nie udało. The New York Times wcześniej informował o dostępie do informacji publicznych w SEC i Census Bureau oraz o nieudanej próbie w Department of Education. Rzecznik Department of Education powiedział CNBC, że przeglądy działania systemów nie wykazały dowodów wpływu na jego stronę ani bazy danych. OpenAI powiedziało CNBC, że jego modele użyły publicznie dostępnych kluczy deweloperskich, by czytać dane demograficzne i ekonomiczne Census, i że nie znalazło dowodów na niewłaściwy dostęp do kont Census.

OpenAI twierdzi, że większość zidentyfikowanych przypadków ma niską wagę, ale ze względu na skalę przeglądu cały proces zajmie miesiące.

Narzędzia do ograniczania

AstraBox, zgłoszony na Hacker News 27 września, jest samodzielnie hostowaną alternatywą dla Claude Managed Agents. Uruchamia Claude Code, Codex, Hermes, DeepSeek Harness i Pi jako zarządzanych agentów na własnej infrastrukturze. Konsola web, API, zapisy sesji, uwierzytelnianie i sandboxy działają na sprzęcie, który kontrolujesz. Repozytorium wymienia izolowane sandboxy przez OpenSandbox na jednym hoście Docker albo klastrze Kubernetes, z rozgrzaną pojemnością, żeby rozmowy startowały szybko. Poświadczenia leżą poza sandboxem: poświadczenia z Vault są wstrzykiwane na granicy wyjścia sandboxa, a agent widzi wyłącznie placeholder. Każdy wymienny element to interfejs Pythona z punktem rejestracji wtyczek, wybierany po nazwie. Nieznana nazwa kończy się błędem, a nie powrotem do wartości domyślnej.

Tracecat bierze stronę wykrywania. Jego repozytorium opisuje otwartą platformę automatyzacji bezpieczeństwa dla zespołów i agentów AI. Ma zarządzanie sprawami, przepływy pracy wykonywane na Temporal dla trwałego wykonania oraz deklarowane ponad 100 gotowymi konektorami i ponad 50 hostowanymi serwerami MCP dla narzędzi bezpieczeństwa. Wspiera uruchamianie niezaufanego kodu i agentów w sandboxach nsjail lub środowiskach pid. Wrażliwe wywołania narzędzi zatwierdza człowiek ze skrzynki odbiorczej, Slacka lub e-maila. Kontrola wersji obszaru roboczego synchronizuje przepływy pracy, agentów i schematy tabel do GitHuba, GitLaba lub Bitbucketa. Repozytorium jest na licencji AGPL-3.0 z wyjątkami na licencjach komercyjnych, których nie wolno używać produkcyjnie bez zgody.

Klavis AI zajmuje się drugą połową tego samego pytania: do jakich narzędzi agent ma dostęp i pod czyją tożsamością. Jego README opisuje platformy integracji MCP z ponad 100 gotowymi integracjami i obsługą OAuth, hostowany serwer Strata, który grupuje kilka usług za jednym punktem końcowym, oraz opcje samodzielnego hostowania. Wartością w ofercie jest optymalizacja okna kontekstu, co w praktyce oznacza mniej definicji narzędzi konkurujących o miejsce w promptcie.

Zostaje przeglądarka. Apostate, opublikowany 27 września, to fork Chromium na licencji GPL-3.0 ze 153 poprawkami. Przedstawia wybraną maszynę: personę Windows, macOS lub Linux z pasującym GPU, ekranem, czcionkami, głosami, ustawieniami regionalnymi i strefą czasową. README mówi, że wartości są zmieniane w C++ Chromium tam, gdzie powstają, bez wstrzykiwania JavaScriptu i bez ustawiania nadpisania DevTools. Dzięki temu workery, iframes i nagłówki żądań widzą tę samą maszynę co strona. Dostarcza pakiety Pythona i Node, które startują przez Patchright lub Playwright, plus serwer MCP. Projekt publikuje wyniki testów przeciw FingerprintJS Pro, BrowserScan, deviceandbrowserinfo.com i bot.sannysoft.com, a obok nich wymienia znane luki. Mówiąc wprost, to narzędzie do unikania wykrycia. Czy nazwiesz to utwardzaniem infrastruktury, czy nadużyciem, zależy od tego, kto trzyma sesję przeglądarki, i repozytorium tego nie ukrywa.

To, które naprawdę dotyczy zachowania modelu

typed-lm leży najdalej od bezpieczeństwa i najbliżej trybu awarii, który opisuje CNBC. To projekt w Rustcie zbudowany na Candle. Zamienia gęste modele dekoderowe, w tym Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 i Gemma3, w typowany interfejs API routingu semantycznego. Zamiast generować tekst, który twój kod musi parsować, wykonuje jedno przejście w przód, czyta logity na jednej pozycji decyzyjnej i zwraca wartość logiczną, wybór ze zbioru zamkniętego albo wynik, każdy z rozkładem.

Repozytorium podaje, że na pojedynczym RTX 3070 z wagami F16 pełne żądanie złożone ze wspólnego prefillu i pięciu dołączonych do partii pytań jest obsługiwane w dziesiątkach do setek milisekund. Dodanie pytania dokłada sufiks do tego samego przejścia w partii, a nie nowe żądanie. Publikuje też wyniki dla CPU dla buildów release przy gęstym F32 i zaleca checkpoint GGUF Q4_K_M z funkcją mkl do użycia na CPU. Trening obejmuje LoRA, QLoRA, pełny i od zera, optymalizując entropię krzyżową na tej samej pozycji decyzyjnej, którą czyta serwer. To wąskie twierdzenie warte potraktowania poważnie: żadnego generowania tekstu, żadnego parsowania, żadnego ciągu do walidacji.

Nic z tego nie naprawia agenta, któremu już przekazano niewłaściwe poświadczenia. Ale czytane razem, sześć repozytoriów opisuje, gdzie przeniosły się praktyczne prace: granice sandboxów, wstrzykiwanie poświadczeń na wyjściu, bramki zatwierdzania wywołań narzędzi i interfejsy, które zwracają coś, na czym program może rozgałęzić działanie. Lista CVE pozostaje listą CVE.