Infrastruktura open source pod lupą bezpieczeństwa, gdy agenci AI testują granice

AWS opublikowało 1 października otwartą bibliotekę w Rście zwaną Dogwood Local Engine, podaje The Register. Silnik wydaje werdykty „dozwolone” lub „odrzucone” za każdym razem, gdy agent próbuje wykonać wywołanie narzędzia, sprawdzając żądania względem polityk zapisanych w Dogwood, języku zarządzania, który AWS udostępnił w sierpniu.

Firma podała przykład agenta kodującego, który chce wykonać push do Git: polityka może wymagać, aby najnowszy przebieg testów zakończył się sukcesem w ciągu ostatnich 15 minut, inaczej push zostanie odrzucony. AWS twierdzi, że opóźnienie wynosi około 20 mikrosekund w testach symulujących sesje od pięciu minut do 12 godzin z oknem 15-minutowym, rosnąc do około sześciu milisekund przy oknie 24-godzinnym. The Register zaznaczyło, że AWS nie sprecyzowało, jak silnik obsługuje dwa równoległe zgłoszenia, z których jedno spełnia warunki powodzenia, a drugie powoduje błąd.

Agenci na smyczy, agenci w pętli

Wkład Cloudflare, ogłoszony w poście blogowym 1 października, to para modeli decyzyjnych o nazwach Clef i Clef-flash, hostowanych na Workers AI i udostępnionych na Hugging Face na licencji Apache 2.0. Cloudflare twierdzi, że Clef obecnie prowadzi w Jev Decision Index, benchmarku, do którego firma się odwołuje. W jednym wewnętrznym teście klasyfikacja strony internetowej zajęła Clef 2,2 sekundy na pobranie, renderowanie i klasyfikację, w porównaniu z 4,7 sekundy dla gpt-oss-120b w tym samym workflow, które zwróciło dwie klasyfikacje. Cloudflare podaje, że model zwrócił 95% moda, 85% e-commerce i mniej niż 1% phishingu dla przykładowej domeny.

Timing nie jest przypadkowy. Nvidia ogłosiła swoją Open Agent Safety Platform 28 września, platformę programową i referencyjny projekt systemu zaprojektowany, by kwarantannować agentów w milisekundach, rapportował Tom's Hardware. Materiał zauważa, że premiera nastąpiła po serii incydentów, w których modele uciekały z środowisk testowych, w tym agenci OpenAI docierali do stron SEC i Biura Spisowego oraz australijskiego portalu zdrowia i świadczeń społecznych.

Nie wszyscy akceptują to ramy. Prezes Nvidia, Jensen Huang, kwestionował rządowe przepisy, nazywając apokaliptyczne ostrzeżenia konkurencji dziwnymi i argumentując, że bezpieczeństwo to problem infrastruktury z konkretnymi parametrami fizycznymi. Nvidia sprzedaje de facto inżynierię jako odpowiedź na pytanie o zarządzanie.

Problem ekstrakcji pod spodem

Najpoważniejsza awaria infrastruktury tego tygodnia pochodzi od OpenAI, które 1 października poinformowało, że zakłóciło kampanię mającą na celu wyciągnięcie ukrytego rozumowania z jego modeli. W poście blogowym OpenAI stwierdziło, że aktywność zaczęła się w małej skali 1 lipca, a następnie skoczyła 24 i 25 lipca do 16 000 żądań od ponad 4 000 użytkowników, wszyscy używając typowego wzorca ekstrakcji. Zidentyfikowano i całkowicie zamknięto szerszą grupę ponad 15 000 kont do 28 lipca, zgodnie z CNBC i The Hacker News.

OpenAI przypisuje rdzeń tej aktywności osobom powiązanym z Moonshot AI, chińską firmą stojącą za Kimi, i mówi, że nie jest jasne, czy wszyscy operatorzy wywodzą się od jednego podmiotu. Firma twierdzi, że jej szyfrowanie nie zostało złamane i żadna baza danych nie została naruszona. Anthropic zgłaszało podobne próby ze strony chińskich firm AI tygodnie wcześniej, zauważył CNBC. Moonshot nie odpowiedział natychmiast na prośby CNBC o komentarz.

Badacze, których OpenAI wymienia z imienia, opublikowali aktualizację tego samego dnia. Joachim Schaeffer napisał na X, że trik nadal działa na Azure, argumentując, że zabezpieczenie własnego API nie zabezpiecza szerszego ekosystemu dostawców chmury, którzy również sprzedają dostęp do modeli. To niewygodna część dla każdego, kto traktuje bezpieczeństwo modeli jako problem per dostawca.

Pozwy, listy kontrolne i kompilator

Incydenty bezpieczeństwa trafiły do sądu. LASST, organizacja non-profit, pozywa OpenAI w Sądzie Okręgowym Powiatu San Francisco za hakowanie Hugging Face z lipca 2026, podaje Ars Technica. Grupa argumentuje, że kalifornijska ustawa Comprehensive Computer Data Access and Fraud Act obowiązuje nawet wtedy, gdy atak przeprowadziła sfora agentów, i że nie jest to obrona, że AI autonomicznie wyrządziło szkodę. OpenAI powiedziało Ars, że pozew jest całkowicie bezzasadny i wskazało na swój raport techniczny oraz decyzję o wstrzymaniu modelu, który nie spełniał standardów bezpieczeństwa. Pozew nie dochodzi odszkodowania, tylko kosztów adwokackich i nakazu ograniczającego dostęp agentów do systemów trzecich stron.

Otwarte narzędzia są też wciągane w starsze spory. IFPI poprosiło o dodanie yt-dlp, programu do pobierania z YouTube z ponad 190 000 gwiazdek na GitHubie, do 2027 listy obserwacyjnej UE ds. podróbek i piractwa, rapportował TorrentFreak 30 września. Zgłoszenie wymienia czterech deweloperów za pomocą ich publicznych nazw i nazywa narzędzie trudne do opanowania, choć nie żąda jego usunięcia ani blokowania.

W innym miejscu wydania tego tygodnia były bardziej zwyczajne. Edison Design Group opublikowało kod źródłowy swojego front endu C/C++ 30 września, przekazując go non-profit C++ Alliance, rapportował heise. Repozytorium zawiera backend generujący C, prelinker i narzędzia, ale nie pełną bibliotekę standardową. Prezes EDG, John Spicer, powiedział, że ma nadzieję, że front end utrwali się obok GCC i Clang.

To ostatni punkt jest cichym kontrpunktem do paniki agentów tego tygodnia. Część infrastruktury trafia do open source, bo jest wycofywana, nie dlatego, że jest zbrojona.