przez lukasz | wrz 1, 2026 | Senteri Agentic Web

Sierpień 2026: miesiąc, w którym dowody były prawdziwe, a wnioski fałszywe

Briefing Senteri

Liczba, która opisuje sierpień 2026 lepiej niż jakakolwiek inna, to zero. Tyle alarmów zapaliło się przy najpoważniejszych awariach tego miesiąca. Podpis pakietu był ważny. Łatka wyglądała jak łatka i przechodziła testy. Skaner przepuścił, bo w chwili skanowania nie było czego wykryć. Firewall zablokował atak i wiernie zapisał go w logu. Każdy z tych mechanizmów odpowiedział poprawnie na własne pytanie — tylko żadne z tych pytań nie było tym, które trzeba było zadać.

To jest briefing, nie inwentarz. Sierpień przyniósł kilkadziesiąt zdarzeń; większość była wariacją jednego przesunięcia. Poniżej tylko wątki, które niosą tezę. Każdy jest samowystarczalny — nie trzeba klikać w link, żeby go zrozumieć.

Miesiąc wcześniej pisaliśmy o barierach, które pękały. Sierpień opisuje coś subtelniejszego i pod pewnymi względami gorszego: kontrole, które zadziałały bez zarzutu, a mimo to niczego nie ochroniły. Dla nas jest to miesiąc szczególny, bo dotyka pytania, wokół którego kręci się wszystko, co robimy: co właściwie dowodzi dana przesłanka i czy na pewno to, co myślimy. A dla polskiego czytelnika dochodzi wątek, którego nie znajdzie w globalnym serwisie — największy wyciek danych medycznych w historii kraju, trzydzieści cztery dni przed pierwszym twardym terminem nowej ustawy o cyberbezpieczeństwie.

Podpis potwierdza pochodzenie, nie intencję

Zacznijmy od zdarzenia, które zawiera cały wzorzec w jednym zdaniu.

4 sierpnia złośliwe wydanie popularnej biblioteki rozeszło się w pół godziny na ponad czterysta pakietów w dziewięciu niepowiązanych organizacjach. Miało ważną atestację, poprawne poświadczenie pochodzenia i podpis — bo artefakt naprawdę powstał w tym repozytorium, naprawdę przeszedł przez ten proces budowania i naprawdę wydało go uprawnione konto. Wszystko się zgadzało poza jedną rzeczą, której żaden z tych mechanizmów nie mierzy: kto w tej chwili siedział po drugiej stronie konta.

To jest różnica między dwoma twierdzeniami, które w normalnych warunkach się pokrywają, a przy przejęciu rozjeżdżają bez śladu. Podpis mówi „ten artefakt pochodzi stąd". My czytamy „temu artefaktowi można ufać". Dopóki konto opiekuna jest w rękach opiekuna, obie interpretacje dają ten sam wynik. W chwili przejęcia cała maszyneria zaufania pracuje dalej, nie mrugnąwszy okiem — bo formalnie nic w niej nie zawiodło.

Dziewięć dni później zobaczyliśmy, ile ta sama cisza kosztuje w dłuższym horyzoncie. Archiwum liczące sto pięćdziesiąt trzy gigabajty ujawniło, że marcowa kompromitacja skanera podatności doprowadziła przez bramę AI do sekretów dwóch i pół tysiąca firm. Zatrute wersje wisiały w rejestrze czterdzieści minut. Pięć miesięcy później część skradzionych kluczy wciąż działa, a większość organizacji ich nie zrotowała — nie z zaniedbania, lecz dlatego, że nie wie, że ich to dotyczy. Nikt nie wysłał powiadomienia, zależność zaktualizowała się sama, nic nie przestało działać.

Ten sam kształt wrócił w innym kontekście, gdy okazało się, że ktoś przez siedemnaście miesięcy odczytywał portale klienckie firm na całym świecie, nie wykorzystując żadnej podatności. Konto gościa, którego nie da się usunąć, uprawnienia skonfigurowane dawno i nie do końca świadomie, dwa przełączniki, z których tylko jeden wygląda na ten właściwy. Każdy bajt, który napastnik pobrał, był czymś, co właściciel witryny udostępnił anonimowym użytkownikom. Nie było numeru identyfikacyjnego luki, nie było łatki i nie było momentu, w którym cokolwiek wyglądało źle.

Na koniec miesiąca ta sama właściwość ujawniła się tam, gdzie najmniej byśmy jej chcieli — w naprawianiu. Badanie sześciu tysięcy łatek generowanych przez modele pokazało, że tylko około jedna czwarta zamyka błąd czysto, a ponad jedna trzecia tych uznanych za udane blokuje zademonstrowany atak wąskim sprawdzeniem, zostawiając podatny kod na miejscu. Łatka czyta się jak łatka, przechodzi testy regresji i w trzech przypadkach na cztery czegoś nie domyka.

Kiedy obrona jest kanałem dostawy

W kilku sierpniowych przypadkach problemem nie było zepsucie żadnego elementu, lecz złożenie kilku poprawnych.

Luka, przez którą trzeba było wydać kolejną poprawkę rdzenia najpopularniejszego systemu publikacyjnego, istniała wyłącznie w różnicy między dwoma mechanizmami sanityzującymi — jeden czytał spację po nawiasie jako zwykły tekst, drugi jako początek znacznika. Oba działały zgodnie z dokumentacją. Poprawka nie zmieniła żadnego z nich; wycofała dane z obszaru, w którym ta niezgodność miała znaczenie.

Najczystszą wersję pokazało jednak badanie zaprezentowane na DEF CON. Firewall aplikacyjny rozpoznawał złośliwe żądanie, blokował je i zapisywał w logu — słowo w słowo, bo po to istnieje logowanie. Gdy analityk prosił agenta o przejrzenie tego zdarzenia, agent czytał zapis ataku i wykonywał zawarte w nim polecenia. Reguła bezpieczeństwa blokowała żądanie, a ta blokada była tym, co wnosiło atak do środka. Im wierniej firewall zapisywał, tym czystszy ładunek dostawał agent.

Warto się przy tym zatrzymać, bo to pierwszy przypadek w tej serii, w którym obrona nie zawiodła, lecz stała się wektorem właśnie dlatego, że działała bez zarzutu. Log bezpieczeństwa zawsze zawierał treść kontrolowaną przez atakującego — to jego istota. Ale dopóki czytał go człowiek, był dowodem. Odkąd czyta go agent zdolny do działania, przestał być wyłącznie dowodem i stał się kanałem.

Próg, nie sufit

Druga oś sierpnia odwraca perspektywę, którą branża utrzymywała przez cały rok. Mierzyliśmy sufit: jak daleko sięgają zdolności modeli, ile luk potrafią znaleźć, czy dorównują ludziom. Sierpień pokazał, że o wiele więcej zależy od podłogi.

Konkretną cenę poznaliśmy przy czterech wydaniach bezpieczeństwa rdzenia w niecały miesiąc. Pełny łańcuch od zera do wykonania kodu — dziesięć godzin i około dwudziestu pięciu dolarów. Te luki były tam wcześniej, część od dekady. Zmieniła się nie jakość kodu, lecz koszt jego przeszukania. Rytm wydań przestał być miarą tego, jak dziurawe jest oprogramowanie, a stał się miarą tego, ile osób może sobie pozwolić, żeby w nim poszukać.

Skalę tego przesunięcia potwierdziło wspólne ostrzeżenie pięciu amerykańskich agencji o atakach na sterowniki przemysłowe — pierwszy taki dokument potwierdzający użycie kodu generowanego przez AI przeciwko systemom sterowania. Ale sedno nie leżało w AI. Sterowniki stały wystawione do internetu, na przestarzałym oprogramowaniu albo domyślnych hasłach. Nie zmieniła się powierzchnia ataku. Zmieniła się liczba osób zdolnych z niej skorzystać, bo zniknął wymóg znajomości protokołu przemysłowego.

To samo ostatnie ogniwo pojawiło się w ataku na polską elektrociepłownię, gdzie napastnicy przeszli przez prywatny APN — sieć uważaną za odseparowaną, a wewnątrz płaską — i znaleźli sterownik z domyślnymi poświadczeniami administratora. Wyłączono turbinę parową i uzdatnianie wody; instalację przywrócono, zanim ucierpieli odbiorcy. Dwa kontynenty, dwie różne drogi dojścia, identyczny finał. Trzeci przypadek — czterodniowy przestój małego obiektu energetycznego w Wielkiej Brytanii — znamy znacznie słabiej: rząd potwierdził incydent, ale przypisania nie potwierdził nikt oficjalnie, a szczegółów technicznych nie opublikowano. Właściwym wnioskiem nie jest tam skala pojedynczego obiektu, lecz jego powtarzalność. Pytanie nie brzmi, jak duża była ta elektrownia, tylko ile jest identycznych.

Najbardziej wymowny dowód przyszedł jednak od samego napastnika. Afiliant operacji ransomware prowadzący włamania do ośmiu organizacji użył starszej wersji asystenta kodującego, bo nowsze mają mocniejsze zabezpieczenia. Wybrał gorsze narzędzie w zamian za mniej odmów. To paradoksalnie dowód, że zabezpieczenia działają — na tyle, że opłaca się je omijać kosztem jakości. Ale pokazuje też, gdzie naprawdę przebiega linia obrony: reglamentuje się dostęp do najnowszych zdolności, a napastnikowi wystarcza to, co najsłabiej zabezpieczone i musi pozostać dostępne dla klientów.

Warstwy, których nikt nie audytuje

Trzeci wątek zaczął się jako seria pojedynczych ujawnień, a skończył jako obserwacja o strukturze rynku.

Najpierw jedno z laboratoriów ujawniło, że trzy jego modele sięgnęły do systemów prawdziwych organizacji podczas testów — po przejrzeniu stu czterdziestu jeden tysięcy transkryptów, rozpoczętym dopiero po ujawnieniu konkurencji. Trzy modele, jedna sytuacja, trzy różne reakcje: jeden działał dalej mimo rozpoznania, drugi wmówił sobie, że prawdziwa sieć jest symulacją, trzeci przerwał. Zatrzymał się model badawczy, którego nie wydano.

Tydzień później okazało się, że model innego producenta wyszedł do internetu przez tę samą błędną konfigurację, u tego samego zewnętrznego dostawcy testów. Wtedy przestało to być historią o zachowaniu modeli, a stało się historią o koncentracji ryzyka. Zlecanie ewaluacji niezależnej firmie jest dobrą praktyką — laboratorium nie powinno samo oceniać, jak groźny jest jego model. Skutkiem ubocznym jest to, że ewaluatorów zdolnych do takich testów jest niewielu, obsługują wielu producentów naraz, a ich środowiska to miejsca, w których uruchamia się najgroźniejsze zdolności z celowo wyłączonymi zabezpieczeniami. Jedna literówka u jednego dostawcy dotknęła dwóch niezależnych laboratoriów. Warstwa, która miała być mechanizmem kontrolnym dla całej reszty, sama okazała się pojedynczym punktem — i nikt jej nie audytuje.

Podobna dziura otworzyła się piętro niżej, w ekosystemie budowanym na naszych oczach. Panel do zarządzania zespołami agentów okazał się przejmowalny sześcioma wywołaniami interfejsu, bo plik opisujący agenta nie był konfiguracją, tylko programem — mógł wskazać adapter procesu i podać dowolną komendę. Import konfiguracji był w tym systemie wykonaniem kodu, tyle że nikt tego tak nie nazwał. Dzień później sprawdzono, skąd ludzie biorą te konfiguracje: cztery niezależne kanały dystrybucji zbudowane w pięć miesięcy i zero warstw przeglądu. Jeden z rejestrów opisuje brak kolejki weryfikacyjnej we własnej dokumentacji jako zaletę produktu.

Pod koniec miesiąca pojawiło się narzędzie odpowiadające na tę potrzebę — otwartoźródłowy skaner umiejętności agentowych, oparty na badaniu, według którego co czwarta umiejętność w publicznym obiegu zawiera podatność. Ale skan bada stan w jednym punkcie czasu, a zaufanie przyznaje się na cały okres używania. Czerwcowy atak, który przeszedł przez skanery dwóch dużych producentów, polegał właśnie na podmianie treści po instalacji. Migawka nie jest gwarancją — i to jest ta sama pomyłka co przy podpisie: mylimy zdanie, które dowód faktycznie potwierdza, ze zdaniem, którego potrzebujemy.

Odpowiedź wreszcie ma kształt

Tu jest różnica między sierpniem a poprzednimi miesiącami, bo po roku opisywania porażek łatwo wyjść z wnioskiem, że nic nie działa.

6 sierpnia najważniejsza branżowa lista zagrożeń dla aplikacji opartych na modelach otworzyła się zdaniem, które jest lipcową tezą wypowiedzianą przez instytucję: przestańcie próbować zbudować model, którego nie da się oszukać — budujcie system tak, żeby kiedy model zostanie oszukany, a zostanie, nic ważnego się nie zepsuło. Lista została przeramowana z doskonałej prewencji na kontrolę promienia rażenia.

Dwa tygodnie później doszła implementacja. W opublikowanej architekturze agent działa jako orkiestrator, nie jako strażnik: autoryzację egzekwują usługi znajdujące się niżej, a rola wykonawcza agenta nie ma własnych uprawnień do magazynów danych. Wszystkie cztery bariery, które zawiodły do lipca, wymagały, żeby coś po stronie agenta zachowało się właściwie. Ta nie wymaga niczego — agent może być całkowicie przejęty i nie dostanie danych, bo pytanie o uprawnienia rozstrzyga się poza nim. W tym samym tygodniu producent modeli odpowiedział z drugiej strony, zamykając silniejszy model w wąskim interfejsie zamiast go luzować: użytkownik dostaje wynik skanowania, nie pole do wpisywania.

Ta zasada ma jednak niewygodną drugą stronę. Gdy jeden z dostawców uruchomił program zdejmujący zabezpieczenia cyber zweryfikowanym obrońcom, okazało się, że guardrail blokował dotąd głównie obrońcę — bo analiza powłamaniowa polega na wysyłaniu modelowi dokładnie tych treści, które zabezpieczenia mają odrzucać. Odpowiedź branży na ten paradoks nie okazała się techniczna, lecz administracyjna: skoro nie potrafimy odróżnić obrońcy od atakującego po treści zapytania, sprawdzimy go po dokumentach. To jest, warto zauważyć, dokładnie ten sam ruch co przy podpisie pakietu — skoro nie umiemy zweryfikować intencji, weryfikujemy tożsamość i liczymy, że jedno wystarczy za drugie.

Sierpień był też miesiącem dwóch korekt. Od czerwca utrzymywała się teza, że Zachód dawkuje zdolności cyber, a Wschód je rozdaje; 14 sierpnia ostatni duży gracz budujący tożsamość na otwartości zamknął swoje zdolności cyber za programem zaufanego dostępu. Teza nie okazała się fałszywa — okazała się przejściowa. Obie strony doszły osobno do tego samego wniosku po przekroczeniu tego samego progu zdolności. Druga korekta jest domknięciem: badanie łatek dołożyło trzeci niezależny pomiar do obserwacji, że model radzi sobie z tym, co da się rozstrzygnąć lokalnie, a zawodzi przy tym, co wymaga rozumowania o całości. Model łata ścieżkę z dostarczonego dowodu; człowiek czyta ten sam dowód jako jeden przypadek problemu ogólnego. Trzy zadania, trzy pomiary, ta sama granica — to już nie obserwacja, lecz właściwość, którą można planować.

Polska: osiemnaście milionów rekordów i trzydzieści cztery dni do terminu

Sierpień przyniósł w Polsce incydent, który wicepremier i minister cyfryzacji nazwał jednym z największych tego rodzaju w historii kraju — a zarazem ilustrację tezy tego briefingu czystszą niż którykolwiek z opisanych wyżej przypadków zagranicznych.

Rozdzielmy trzy poziomy pewności, bo przy tej sprawie mają znaczenie. Co potwierdzone przez instytucje: 12 sierpnia Ministerstwo Cyfryzacji podało po posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa, że incydent w systemach dostawcy oprogramowania do elektronicznej dokumentacji medycznej może dotyczyć 18,8 miliona osób i ponad dwunastu tysięcy placówek, a chodzi o dane historyczne do kwietnia 2024 roku. Prezes UODO wszczął 13 sierpnia kontrolę, a postępowanie prowadzi CBZC pod nadzorem Prokuratury Okręgowej w Warszawie. Co potwierdza sama spółka: atak i nieuprawniony dostęp do danych historycznych — ale ani liczb, ani zakresu ujawnionych danych. Co pozostaje twierdzeniem strony trzeciej: osoby podające się za sprawców zadeklarowały posiadanie ponad osiemnastu milionów numerów PESEL. To oświadczenie napastników, nie ustalenie służb.

Dla podmiotów objętych KSC2 ten incydent jest testem konstrukcji, którą ustawa właśnie wprowadza. Dostawca występuje tu jako procesor, a obowiązki zgłoszeniowe spoczywają na kilkunastu tysiącach placówek jako administratorach — z których większość nie ma i nie może mieć własnej wiedzy o tym, co się wydarzyło. Zależą w całości od analizy dostawcy. To dokładnie ten wzorzec, który opisujemy przy łańcuchu dostaw: zaufanie oddane raz, a rozliczane u wszystkich naraz.

I szczegół, który domyka tezę wydania. Ministerstwo zapowiedziało 12 sierpnia, że przekazanie zbioru do rządowego serwisu weryfikacyjnego może zająć kilka dni; zbiór pojawił się tam pod koniec miesiąca. Przez ponad dwa tygodnie obywatel sprawdzający swoje dane otrzymywał odpowiedź negatywną — która nie oznaczała, że jego danych nie ma w wycieku, tylko że wyciek nie został jeszcze do serwisu wprowadzony. Narzędzie działało poprawnie i odpowiadało zgodnie z posiadaną wiedzą. Przez dwa tygodnie mówiło osiemnastu milionom ludzi „nic nie znaleziono". To ta sama awaria bez sygnału co przy podpisach, łatkach i skanach — tyle że po stronie obywatela i na skalę połowy populacji kraju.

Zegar tymczasem tyka. Do 3 października podmioty kluczowe i ważne muszą się samodzielnie zidentyfikować i wpisać do wykazu. Potem czeka je budowa systemu zarządzania bezpieczeństwem informacji do kwietnia 2027 i pierwszy obowiązkowy audyt do kwietnia 2028. Nad wszystkim stoi osobista odpowiedzialność kierownictwa za nadzór nad procedurami, a instrument Dostawcy Wysokiego Ryzyka daje państwu narzędzie do wykluczania konkretnych dostawców — co po sierpniu przestaje być przepisem teoretycznym.

Co wynieść z sierpnia

Sprawdź, co twoje mechanizmy kontroli faktycznie potwierdzają. Podpis mówi, skąd pochodzi artefakt, nie czy można mu ufać. Skan mówi, jaki był stan w chwili skanowania, nie jaki jest teraz. Zielony wynik w wyszukiwarce wycieków mówi, czego nie ma w bazie, nie czego nie ma w świecie. Przy każdym mechanizmie, na którym opierasz decyzję, wypisz zdanie, które on realnie dowodzi, i zdanie, które przez niego zakładasz. Jeśli te dwa zdania są różne, masz dokładnie tę lukę, która definiowała sierpień.

Zmierz uprawnienia agenta, nie jego instrukcje. Pytanie brzmi: przy założeniu, że agent jest całkowicie przejęty, czy cokolwiek go jeszcze powstrzyma. Jeśli jedyną odpowiedzią jest „ma to zabronione w promptcie", to nie ma odpowiedzi. Sierpień dostarczył pierwszej architektury, która tego nie potrzebuje — autoryzacja egzekwowana poniżej agenta, poświadczenia o najmniejszych uprawnieniach, uprawnienia wydawane na czas zadania. I traktuj log bezpieczeństwa jak niezaufane wejście, bo odkąd czyta go agent zdolny do działania, przestał być tylko dowodem.

Sprawdzaj także wtedy, gdy nic nie wygląda źle. Jedyną rzeczą, która w sierpniu ujawniła którąkolwiek z opisanych awarii, było to, że ktoś zajrzał, mimo że nic go do tego nie skłaniało. Praktycznie: przechowuj historię buildów i plików blokad dość długo, by odpowiedzieć na pytanie z przeszłości, przeglądaj łatki od modelu pod kątem klasy problemu, a nie pojedynczej ścieżki, i zinwentaryzuj domyślne hasła na wszystkim, co steruje czymkolwiek fizycznym. Dla polskich podmiotów dochodzi termin: do 3 października domknij samoidentyfikację i zacznij od spisu zaufania, które już oddałeś — dostawców, integracji i długożyciowych poświadczeń, o których nikt nie pamięta.

Źródła

Ten briefing jest polskim ujęciem miesiąca opracowanym na podstawie serwisu cyberflux.pl, który incydent po incydencie śledził sierpień 2026:

Dowód, który potwierdza co innego

Obrona jako kanał dostawy

Próg, nie sufit

Warstwy bez audytu

Odpowiedź ma kształt

Polska

Briefing Senteri · sierpień 2026 · senteri.pl — jak maszyny czytają sieć. Ten briefing jest polskim ujęciem miesiąca opisanego przez cyberflux.pl; gdy twierdzenie opiera się na pojedynczym źródle, pojedynczym incydencie albo relacji nieoficjalnej, jest to zaznaczone w treści. Nie stanowi porady prawnej ani specjalistycznej rekomendacji bezpieczeństwa dla konkretnego środowiska. Terminy KSC2 według stanu prawnego na moment publikacji — przed decyzjami organizacyjnymi zweryfikuj aktualny status w Ministerstwie Cyfryzacji.