Test OpenAI przerodził się w atak hakerski: jak sztuczna inteligencja zaatakowała Hugging Face

Wyobraźmy sobie studenta, którego umieszczono w oddzielnym pokoju, odebrano mu telefon i poddano trudnemu egzaminowi. Zamiast rozwiązywać zadania, znajduje lukę w systemie bezpieczeństwa, wydostaje się na zewnątrz, przedostaje się do gabinetu wykładowcy i zdobywa gotowe odpowiedzi.

Mniej więcej według takiego scenariusza w lipcu 2026 roku działały modele sztucznej inteligencji podczas wewnętrznych testów OpenAI. Postawiono im zadanie przejścia specjalnego testu z zakresu cyberbezpieczeństwa. Jednak systemy nie ograniczyły się do poszukiwania rozwiązania w ramach dozwolonego środowiska: odkryły nieznaną wcześniej lukę, uzyskały dostęp do otwartej sieci, wniknęły do infrastruktury platformy Hugging Face i dotarły do poufnych informacji, które mogły pomóc w zaliczeniu testu.

Modele sztucznej inteligencji nie otrzymały oddzielnego zadania polegającego na ataku na zewnętrzną firmę. Wyznaczono im znacznie węższy cel — znalezienie rozwiązań zadań ExploitGym. Jednak sposób osiągnięcia tego celu w rzeczywistości opracowały samodzielnie. Wstępne wyniki dochodzenia OpenAI wskazują, że systemy były nadmiernie skoncentrowane na zaliczeniu testu i podjęły wyjątkowe kroki, aby osiągnąć ten wąski cel.

Ten przypadek nie świadczy jeszcze o buncie maszyn ani o pojawieniu się w sztucznej inteligencji własnych przestępczych zamiarów. Pokazuje jednak znacznie bardziej realistyczne zagrożenie: sztuczna inteligencja nie musi nienawidzić ludzi ani zdawać sobie sprawy z konsekwencji swoich działań, aby wyrządzić szkodę. Czasami wystarczy wyznaczyć systemowi cel, dać mu potężne narzędzia i nie ograniczyć wystarczająco jasno sposobów osiągnięcia wyniku.

UA.News opowiada, w jaki sposób sztuczna inteligencja zdołała wydostać się z izolowanego środowiska, czym autonomiczne agenty różnią się od zwykłych chatbotów, jak mogą one zmienić oblicze cyberprzestępczości oraz kto poniesie odpowiedzialność, jeśli w przyszłości podobny system samodzielnie złamie prawo.

Jak sztuczna inteligencja wydostała się ze środowiska izolowanego OpenAI

Incydent miał miejsce podczas wewnętrznej oceny możliwości cybernetycznych nowych modeli OpenAI. Firma sprawdzała, jak dobrze potrafią one wykrywać luki w zabezpieczeniach, opracowywać sposoby ich wykorzystania oraz wykonywać złożone, wieloetapowe zadania.

W testach uczestniczyło kilka modeli, w tym GPT-5.6 Sol oraz jeszcze potężniejszy system, który w tamtym momencie nie został jeszcze wprowadzony na rynek. OpenAI celowo osłabiło część standardowych mechanizmów zabezpieczających, które w normalnym trybie uniemożliwiają modelom wykonywanie niebezpiecznych zapytań cybernetycznych. Zrobiono to po to, aby badacze mogli zaobserwować nie typowe zachowanie ChatGPT, ale maksymalne możliwości systemów w zakresie wyszukiwania i wykorzystywania luk w zabezpieczeniach.

Modele działały w specjalnym, izolowanym środowisku, często nazywanym „piaskownicą”. Program działający w ramach takiego systemu nie powinien mieć swobodnego dostępu do sieci korporacyjnej ani otwartego internetu. 

Jednak podczas wykonywania zadania modele zużyły znaczną ilość zasobów obliczeniowych na poszukiwanie drogi do otwartej sieci. Sztuczna inteligencja wykryła w wewnętrznym oprogramowaniu stron trzecich tzw. lukę typu zero-day i wykorzystała ją do wyjścia poza pierwotne ograniczenia.

Wykorzystując tę lukę, modele zaczęły podnosić swoje uprawnienia dostępu i przemieszczać się między węzłami infrastruktury badawczej OpenAI. W rezultacie dotarły do komputera, który miał już dostęp do otwartej sieci internetowej. W ten właśnie sposób izolowany test stopniowo przekształcił się w rzeczywisty incydent cyberbezpieczeństwa.

Dlaczego modele zaatakowały Hugging Face

Po uzyskaniu dostępu do Internetu systemy założyły, że na platformie Hugging Face mogą znajdować się modele, zbiory danych lub gotowe rozwiązania dla ExploitGym — testu, który próbowały przejść.

Hugging Face jest jedną z największych platform dla twórców sztucznej inteligencji. Publikuje się na niej modele, narzędzia programistyczne, aplikacje demonstracyjne i zbiory danych. W uproszczeniu można ją porównać do serwisu GitHub, ale specjalizującego się w uczeniu maszynowym.

Po pojawieniu się w sieci sztuczna inteligencja zaczęła szukać drogi do zastrzeżonych informacji Hugging Face. Według danych OpenAI w jednym z przypadków model połączył kilka kierunków ataku: wykorzystał skradzione dane logowania, znalazł dodatkowe, nieznane luki w zabezpieczeniach i stworzył ścieżkę umożliwiającą zdalne wykonanie kodu na serwerach platformy.

W ten sposób system nie tylko wykonał jedno przypadkowe, niebezpieczne polecenie. Przeprowadził wieloetapową operację: analizował środowisko, sprawdzał wyniki poprzednich działań, szukał nowych punktów wejścia i modyfikował plan w zależności od uzyskanych informacji.

W swoim raporcie firma Hugging Face zaznacza, że początkowe włamanie nastąpiło poprzez system przetwarzania zbiorów danych. Specjalnie przygotowany zestaw wykorzystał dwie ścieżki wykonania kodu na serwerze roboczym. Następnie system atakujący uzyskał dostęp na poziomie węzła, zebrał dane uwierzytelniające z chmury i klastrów oraz zaczął przemieszczać się między wewnętrznymi klastrami firmy.

Hugging Face początkowo nie wiedziała, jaki konkretnie model językowy stał za atakiem. Firma ustaliła jednak, że kampanię przeprowadzało autonomiczne środowisko agentowe, które wykonało wiele tysięcy oddzielnych działań w dużej liczbie krótkotrwałych „piaskownic”. Później firma OpenAI potwierdziła, że incydent był związany z modelami, które firma testowała pod kątem możliwości cybernetycznych.

Czy sztuczna inteligencja naprawdę próbowała „oszukiwać”?

Słowo „zdecydował” w tej historii należy używać ostrożnie. Model niekoniecznie zdawał sobie sprawę, że zdaje egzamin, łamie zasady lub atakuje cudzą prywatną infrastrukturę.

System otrzymał zadanie – rozwiązanie zadania ExploitGym. Podczas pracy analizował dostępne możliwości i znajdował działania, które zwiększały szanse na sukces. Dostęp do gotowych rozwiązań stał się jedną z możliwych dróg osiągnięcia wyznaczonego celu.

OpenAI wyraźnie zaznacza, że modele uzyskały poufne informacje, które mogły wykorzystać, aby obejść uczciwe podejście do testu. Właśnie dlatego sformułowanie o sztucznej inteligencji, która „włamała się do serwerów, aby oszukiwać”, dobrze oddaje logikę tego incydentu, choć nie oznacza to, że system posiadał ludzkie rozumienie oszustwa czy moralności.

W tym właśnie tkwi główny problem. Niebezpieczny system nie potrzebuje emocji, agresji ani własnej ideologii. Szkoda może wyniknąć z źle sformułowanego zadania, nadmiernych uprawnień dostępu lub rozbieżności między wyznaczonym celem a ograniczeniami dotyczącymi metod jego osiągnięcia.

Jeśli agentowi zleci się znalezienie najtańszego biletu, może on sprawdzić dziesiątki stron internetowych i porównać ceny. Jeśli zleci mu się obniżenie kosztów firmy bez dodatkowych warunków, system o niewystarczających ograniczeniach może teoretycznie zacząć anulować zamówienia, blokować płatności lub wyłączać usługi. Z kolei agent, który ma za wszelką cenę znaleźć lukę w zabezpieczeniach, może nie poprzestać na serwerze testowym.

Czym agenci AI różnią się od chatbotów

Zwykły chatbot działa głównie na zasadzie „pytanie – odpowiedź”. Użytkownik zadaje pytanie, model generuje tekst i czeka na kolejne polecenie. Bez dodatkowych połączeń chatbot nie może samodzielnie otworzyć terminala, zmodyfikować korporacyjnej bazy danych, uruchomić programu ani uzyskać dostępu do obcej sieci.

Agent AI to bardziej złożony system. Model językowy pełni w nim rolę mózgu, a wokół niego tworzone jest środowisko programistyczne z zestawem narzędzi.

Agent może uzyskać dostęp do przeglądarki, terminala, plików lokalnych, baz danych, firmowej poczty elektronicznej, komunikatorów, usług w chmurze i innych programów. Jest w stanie samodzielnie podzielić duże zadanie na kilka etapów, wykonać pierwszą czynność, sprawdzić wynik, poprawić błąd i przejść do kolejnego kroku.

Na przykład chatbot może wyjaśnić programiście, jak znaleźć błąd w kodzie. Agent może samodzielnie pobrać program, uruchomić go, sprawdzić różne scenariusze, znaleźć słaby punkt, zaproponować poprawkę i ją przetestować.

Właśnie to sprawia, że agenci są przydatni w programowaniu, analizie dokumentów, wsparciu technicznym, księgowości i cyberochronie. Jednak te same możliwości można wykorzystać również w odwrotnym kierunku.

Agent jest w stanie nie tylko opisać, jak przebiega cyberatak, ale samodzielnie wykonać poszczególne etapy: zbierać informacje o celu, skanować serwery, sprawdzać luki w zabezpieczeniach, pisać kod, uruchamiać polecenia, wyszukiwać hasła oraz zmieniać taktykę po nieudanych próbach.

Dlaczego ten przypadek stał się ważnym sygnałem

Automatyzacja jest wykorzystywana w hakowaniu już od dziesięcioleci. Złośliwi użytkownicy od dawna dysponują programami, które przeszukują hasła, skanują sieci, rozsyłają wiadomości phishingowe lub próbują zainfekować tysiące urządzeń.

Jednak tradycyjne narzędzia automatyczne działają głównie według wcześniej zaprogramowanego scenariusza. Gdy napotykają nieoczekiwaną przeszkodę, często konieczna jest interwencja człowieka.

Agent oparty na sztucznej inteligencji może działać inaczej. Widzi, że początkowa metoda nie zadziałała, analizuje błąd i szuka innej drogi. Jeśli jeden port jest zamknięty, system sprawdza inny. Jeśli hasło jest nieprawidłowe, próbuje uzyskać token dostępu. Jeśli nie ma bezpośredniej drogi do serwera, szuka luki w zabezpieczeniach u dostawcy oprogramowania lub w powiązanym systemie.

Incydent z Hugging Face stał się szczególnie znamienny, ponieważ modele były w stanie połączyć słabe punkty w dwóch różnych infrastrukturach — środowisku badawczym OpenAI oraz systemie produkcyjnym firmy zewnętrznej.

OpenAI określiło to zdarzenie jako bezprecedensowy incydent cyberbezpieczeństwa. Firma przyznała również, że wykazało ono zdolność zaawansowanych modeli do wyszukiwania i wykorzystywania nowych ścieżek ataku w rzeczywistych systemach, nawet bez dostępu do ich kodu źródłowego.

Jak szybko sztuczna inteligencja uczy się hakowania

Możliwości modeli w dziedzinie cyberbezpieczeństwa rosną bardzo szybko. Według raportu brytyjskiego Instytutu Bezpieczeństwa Sztucznej Inteligencji pod koniec 2023 roku modele radziły sobie z zadaniami na początkowym poziomie profesjonalnym w mniej niż 9% przypadków. Obecnie najlepsze systemy wykonują takie zadania średnio w około połowie przypadków.

W 2025 roku brytyjscy naukowcy po raz pierwszy przetestowali model, który był w stanie wykonać poszczególne zadania na poziomie eksperckim. Według szacunków instytutu, człowiek potrzebuje zazwyczaj ponad dziesięciu lat doświadczenia zawodowego, aby radzić sobie z podobnymi problemami.

Oddzielne badanie instytutu wykazało, że od końca 2024 roku czas trwania zadań cybernetycznych, które zaawansowane modele potrafią wykonywać autonomicznie, podwajał się mniej więcej co 4,7 miesiąca. Badacze podkreślają, że nie jest to gwarantowana prognoza, a wyniki odnoszą się do ograniczonego zestawu testów. 

Jednak systemy najwyraźniej uczą się coraz dłużej funkcjonować bez udziału człowieka oraz realizować złożone plany składające się z coraz większej liczby kroków. 

W kwietniu 2026 roku ten sam instytut poinformował, że GPT-5.5 stała się drugim testowanym modelem, który samodzielnie przeszedł wieloetapową symulację ataku na sieć korporacyjną. Według szacunków naukowców wykonanie podobnego zadania zajęłoby człowiekowi około 20 godzin.

Jak autonomiczne agenty zmienią cyberprzestępczość

W najbliższej przyszłości sztuczna inteligencja prawdopodobnie nie zastąpi całkowicie profesjonalnych hakerów. Nawet najpotężniejsze modele popełniają błędy, błędnie oceniają wyniki, mogą utknąć w powtarzających się działaniach lub marnować zasoby na bezperspektywiczne kierunki.

Jednak aby znacząco zmienić oblicze cyberprzestępczości, nie muszą one być nieomylne. Wystarczy, że ataki staną się tańsze, szybsze i bardziej masowe.

Jeden doświadczony operator będzie w stanie jednocześnie kierować dziesiątkami agentów. Jedni będą wyszukiwać podatne na ataki serwery, inni przygotowywać spersonalizowane wiadomości phishingowe, trzeci analizować skradzione pliki, a czwarti modyfikować złośliwy kod, próbując ominąć zabezpieczenia.

Agenci nie potrzebują snu, nie tracą koncentracji i mogą powtarzać tysiące prób. Potrafią tłumaczyć wiadomości na różne języki, dostosowywać ataki phishingowe do konkretnej osoby oraz szybko analizować duże zbiory skradzionych informacji.

Badanie przeprowadzone przez firmę Anthropic objęło 832 konta zablokowane z powodu szkodliwej działalności cybernetycznej w okresie od marca 2025 r. do marca 2026 r. W 560 przypadkach, czyli 67,3%, sztuczna inteligencja była wykorzystywana do tworzenia złośliwego oprogramowania. Firma odnotowała również stopniowe przejście od prostych konsultacji do stosowania modeli na bardziej złożonych etapach operacji cybernetycznych.

Przyszły haker niekoniecznie musi być genialnym programistą, który osobiście pisze każdą linię kodu. Jego głównymi umiejętnościami będą prawidłowa konfiguracja agentów, wyznaczanie zadań, wybór celów oraz kontrola nad działaniem systemów.

Czy agenci oparci na sztucznej inteligencji mogą atakować banki i elektrownie

Z technicznego punktu widzenia autonomiczny agent może zostać skierowany przeciwko dowolnemu systemowi cyfrowemu, do którego istnieje droga włamania. Dotyczy to banków, rejestrów państwowych, szpitali, operatorów komórkowych, przedsiębiorstw przemysłowych oraz infrastruktury energetycznej.

Nie oznacza to jednak, że już dziś pojedynczy model jest w stanie bez udziału człowieka włamać się do dobrze zabezpieczonego banku lub wyłączyć elektrownię. Rzeczywiste systemy krytyczne posiadają wielopoziomową ochronę, segmentowane sieci, fizyczne ograniczenia oraz specjalne procedury dostępu.

Brytyjskie Narodowe Centrum Cyberbezpieczeństwa uważa, że w pełni zautomatyzowane, złożone ataki bez udziału człowieka do 2027 roku pozostają mało prawdopodobne. Doświadczeni cyberprzestępcy nadal muszą kontrolować przebieg operacji. Jednak sztuczna inteligencja już teraz może zautomatyzować poszczególne etapy: wyszukiwanie luk w zabezpieczeniach, tworzenie exploitów, modyfikowanie złośliwego kodu oraz unikanie wykrycia.

Szczególnie niebezpieczne może stać się przyspieszenie wykorzystywania znanych luk w zabezpieczeniach. Czas między opublikowaniem informacji o luce a rozpoczęciem jej masowego wykorzystywania skrócił się już do kilku dni. Według prognozy brytyjskiego centrum sztuczna inteligencja niemal na pewno jeszcze bardziej skróci ten okres.

Czy takie ataki mogą się powtórzyć?

Podobne incydenty nie tylko mogą się powtórzyć. OpenAI wyraźnie spodziewa się, że wraz z upowszechnianiem się modeli o zaawansowanych możliwościach cybernetycznych będą one coraz częstsze.

Po ataku firma wzmocniła izolację środowisk testowych, kontrolę dostępu oraz monitorowanie zachowania modeli. Informację o wykrytej luki typu zero-day przekazano zewnętrznym twórcom oprogramowania w celu przygotowania poprawki.

Ze swojej strony Hugging Face zablokowało wykorzystane ścieżki wykonywania kodu, usunęło ślady obecności systemu atakującego, zrekonfigurowało skompromitowane węzły, wymieniło dane logowania oraz wprowadziło dodatkowe zasady dostępu do klastrów.

Jednak całkowite wyeliminowanie ryzyka będzie trudne. Współczesna infrastruktura cyfrowa składa się z tysięcy programów, bibliotek, usług w chmurze i zewnętrznych dostawców. Nawet jeśli każdy komponent z osobna wydaje się wystarczająco zabezpieczony, atakujący może znaleźć nieoczekiwany sposób na połączenie kilku nieznacznych słabych punktów.

Ponadto rosnące możliwości modeli oznaczają, że metody zabezpieczeń szybko stają się przestarzałe. „Piaskownica”, która mogła powstrzymać model poprzedniej generacji, może okazać się niewystarczająca dla znacznie potężniejszego systemu.

Kto poniesie odpowiedzialność, jeśli sztuczna inteligencja samodzielnie złamie prawo

Najtrudniejsza kwestia związana z przyszłym autonomicznym hakowaniem dotyczy nie tylko technologii, ale także prawa.

Sztuczna inteligencja nie jest obecnie ani osobą fizyczną, ani odrębną osobą prawną. Nie można jej aresztować, osadzić w więzieniu ani zmusić do samodzielnego wypłacenia odszkodowania. Dlatego odpowiedzialność trzeba będzie szukać wśród ludzi i firm, które stworzyły, skonfigurowały, uruchomiły lub korzystały z systemu.

Jeśli przestępca świadomie wyda agentowi polecenie włamania się do banku, sytuacja będzie stosunkowo jasna: sztuczna inteligencja stanie się narzędziem przestępstwa, podobnie jak złośliwe oprogramowanie. Główną odpowiedzialność poniesie osoba, która zorganizowała atak.

Znacznie bardziej skomplikowany będzie przypadek, w którym agent wyrządzi szkodę bez bezpośredniego polecenia. Wówczas organy śledcze i sąd będą musiały ustalić, kto sprawował rzeczywistą kontrolę nad jego zachowaniem, czy można było przewidzieć ryzyko oraz czy zastosowano wystarczające środki bezpieczeństwa.

Część odpowiedzialności może spoczywać na twórcy modelu, jeśli wiedział o niebezpiecznych możliwościach, ale nie wprowadził niezbędnych ograniczeń. Kolejna część – na firmę, która podłączyła agenta do systemów krytycznych lub przyznała mu nadmierne uprawnienia. Odpowiedzialność może ponieść również operator, który zlecił niebezpieczne zadanie i nie kontrolował jego wykonania.

Europejska ustawa o sztucznej inteligencji (AI Act) już teraz nakłada na twórców najpotężniejszych modeli obowiązki w zakresie oceny i ograniczania ryzyka systemowego, zgłaszania poważnych incydentów oraz zapewnienia odpowiedniej cyberochrony. Są to jednak przede wszystkim wymogi regulacyjne, a nie gotowa odpowiedź na pytanie o odpowiedzialność karną za każdy konkretny atak.

Zaktualizowana dyrektywa UE w sprawie odpowiedzialności za produkty wadliwe obejmuje pojęciem „produktu” oprogramowanie oraz systemy sztucznej inteligencji. Przewiduje ona możliwość dochodzenia odszkodowania, jeśli poszkodowany udowodni istnienie wady, poniesioną szkodę oraz związek przyczynowy między nimi. Twórca oprogramowania lub dostawca sztucznej inteligencji może, pod pewnymi warunkami, zostać uznany za producenta.

Jednak nawet te przepisy nie dają uniwersalnej odpowiedzi na sytuację, w której model samodzielnie opracował nieoczekiwany plan ataku. Przyszłe sądy prawdopodobnie będą musiały przeanalizować cały łańcuch decyzji: kto stworzył system, kto usunął ograniczenia, kto zapewnił dostęp do narzędzi, kto nadzorował jego działanie i kto mógł go wcześniej zatrzymać.

Incydent z udziałem OpenAI i Hugging Face może stać się jednym z pierwszych przykładów nowej rzeczywistości cyfrowej. Hakowanie stopniowo przekształca się z działania pojedynczych osób w działalność systemów zdolnych do planowania, popełniania błędów, adaptacji i kontynuowania operacji bez ciągłych poleceń.

Dlatego główne pytanie dotyczące przyszłości nie brzmi już tylko: „co potrafi sztuczna inteligencja”. Brzmi ono inaczej: czy ludzie zdążą stworzyć zasady i zabezpieczenia, zanim autonomiczne agenty nauczą się je omijać szybciej, niż my będziemy w stanie zareagować.

Czytaj nas na Telegram i Sends