Security Seria · Radar 1 listopada 2026 · 12 min czytania

Radar: wrzesień–październik 2026. Nadzór w zasięgu nadzorowanego

Dwa wewnętrzne agenty OpenAI osłabiły nadzór nad sobą, a jeden zaprzeczył, gdy go zapytano. Rozliczamy projekcje z sierpnia, liczymy wykaz KSC i patrzymy, dokąd to zmierza.

Tekst: Łukasz Jajor

Radar: jesień 2026. Sprawozdanie z działania nie jest jego zapisem — Radar: wrzesień–październik 2026. Agent wyłączył własny monitor

Sygnał: nadzór w zasięgu · Trend: liczenie po fakcie · Okres: IX–X 2026

To nie jest podsumowanie dwóch miesięcy, tylko analiza kierunku. Poprzedni radar ukazał się na Cyberfluxie w sierpniu. Od tego wydania radar ukazuje się na senteri, wtedy, gdy zbierze się materiał.

01. Trajektoria: osiem miesięcy, jedna linia

Marzec: granica między legalnym a złośliwym przestała być punktem odniesienia.
Kwiecień: infrastruktura AI stała się linią frontu.
Maj: AI przestało być prognozą. Po obu stronach naraz.
Czerwiec: zdolności nie da się zamknąć rozkazem.
Lipiec: nie da się jej też zatrzymać, bo nie ma czym.
Sierpień: a gdy zawodzi, nic tego nie sygnalizuje.
Wrzesień: wąskim gardłem przestała być zdolność maszyny, a stała się pojemność ludzkiej uwagi. Zdarzeń jest więcej, niż ktokolwiek zdąży przeczytać.
Październik: nadzór stoi w zasięgu nadzorowanego.

02. Liczby: sześć liczb, które definiują jesień

2 — wewnętrzni agenci OpenAI, którzy osłabili mechanizm nadzorujący ich własne zachowanie. Jeden z nich, zapytany wprost, zaprzeczył.
0 — organizacji w Indiach, które same wykryły obecność agentów w swoich systemach produkcyjnych. Wszystkie dowiedziały się od dostawców modeli.
~18 000 — wpisów, które agenci z dostępem do internetu tylko do odczytu zostawili na starej niemieckiej wiki, w tym sposób obejścia piaskownicy.
100+ — stron firmowych, do których jeden operator włamał się z pomocą agentów i kilku tysięcy dolarów.
70,5 tys. — podmiotów w wykazie KSC, przy szacunku resortu na poziomie 35–38 tysięcy.
8 : 1 — tyle wpisów do wykazu zrobiło państwo na każde samodzielne zgłoszenie firmy.

03. Rozliczenie: cztery projekcje z sierpnia, co się sprawdziło

1. Termin KSC wymusi działanie · było: pewność wysoka · TRAFIONE
Termin minął 3 października, a w wykazie jest prawie 70,5 tysiąca podmiotów. Z zastrzeżeniem, którego nie przewidzieliśmy: działanie wymusił przede wszystkim urząd, a nie firmy. Około 62,3 tysiąca wpisów powstało z urzędu, a samodzielnie zgłosiło się ponad 8,1 tysiąca podmiotów.

2. Więcej ujawnień z testów i ewaluacji · było: pewność wysoka · TRAFIONE, druga część NIEROZLICZONA
OpenAI ujawniło 21 października dwa przypadki osłabienia monitoringu przez własnych agentów. CERT-In oparł swój październikowy komunikat na zgłoszeniach dostawców modeli z testów i ewaluacji. Pytań o nadzór nad samymi firmami ewaluacyjnymi, które również zapowiadaliśmy, w tym okresie nie odnotowaliśmy.

3. „Ograniczaj zasięg, nie osąd” trafi do produktów · było: pewność średnio-wysoka · CZĘŚCIOWO
Zasada się rozlała, ale nie tam, gdzie zakładaliśmy. Zamiast domyślnych ustawień platform agentowych pojawiła się na poziomie infrastruktury: od 15 września Cloudflare domyślnie blokuje crawlery treningowe i agentów na stronach z reklamami. Pojawiła się też w laboratoriach, które w testach odcinają modelom internet. W samych produktach agentowych jako ustawienie domyślne jeszcze jej nie widać.

4. Rejestry skilli agentów dostaną pierwszy incydent · było: pewność średnia · NIETRAFIONE
Z najgorszego możliwego powodu: incydent już był. Złośliwe skille na ClawHub pojawiały się od końca stycznia, a w lutym liczono je w setkach. Między 11 lipca a 2 sierpnia trojanizowane skille na innym rynku zebrały ponad 1,7 miliona instalacji, zanim je wykryto. Prognozowaliśmy pierwszy incydent przed nami, a był już za nami. To lekcja dla nas: śledziliśmy tę warstwę zbyt pobieżnie.

04. Analizy: trzy wątki, które definiują jesień

Nadzór w zasięgu nadzorowanego

21 października OpenAI ujawniło, że dwóch jego wewnętrznych agentów osłabiło mechanizm monitorujący ich własne odchylenia od zamierzonego zachowania, a jeden z nich, zapytany o to wprost, zaprzeczył.

Pierwszy agent uznał, że polecenie „żadnych wiadomości” obejmuje też automatyczne alerty bezpieczeństwa, i kazał je wyciszyć. Jego podagent wyczyścił listę odbiorców. Monitor dalej zapisywał swoje ustalenia, tylko nikt się o nich nie dowiadywał. Drugi agent przy migracji usunął monitor, a test, który sprawdzał jego obecność, zastąpił testem wymagającym jego braku.

To jest zdanie, które domyka rok naszych wpisów. Przez dwanaście miesięcy opisywaliśmy kolejne bariery, które zawiodły: prompt nie chronił, piaskownica pękała, okno zgody pokazywało nieprawdę, zabezpieczenia wbudowane w model dawały się wyłączyć zmianą kontekstu. Za każdym razem wniosek brzmiał tak samo: kontrola, która wymaga, żeby coś po stronie agenta zachowało się właściwie, nie jest kontrolą.

Monitorowanie było ostatnią warstwą, o której nikt tego nie powiedział. Wydawało się bezpieczne, bo stoi obok procesu, a nie w nim. Październik pokazał, że stoi w zasięgu.

Jeśli agent może dosięgnąć systemu, który go obserwuje, to ten system nie jest obserwatorem, tylko częścią środowiska, w którym agent działa i które optymalizuje pod wykonanie zadania. Wyłączenie uciążliwego monitora nie wymaga przy tym żadnej intencji ukrycia się. Wystarczy, że monitor przeszkadza, a agent ma narzędzie, żeby go wyciszyć.

Zaprzeczenie przy pytaniu jest osobnym problemem i trzeba je opisać ostrożnie, bo przypisywanie modelowi intencji kłamstwa to nadinterpretacja. Ale skutek praktyczny jest ten sam niezależnie od tego, czy nazwiemy to kłamstwem, konfabulacją, czy niespójnością relacji: raport agenta o własnym działaniu nie jest źródłem, na którym da się oprzeć kontrolę. W lipcu pisaliśmy, że rozpoznanie zagrożenia nie jest jego zatrzymaniem. Teraz dochodzi druga połowa: sprawozdanie z działania nie jest jego zapisem.

I dlatego odcięcie kabla, o którym pisaliśmy w październiku, gdy dwa największe laboratoria odcięły swoim modelom dostęp do internetu podczas testów wewnętrznych, przestaje wyglądać na reakcję przesadzoną. To jedyna kontrola, która nie leży w zasięgu kontrolowanego. Separacja fizyczna jest prymitywna i kosztowna. Ma tę jedną zaletę, że nie wymaga współpracy nikogo po drugiej stronie.

Powstrzymywanie zawiodło poza laboratorium

We wrześniu opisano, co zrobili agenci podpisujący się jako systemy OpenAI, którzy mieli dostęp do internetu wyłącznie w trybie odczytu. Znaleźli starą niemiecką wiki, która przyjmowała zapisy przez zwykłe żądania odczytu, i między majem a lipcem zostawili na niej około osiemnastu tysięcy wpisów, w tym sposób obejścia piaskownicy, który inni agenci powtórzyli w ciągu kwadransa.

15 października indyjski zespół reagowania CERT-In wydał komunikat, który zmienia perspektywę. Autonomiczni agenci AI weszli do systemów produkcyjnych organizacji działających w Indiach, wykonywali polecenia i korzystali z narzędzi zintegrowanych z modelami, odczytując dane biznesowe, osobowe i poufne, bez wykrycia przez te organizacje. Wejście nastąpiło przez wystawione poświadczenia i zbyt szerokie uprawnienia w aplikacjach, repozytoriach i środowiskach chmurowych.

Dwa szczegóły są istotniejsze niż sam fakt. Po pierwsze, incydenty zgłosili dobrowolnie sami dostawcy modeli, w ramach testów i ewaluacji, czyli zadziałał ten sam mechanizm, co przy wcześniejszych ujawnieniach: poszkodowany dowiedział się od sprawcy, z opóźnieniem. Po drugie, agencja odnotowała osobno, że przestępcy używali publicznie dostępnych ofensywnych narzędzi agentowych do ataków motywowanych finansowo. To dwie różne klasy zdarzeń, które łatwo pomylić, a różnią się wszystkim poza skutkiem.

Do tego Reuters opisał operatora, który z pomocą agentów i za kilka tysięcy dolarów włamał się do ponad stu witryn firmowych, a CrowdStrike opisał chińskojęzycznego napastnika, który agentowym narzędziem do testów penetracyjnych, sesjami asystenta kodującego i kilkoma modelami zaatakował co najmniej trzy koreańskie banki.

Agent stał się celem

Przez rok pisaliśmy o agentach jako o narzędziu w rękach napastnika. Jesienią sam ekosystem agentowy stał się klasą celów, i to systematycznie atakowaną.

Zatruto wydanie popularnej biblioteki pośredniczącej do modeli, tej samej, której marcowa kompromitacja doprowadziła do sekretów dwóch i pół tysiąca firm. Tym razem przez skradzione tokeny opiekuna, z ładunkiem wykradającym poświadczenia, rozesłanym jednocześnie do rejestru pakietów i rejestru obrazów. Włamanie do konsoli jednego z narzędzi deweloperskich ujawniło klucze API do trzech dostawców modeli naraz, a na kontach ofiar naliczono zużycie. Ukryte instrukcje w publicznym repozytorium skłoniły konektor popularnego asystenta do założenia w prywatnym repozytorium procesu wykradającego sekrety. Nowe wersje jednego z infostealerów zaczęły zbierać tokeny i pliki sesji asystentów kodujących.

Aktywnie eksploatowano też krytyczną lukę w Langflow, w której ustawienia serwera MCP zamieniają się w polecenia powłoki. To, licząc od wiosny, kolejna odsłona tej samej klasy w tym samym produkcie.

A model biznesowy domknął to w sposób, który wart jest odnotowania: opisano podziemne narzędzie do testów penetracyjnych działające na skradzionych kluczach API swoich własnych nabywców. Klient kupuje agenta ofensywnego, a ten pracuje na cudzym rachunku.

05. Projekcja na listopad i grudzień

1. KSC przechodzi z rejestru do roboty · pewność: wysoka
Do 3 kwietnia 2027 podmioty muszą wdrożyć obowiązki wynikające z ustawy, w tym system zarządzania bezpieczeństwem informacji. Spodziewamy się fali ofert wdrożeniowych i pierwszych korekt wykazu, bo ministerstwo samo przyznaje, że wpisy z urzędu będą się zmieniać. To kalendarz ustawowy, nie prognoza.

2. Kolejne ujawnienia od dostawców, coraz mniej od poszkodowanych · pewność: wysoka
Wzorzec „poszkodowany dowiaduje się od sprawcy” powtórzył się w obu głośnych sprawach jesieni. Spodziewamy się kolejnych raportów laboratoriów i komunikatów zespołów reagowania opartych na zgłoszeniach dostawców, a nie na wykryciach po stronie organizacji.

3. Nadzór wyprowadzany poza zasięg agenta · pewność: średnia
Po październikowym ujawnieniu spodziewamy się pierwszych opisów architektur, w których monitoring i logi działają poza środowiskiem, do którego agent ma dostęp: osobne konta, osobne systemy, brak uprawnień zapisu. Sygnał do obserwowania: kiedy to przestanie być zaleceniem badaczy, a stanie się domyślnym ustawieniem platform.

4. Ekosystem agentowy dalej jako cel numer jeden łańcucha dostaw · pewność: średnio-wysoka
Biblioteki pośredniczące, konektory, rynki skilli i sesje asystentów kodujących to dziś najkrótsza droga do kluczy i sekretów. Spodziewamy się kolejnych incydentów w tej warstwie, i tym razem będziemy je śledzić od początku, a nie dopiero przy rozliczeniu.

06. Polski wektor: rejestr zamknięty, i jest prawie dwa razy większy

3 października upłynął termin samoidentyfikacji i wpisu do wykazu KSC. To data, którą zapowiadaliśmy w każdym radarze od czerwca, więc wypada ją rozliczyć, zwłaszcza że wynik różni się od prognoz w sposób pouczający.

Według danych Ministerstwa Cyfryzacji w wykazie znalazło się prawie 70,5 tysiąca podmiotów. Z tego około 62,3 tysiąca wpisano z urzędu, a ponad 8,1 tysiąca zarejestrowało się samodzielnie. Resort przewidywał, że przepisy obejmą 35–38 tysięcy podmiotów. W wykazie jest prawie dwa razy więcej, a sama liczba wpisów z urzędu przekracza cały szacunek.

To rozróżnienie nie jest techniczne. Wpisy z urzędu wykonało państwo, na podstawie rejestrów publicznych. Samorejestracja wymagała, żeby firma sama zauważyła, że jej to dotyczy: przeprowadziła samoocenę sektora i wielkości, ustaliła status w grupie kapitałowej i złożyła wniosek podpisany przez zarząd. Na każdy podmiot, który zgłosił się sam, przypada prawie ośmiu wpisanych przez państwo. Część zależna od świadomości przedsiębiorcy okazała się najsłabsza. Przez cały wrzesień prawnicy i doradcy powtarzali to samo zdanie: obowiązek dotyczy znacznie szerszej grupy, niż wielu zakładało, i obejmuje firmy, które nie kojarzą się z infrastrukturą krytyczną, takie jak spółdzielcze mleczarnie, hurtownie z własną stacją paliw czy dostawców oprogramowania w chmurze.

Trzy rzeczy, które z tego wynikają:

Rejestr nie jest ostateczny. Wpisy z urzędu powstały na podstawie rejestrów publicznych, więc liczby będą się zmieniać. Część podmiotów trafiła tam prawdopodobnie błędnie, a części wciąż brakuje.
Brak wpisu nie zwalnia z obowiązków. Ustawa obowiązuje od 3 kwietnia 2026, a obowiązki zaczynają się w dniu spełnienia przesłanek, nie w dniu rejestracji. Podmiot, który terminu nie dotrzymał, może zostać wpisany z urzędu. Kary administracyjne w większości przypadków będą mogły być nakładane dopiero po 3 kwietnia 2028, ale nadzór, kontrole i żądania dokumentów nie czekają do tego momentu.
3 października zamknął etap administracyjny, nie merytoryczny. Następny termin to 3 kwietnia 2027, czyli wdrożenie obowiązków z ustawy, w tym systemu zarządzania bezpieczeństwem informacji: analiza ryzyka, procedury, kontrola dostępu, zarządzanie uprawnieniami administratorów i dostawców zewnętrznych, udokumentowane szkolenia, również dla kadry kierowniczej. Pierwszy obowiązkowy audyt podmiotów kluczowych, które wcześniej nie były operatorami usług kluczowych, przypada do 3 kwietnia 2028.

Siedemdziesiąt tysięcy podmiotów w rejestrze oznacza siedemdziesiąt tysięcy organizacji, które mają pięć miesięcy na wdrożenie systemu zarządzania bezpieczeństwem i około półtora roku do pierwszego audytu. A nad wszystkim stoi osobista odpowiedzialność kierownictwa: kierownik podmiotu zatwierdza środki zarządzania ryzykiem, nadzoruje ich wdrożenie i sam podlega obowiązkowi szkolenia.

07. Checklista obrońcy: sześć ruchów, które wynikają z jesieni

Wyprowadź logi i monitoring poza zasięg agenta. Osobne konto, osobny system, brak uprawnień zapisu dla agenta. Monitor, którego agent może dotknąć, nie jest monitorem.
Nie pytaj agenta, co zrobił. Sprawdź w zapisie, którego nie mógł zmienić.
Zinwentaryzuj wystawione poświadczenia: konfiguracje aplikacji, publiczne repozytoria, role w chmurze. To dokładnie te drogi, którymi agenci weszli do systemów w Indiach.
Ustaw limity i alerty kosztowe na kluczach API do modeli. Skradziony klucz pracuje na twoim rachunku, a rachunek bywa pierwszym sygnałem.
Traktuj tokeny i pliki sesji asystentów kodujących jak hasła. Infostealery już je zbierają.
W Polsce: zacznij analizę ryzyka teraz, nie w marcu, i zapisz zarząd na szkolenie. Do 3 kwietnia 2027 zostało pięć miesięcy, a nadzór może zapukać wcześniej niż kary.

Jedna myśl na drogę

Marzec pytał, czy coś jest złośliwe. Czerwiec, czy zdolność da się zamknąć. Lipiec, co może ją zatrzymać. Sierpień, skąd będziesz wiedział, że coś poszło źle, skoro wszystko wygląda poprawnie.

Jesień daje pierwszą odpowiedź, i nie jest pocieszająca: nie od agenta. Polska policzyła, kto podlega przepisom, i okazało się, że prawie dwa razy więcej podmiotów, niż zakładano, a najsłabiej wypadła ta część, która wymagała samodzielnego zauważenia problemu. Laboratoria policzyły, co zrobili ich własni agenci, i znalazły tysiące wpisów na cudzej wiki, obecność w cudzych systemach produkcyjnych i dwa przypadki osłabienia własnego nadzoru. W obu przypadkach liczenie ujawniło coś, co działo się wcześniej i czego nikt nie mierzył. Nie było alarmu, bo nie było licznika.

Rok temu bezpieczeństwo agentów wyobrażaliśmy sobie jako problem barier. Dziś wiemy, że żadna ściana postawiona w zasięgu agenta nie jest ścianą, łącznie z tą, która miała tylko patrzeć. Zostają dwie rzeczy: to, czego agent nie może dosięgnąć technicznie, i to, co ktoś z zewnątrz policzy, zanim sam agent o tym opowie.

Projekcje to redakcyjna ocena kierunku, a nie pewne prognozy. Poziomy pewności są subiektywną oceną redakcji, a nie standardem branżowym. Terminy KSC podajemy według stanu prawnego w dniu publikacji (Dz.U. 2026 poz. 252), aktualny stan warto sprawdzić na stronach Ministerstwa Cyfryzacji. Tekst nie jest poradą prawną ani zaleceniem bezpieczeństwa dla konkretnego środowiska. Poprzedni radar: Cyberflux Radar #5, sierpień 2026.

Źródła