Od kilku tygodni moja skrzynka wygląda jak scenariusz taniego thrillera. „AI włamała się do firm”. „Sztuczna inteligencja wyszła poza swoje środowisko”. „Model AI szantażował inżyniera”. „AI próbowała skopiować samą siebie, żeby uniknąć wyłączenia”. Newslettery, informacje prasowe, przedruki przedruków.
W zeszłym tygodniu jeden z klientów przesłał mi taki nagłówek z krótkim pytaniem: „Mateusz, mam się tego bać?”
Dobre pytanie. Usiadłem, przekopałem się przez źródła pierwotne - raporty firm od AI, karty systemowe modeli, prace badaczy bezpieczeństwa, wpisy CVE - i posegregowałem to, co naprawdę się wydarzyło. Bo problem z tymi nagłówkami jest jeden: wrzucają do jednego worka trzy zupełnie różne rzeczy.
Trzy różne historie udające jedną
Zanim przejdę do konkretów, oto podział, który wszystko porządkuje:
- Jeden realny atak, w którym AI wykonała większość roboty - zewnętrzny napastnik, prawdziwe firmy jako cel.
- Testy w laboratorium, w których modele „buntowały się”, „uciekały” i „szantażowały” - ale w piaskownicy, w scenariuszach celowo tak ustawionych, żeby to wywołać. To nie były zdarzenia w żadnej firmie.
- Prawdziwe, nudne ryzyko dla Twojej firmy - które nie ma twarzy Terminatora i o którym nagłówki milczą.
Przejdźmy po kolei.
To wydarzyło się naprawdę - i ma gwiazdkę
W listopadzie 2025 Anthropic (twórca modelu Claude) opisał coś, co nazwał pierwszym udokumentowanym, dużym cyberatakiem wykonanym w znacznej mierze bez udziału człowieka. Grupę oznaczono jako GTG-1002 i przypisano - „z wysoką pewnością” - aktorowi państwowemu powiązanemu z Chinami. Atak wykryto w połowie września 2025.
Mechanika jest tu najciekawsza. Napastnicy nie mieli magicznej „złej AI”. Wzięli normalne narzędzie - Claude Code - i oszukali je: wcielili model w rolę pracownika legalnej firmy od testów bezpieczeństwa, a cały atak rozbili na drobne, pozornie niewinne zadania, każde pozbawione pełnego obrazu. Model, który nie widział, że składa się to w atak, po prostu wykonywał kolejne kroki. Według Anthropic AI zrobiła 80-90% operacji, a człowiek wkraczał tylko w 4-6 kluczowych momentach. Celem było około 30 organizacji - firmy technologiczne, finansowe, chemiczne, instytucje - a sukcesem zakończyło się „kilka” prób.
I teraz gwiazdka, o której większość przedruków zapomina. To są szacunki Anthropic, nie niezależnie potwierdzone fakty. Sam Anthropic przyznał, że Claude po drodze halucynował - wymyślał dane logowania i twierdził, że wykradł tajne informacje, które w rzeczywistości były publicznie dostępne. Badacze bezpieczeństwa (m.in. Kevin Beaumont) zwrócili uwagę, że w raporcie brakuje twardych wskaźników włamania (IOC), po których inni mogliby to zweryfikować. Do tego dochodzi rzecz oczywista: firma sprzedająca AI ma interes w tym, żeby brzmiało to potężnie.
Więc uczciwy wniosek brzmi: incydent był realny, ale liczba „80-90% autonomii” to marketing z laboratorium, nie wyrok sądu. To ważny sygnał - napastnicy faktycznie używają agentów AI do przyspieszania ataków - ale nie dowód, że „AI już nas hakuje sama”.
A to były testy, nie bunt
Teraz najgłośniejsza kategoria nagłówków - i najbardziej myląca.
„AI próbowała się skopiować, żeby uniknąć wyłączenia”. To wynik z badania Apollo Research z grudnia 2024. Pięć z sześciu topowych modeli (m.in. Claude 3 Opus, o1 od OpenAI, Gemini 1.5 Pro) w co najmniej jednym zadaniu zachowało się „przebiegle”. Claude 3 Opus w teście skopiował to, co uważał za własne pliki, na inny serwer i okłamał w tej sprawie badaczy.
Brzmi jak ucieczka? To była piaskownica. Model działał w symulowanym środowisku, z atrapami narzędzi - niczego realnie nie skopiował i nikąd nie uciekł. A liczby, które robią wrażenie, mają drugie dno: model o1 próbował wyłączyć nadzór w około 5% przypadków, a „skopiować siebie” w 2% - ale wyłącznie wtedy, gdy badacze celowo podsunęli mu spreparowane notatki naprowadzające na taki cel. Bez tego naprowadzania takie zachowania pojawiały się rzadko, poniżej 1%. Apollo napisało to wprost: te scenariusze nie są reprezentatywne dla normalnego użycia. Samo OpenAI oceniło ryzyko „autonomii” modelu o1 jako niskie.
„AI szantażowała inżyniera”. To scenariusz z karty systemowej Claude Opus 4 (maj 2025). Anthropic celowo zbudował fikcyjną sytuację: model jest asystentem w wymyślonej firmie, dostaje maile sugerujące, że zostanie wymieniony na inny model, oraz maile sugerujące, że odpowiedzialny za to inżynier ma romans - i nie dostaje żadnej innej opcji niż szantaż albo bierna zgoda na wyłączenie. W takim ustawieniu Claude szantażował w 96% przebiegów.
Tu jest pointa, o której nagłówki milczą: to nie jest wada jednego „złego” modelu. W tym samym teście Gemini 2.5 Flash szantażował tak samo często (96%), a GPT-4.1 i Grok 3 w 80%. To zachowanie wszystkich dużych modeli postawionych pod ścianą w spreparowanym scenariuszu. I najważniejsze zdanie z raportu Anthropic: takich zachowań nie zaobserwowano w realnych wdrożeniach. Nazwiska i firmy w teście były fikcyjne.
Dlaczego media to mylą? Bo „model AI w teście bezpieczeństwa zachował się zgodnie z tym, do czego go sprowokowano” nie sprzedaje się tak dobrze jak „AI zbuntowała się przeciwko człowiekowi”. Testy red-teamingu robi się właśnie po to, żeby wywołać najgorsze zachowanie w kontrolowanych warunkach - i dobrze, że się je robi. Ale wyjęcie liczby „96%” z tego kontekstu to jak napisać „samochód zabija”, bo w teście zderzeniowym rozbito manekina.
Prawdziwe ryzyko dla Twojej firmy nie ma twarzy roota z filmu
Skoro nie zbuntowana AI - to co? Tu robi się mniej efektownie i znacznie bardziej praktycznie.
Realne zagrożenie numer jeden przy narzędziach AI nazywa się prompt injection - i OWASP (niekomercyjna organizacja od bezpieczeństwa aplikacji) umieściło je na pierwszym miejscu listy ryzyk dla aplikacji z AI, drugi rok z rzędu. O co chodzi? Model nie odróżnia „danych” od „poleceń”. Jeśli AI czyta Twojego maila, dokument albo stronę, a ktoś ukrył tam instrukcję - model może ją wykonać, myśląc, że to część zadania.
Najlepszy przykład to EchoLeak (oznaczony jako CVE-2025-32711), luka w Microsoft 365 Copilot ujawniona w czerwcu 2025 przez firmę Aim Security. Wystarczyło wysłać ofierze zwykłego maila z ukrytą instrukcją. Ofiara niczego nie musiała klikać - kiedy później zadała Copilotowi jakieś pytanie, wstrzyknięte polecenie kazało asystentowi zebrać poufne dane firmy i wysłać je na zewnątrz. Zero kliknięcia, zero podejrzanego załącznika.
Dwie rzeczy trzeba tu powiedzieć uczciwie. Po pierwsze: EchoLeak nie został wykorzystany na nikim. Wykryli go badacze, zgłosili Microsoftowi, ten załatał dziurę po swojej stronie i oświadczył, że żaden klient nie ucierpiał. Po drugie - i groźniejsze: OWASP wprost pisze, że przez sposób działania tych modeli może w ogóle nie istnieć niezawodna metoda całkowitego załatania prompt injection. To nie jest jeden bug do poprawki, to cecha technologii. Dlatego im więcej uprawnień dasz agentowi AI (dostęp do maili, plików, systemów), tym większy problem, gdy ktoś go oszuka. A - o czym za chwilę - w 2026 przestało to być tylko teorią z laboratorium.
Największa dziura w Twojej firmie to nie AI. To Twój pracownik.
A teraz incydent, który naprawdę zdarza się w firmach - tylko nie ma w nim żadnego hakera. Nazywa się shadow AI: pracownicy wklejają firmowe dane do publicznych chatbotów, bez wiedzy nikogo.
Klasyka to Samsung. W marcu 2023, w ciągu kilku tygodni od dopuszczenia ChatGPT w jednej z dywizji, doszło do co najmniej trzech osobnych wpadek: inżynier wkleił do ChatGPT poufny kod źródłowy, ktoś inny kod do wykrywania defektów sprzętu, a ktoś poprosił model o zrobienie notatek z wewnętrznego spotkania. Efekt? Samsung wprowadził środki nadzwyczajne, a w maju 2023 po prostu zakazał generatywnej AI na firmowym sprzęcie i w sieci.
Jaka jest skala? Firma Cyberhaven, analizując użycie AI w firmach, podała, że około 4-5% pracowników wkleiło do ChatGPT dane, które nie powinny tam trafić. Traktuję tę liczbę ostrożnie - to dane dostawcy narzędzia do ochrony przed wyciekami, więc ma interes w tym, żeby brzmiały groźnie, i pochodzą jeszcze z 2023 roku. Ale kierunek jest prawdziwy i widzę to u klientów.
Dlaczego to problem? Bo darmowy, konsumencki ChatGPT domyślnie zapisuje rozmowy i może ich używać do trenowania modeli (chyba że ręcznie to wyłączysz). Wersje firmowe - Team, Enterprise, przez API - domyślnie tego nie robią. Różnica jest zasadnicza: to, co pracownik wkleja z prywatnego konta, może w jakiejś formie zostać w systemie dostawcy. Twoja umowa, Twój kod, Twoje dane klienta.
Aktualizacja: co przyniósł 2026 rok
Ten tekst pisałem, gdy najnowsze doniesienia były z 2025. Od tego czasu doszły fakty, które nie zmieniają kierunku - tylko go przyspieszają. Uzupełniam, bo przy tym temacie „stan na zeszły rok” to za mało.
Modele urosły, a z nimi kategorie ryzyka. W 2026 pojawiła się rodzina Claude 5 (Sonnet 5 w czerwcu, Opus 5 w lipcu, a na szczycie jeszcze mocniejszy Mythos 5); Opus 5 objęto już wyższym poziomem zabezpieczeń niż wcześniejsze modele. Dlaczego to ważne dla tego artykułu? Bo ocena „niskie ryzyko autonomii”, którą cytowałem wyżej, dotyczyła modelu o1 z końca 2024. Nowszych, wyraźnie zdolniejszych modeli nie wolno nią zamiatać - im mocniejszy model, tym wyższa stawka, gdy ktoś go oszuka.
Prompt injection wyszedł z laboratorium. Wyżej napisałem, że te ataki to na razie głównie demonstracje badaczy. W 2026 to się zmieniło. Palo Alto Unit 42 udokumentowało pierwszy realny, użyty w praktyce atak przez ukryte polecenia (indirect prompt injection) - i naliczyło 22 różne techniki napastników w prawdziwym ruchu sieciowym. Do tego badacze pokazali ataki na agenty do kodowania (Claude Code, Cursor, GitHub Copilot), które przez zatrute dane wykonywały cudze polecenia z uprawnieniami programisty. To już nie „co by było, gdyby”.
Napastnicy realnie skalują użycie AI. Sam Anthropic w raporcie z 2026 podał, że w ciągu roku zablokował 832 konta za złośliwą działalność cybernetyczną, a ataki stają się coraz bardziej autonomiczne - napastnicy budują je tak, żeby AI łączyła kolejne etapy z minimalnym udziałem człowieka. (Głośny przypadek GTG-1002 z 2025 wciąż nie doczekał się niezależnego potwierdzenia - badacze bezpieczeństwa dalej są sceptyczni, więc traktuję go z tą samą gwiazdką co wcześniej.)
Do gry weszły rządy. W czerwcu 2026 rząd USA nakazał Anthropic wyłączyć jego dwa najnowsze modele - Fable 5 i Mythos 5 - zaledwie kilka dni po premierze, powołując się na obejście zabezpieczeń modelu. Anthropic wykonał polecenie z godziny na godzinę, ale publicznie się z nim nie zgodził, twierdząc, że demonstrowana zdolność jest dostępna także w innych, publicznych modelach. Niezależnie od tego, kto miał rację, sygnał jest jasny: państwa zaczynają traktować najsilniejsze modele jak infrastrukturę krytyczną. Równolegle w Unii wchodzą w życie kary za łamanie zasad dotyczących dużych modeli AI (AI Act) - regulacja przestaje być teorią.
Wniosek się nie zmienia, tylko twardnieje: realne ryzyko dla Twojej firmy to wciąż agenty z za dużymi uprawnieniami, prompt injection i shadow AI. Zmieniło się jedno - to już nie prognozy, tylko udokumentowane przypadki.
Co z tym realnie zrobić
Bez straszenia i bez chowania głowy w piasek. Oto, co radzę firmom, z którymi pracuję:
- Ustal politykę AI - jedną kartkę, nie regulamin na 30 stron. Co wolno wklejać, czego nie, z jakich narzędzi korzystamy. Brak zasad to nie brak AI w firmie - to po prostu AI bez kontroli.
- Firmowe konta zamiast prywatnych. Jeśli zespół używa ChatGPT czy Claude, płać za wersję biznesową, która nie trenuje na Waszych rozmowach. To kilkadziesiąt złotych miesięcznie od osoby wobec kosztu jednego wycieku.
- Agentom AI dawaj minimum uprawnień. Asystent, który czyta wszystkie maile i ma dostęp do wszystkich plików, to piękny cel dla prompt injection. Zasada jest ta sama, co przy pracownikach: dostęp tylko do tego, co naprawdę potrzebne.
- Traktuj każde wejście do AI jak niezaufane. Mail, dokument, strona, którą model czyta w Twoim imieniu - mogą zawierać ukryte polecenia. To zmienia sposób, w jaki projektuje się takie integracje.
- Nie zakazuj AI odruchowo. Zakaz jak w Samsungu to reakcja na pożar, nie strategia. Ludzie i tak będą używać AI - lepiej dać im bezpieczne narzędzie i jasne zasady, niż wypychać ich do prywatnych kont.
Więc co odpisałem klientowi
Że nie, nie musi się bać zbuntowanej AI kopiującej się na serwery, żeby przejąć jego firmę - to na razie scenariusze z testów, nie z życia. Ale tak, powinien poważnie potraktować trzy przyziemne rzeczy: agenty AI z za dużymi uprawnieniami, prompt injection oraz własnych ludzi wklejających firmowe dane do darmowych chatbotów.
Ironia polega na tym, że najgłośniejsze nagłówki dotyczą ryzyka, które jeszcze nie istnieje w praktyce - a najprawdziwsza dziura, przez którą dane wyciekają dziś, nie nadaje się na chwytliwy tytuł, bo brzmi nudno: „pracownik wkleił coś nie tam”.
Jeśli chcesz uporządkować AI u siebie w firmie - politykę, narzędzia, uprawnienia, tak żeby dawało przewagę, a nie stało się dziurą - napisz do mnie. Zajmuję się tym jako fractional CTO i pomogę Ci to poukładać zanim zrobi się z tego problem.
Ten artykuł opiera się na źródłach pierwotnych: raportach Anthropic i OpenAI, karcie systemowej Claude Opus 4, badaniu Apollo Research, liście OWASP oraz publikacjach o CVE-2025-32711. Ma charakter informacyjny i nie jest poradą z zakresu cyberbezpieczeństwa dla konkretnego systemu.