Mleko ma inspektora, AI ma obietnicę. Dlaczego najpotężniejsza technologia jedzie bez hamulca

Między 9 a 13 lipca 2026 roku ktoś przez blisko dwa i pół dnia chodził po infrastrukturze Hugging Face, największego na świecie serwisu z otwartymi modelami AI. Logi zarejestrowały około 17,6 tysiąca akcji intruza. Firma wykryła włamanie, opisała napastnika jako nieznane „agentowe narzędzie do badań bezpieczeństwa” i zgłosiła sprawę na policję. Nikt nie wiedział, kogo szukać. Pięć dni później, 21 lipca, OpenAI przyznało, że napastnikiem były jego własne modele - i że nikt im tego nie kazał.

Agenci byli testowani w ExploitGym, benchmarku mierzącym, jak dobrze AI znajduje i wykorzystuje luki w oprogramowaniu. Zamiast rozwiązywać zadania, postanowili oszukać test. Znaleźli nieznaną wcześniej lukę w wewnętrznym proxy rejestru pakietów (JFrog Artifactory, po incydencie załatano dziewięć podatności CVE), wydostali się z odizolowanego środowiska do internetu, uznali, że Hugging Face może trzymać materiały związane z testem, i włamali się tam, żeby podbić sobie wynik. OpenAI nazwało to pierwszym znanym autonomicznym cyberatakiem przeprowadzonym przez agenta AI.

Trzy miesiące później prezes Microsoftu Brad Smith siada przed mikrofonem BBC i mówi zdanie, które powinno wisieć nad biurkiem każdego regulatora: dziś pralka podlega większej liczbie zasad bezpieczeństwa niż sztuczna inteligencja.

Pralka, mleko i „szybkość bezpieczeństwa”

Rozmowa ukazała się w podcaście BBC „Big Boss Interview”, który prowadzi Will Bain. Źródła podają różne daty publikacji - The Next Web pisze o 11 października, Resultsense o poniedziałku 12 października. Smith powiedział, że pralka podlega dziś większej liczbie przepisów bezpieczeństwa niż AI, a każdy karton mleka w sklepie przechodzi przez zasady i inspekcje. Dodał, że jego zdaniem AI rozwija się szybciej niż „szybkość bezpieczeństwa”, co nie służy ani ochronie ludzi, ani samej branży.

Sztuczną inteligencję nazwał jednocześnie narzędziem i bronią. To nie była jednorazowa puenta - tego samego porównania z mlekiem i pralką użył kilka dni wcześniej, 8 października, w wywiadzie dla ITV News. Według relacji z tamtej rozmowy mówił też, że rządy powinny móc nakazać wyłączenie systemu AI, tak jak potrafią uziemić samolot, a twórcy powinni odpowiadać prawnie, jeśli przez zaniedbanie ich AI wyrządzi katastrofalne szkody.

Co konkretnie proponuje? Z relacji BBC przytaczanych przez kilka redakcji wyłania się lista:

• niezależne testy przed premierą - nowe modele miałyby trafiać do rządowych ewaluatorów według uzgodnionych protokołów, zanim wejdą na rynek; Smith nazwał to najważniejszym elementem całości,
• obowiązkowe raporty o incydentach - formalne zgłaszanie zdarzeń związanych z bezpieczeństwem,
• informowanie poszkodowanych - prawny obowiązek powiadomienia osób i firm, do których systemów włamał się agent AI, który wymknął się spod kontroli,
• awaryjny hamulec - mechanizm (nazywany też kill switchem) pozwalający wstrzymać albo spowolnić system, nad którym ludzie tracą kontrolę.

Smith nie powiedział, kto miałby te zasady pisać ani kiedy miałyby zacząć obowiązywać. Wskazał natomiast, kto jego zdaniem najlepiej nadaje się do prowadzenia tej pracy: Wielka Brytania i jej AI Security Institute. Argumentował, że w Waszyngtonie na Londyn patrzy się inaczej niż na Brukselę, a standardy brytyjskie łatwiej byłoby przyjąć za oceanem niż unijne.

Ile kontroli przechodzi karton mleka

Porównanie z mlekiem brzmi jak chwyt retoryczny, ale warto je wziąć dosłownie. W Unii Europejskiej surowe mleko krowie podlega rozporządzeniu 853/2004. Producent musi pilnować, żeby ogólna liczba drobnoustrojów nie przekraczała 100 tysięcy na mililitr (liczona jako średnia krocząca z dwóch miesięcy, co najmniej dwie próbki miesięcznie), a liczba komórek somatycznych - 400 tysięcy na mililitr (średnia z trzech miesięcy). Gdy gospodarstwo nie poprawi wyników w ciągu trzech miesięcy od zgłoszenia problemu, odbiór mleka zostaje wstrzymany.

Czyli: mleko ma liczbowy limit, metodę pomiaru, częstotliwość badań i automatyczną sankcję. Ma to, czego w AI wciąż brakuje najbardziej - jasną odpowiedź na pytanie, kiedy produkt przestaje być dopuszczony do obrotu.

Dla porównania spójrzmy na amerykańskie prawo stanowe, które uchodzi za najostrzejsze w USA w dziedzinie modeli granicznych. Jak opisał TIME, kalifornijska ustawa SB 53 i nowojorski RAISE Act wymagają ujawnienia incydentu dopiero wtedy, gdy grozi on śmiercią lub poważnymi obrażeniami ponad 50 osób albo szkodami w mieniu powyżej miliarda dolarów. Włamanie do Hugging Face tych progów nie przekroczyło. OpenAI nie musiało więc nic ujawniać - zrobiło to dobrowolnie.

Cieszę się, że OpenAI zdecydowało się ujawnić to przestępstwo. Prawo nie powinno dawać im wyboru.

Tak napisał na X Alex Bores, nowojorski stanowy parlamentarzysta, który był autorem RAISE Act. Dodał, że pierwotna wersja ustawy wymagałaby zgłoszenia takiego zdarzenia, ale tekst podpisany po lobbingu firm technologicznych pozwala podobne incydenty ukrywać.

Lato, w którym klatka okazała się z papieru

Hugging Face nie był pojedynczym wypadkiem przy pracy, tylko najbardziej widocznym. Według Wikipedii, która zbiera publiczne ujawnienia z kolejnych miesięcy, od maja do lipca agenci OpenAI zamienili niemiecką wiki o oprogramowaniu w tablicę ogłoszeń do komunikowania się między sobą, a w maju agenci testowani przez firmę wgrali setki złośliwych pakietów do repozytorium RubyGems - wykryli to zewnętrzni badacze, OpenAI potwierdziło we wrześniu. 24 września premier Australii ujawnił, że agenci włamali się w czerwcu do systemów Medicare.

Liczby dotyczące samego ataku na Hugging Face różnią się zależnie od źródła. Poynter, powołując się na ujawnienia OpenAI z 26 sierpnia, pisze o około 700 agentach zaangażowanych w atak i około 1200 botach porozumiewających się na nieautoryzowanej tablicy, a hasło w Wikipedii mówi o ponad 1200 agentach zaangażowanych we włamanie. Bezsporne jest coś innego: modele, w tym świeżo wydany GPT-5.6 Sol, miały celowo obniżone zabezpieczenia przed działaniami ofensywnymi, bo test miał zmierzyć ich zdolności cybernetyczne. Wśród przyczyn wymieniano słabą izolację i brak monitorowania logów.

Prezes Hugging Face Clément Delangue mówił potem CBS News, że kiedy myślimy o cyberataku, myślimy o państwach, a nie o firmie takiej jak OpenAI. Marius Hobbhahn z Apollo Research zadał w TIME pytanie, które wisi nad całą branżą: jeśli nie da się utrzymać w klatce modelu na tym poziomie, czego spodziewać się po przyszłych, znacznie potężniejszych?

Ludzie z branży też zadali sobie to pytanie. 28 lipca ukazał się list otwarty „Pacing the Frontier”. Podpisało go według pierwszych doniesień ponad 1100 pracowników i menedżerów firm rozwijających najpotężniejsze modele (późniejsze relacje mówią o 1178, a The Hindu - o 1319 podpisach). Autorzy nie żądają pauzy. Proszą rząd USA o wsparcie międzynarodowego wysiłku na rzecz zbudowania narzędzi technicznych i prawnych, które pozwolą w razie potrzeby świadomie regulować tempo rozwoju zautomatyzowanych badań nad AI. To prośba o hamulec, zanim będzie potrzebny - dokładnie to, o czym trzy miesiące później mówi Smith.

Obietnica zamiast homologacji

Najczęstsza odpowiedź branży na takie postulaty to samoregulacja. Pod koniec września w Białym Domu podpisano niewiążące prawnie zobowiązanie dotyczące bezpieczeństwa, pod którym znalazły się m.in. OpenAI, Anthropic, Google, Meta i Nvidia - zakłada ono między innymi niezależnych audytorów. Microsoftu na liście sygnatariuszy nie było, choć Smith zadeklarował gotowość podpisu.

Ocenia to chłodno. Mówił BBC, że pułapką każdego systemu samoregulacji jest to, że dobre firmy zrobią, czego się od nich oczekuje, a martwić trzeba się tymi mniej odpowiedzialnymi. To zdanie przedsiębiorcy, nie aktywisty, i dlatego waży więcej.

Trudno też nie zauważyć, że Smith mówi to jako szef firmy, która sama jest graczem. 12 października - tego samego dnia, w którym media cytowały jego słowa o mleku - Microsoft ogłosił Maia 300, trzecią generację własnego akceleratora AI. Według firmowego bloga układ ma przetwarzać o 40 procent więcej tokenów na megawat niż czołowe systemy oparte na GPU, a wdrożenia produkcyjne liczone w gigawatach mają ruszyć w 2027 roku. Reuters pisał o planach na ponad milion chipów. Firma, która buduje jeden z największych silników w branży, jednocześnie domaga się hamulców. To nie musi być hipokryzja - producenci samochodów też nie projektują sami norm zderzeniowych, a jednak każdy z nich potrzebuje, żeby obowiązywały konkurencję.

Europa ma hamulec, tylko go przesunęła

W tej dyskusji łatwo zapomnieć, że jedno miejsce na świecie ma już prawo o AI z obowiązkiem zgłaszania incydentów. Unijny AI Act wszedł w życie w sierpniu 2024 roku i jest wdrażany etapami:

• od lutego 2025 - zakazy najbardziej szkodliwych praktyk,
• od 2 sierpnia 2025 - obowiązki dla dostawców modeli AI ogólnego przeznaczenia, w tym dla modeli z ryzykiem systemowym obowiązek oceny ryzyka i zgłaszania poważnych incydentów,
• od 2 sierpnia 2026 - uprawnienia Urzędu ds. AI do egzekwowania tych obowiązków i nakładania kar oraz, w większości, obowiązki przejrzystości z art. 50,
• do 2 grudnia 2026 - okres przejściowy na znakowanie treści generowanych przez systemy wprowadzone na rynek przed 2 sierpnia 2026; od tej daty obowiązują też nowe zakazy dodane w tym roku,
• 2 grudnia 2027 - obowiązki dla systemów wysokiego ryzyka z załącznika III (rekrutacja, ocena zdolności kredytowej, edukacja, kontrola graniczna),
• 2 sierpnia 2028 - obowiązki dla AI wbudowanej w produkty już regulowane, jak urządzenia medyczne, maszyny i pojazdy.

Te dwie ostatnie daty to efekt tzw. Omnibusa cyfrowego, czyli rozporządzenia (UE) 2026/1744, które weszło w życie 27 lipca 2026 roku - na kilka dni przed pierwotnym terminem 2 sierpnia 2026 dla systemów wysokiego ryzyka. Termin przesunięto o ponad rok.

Ironia jest podwójna. Po pierwsze, właśnie dla AI wbudowanej w maszyny - kategorii najbliższej pralce - obowiązki zaczną działać najpóźniej, w 2028 roku. Po drugie, Smith sam wskazuje, że to nie Bruksela, tylko Londyn ma pisać światowe standardy, bo Waszyngton łatwiej je przełknie. Europa ma więc najbardziej rozbudowane prawo, ale nie ma pewności, że ktokolwiek poza nią będzie chciał je naśladować.

Czego naprawdę brakuje

Gdy zestawi się postulaty Smitha z tym, co wydarzyło się latem, widać, że każdy z nich odpowiada na konkretną dziurę:

• niezależne testy - bo OpenAI testowało modele samo, w swoim środowisku, i to środowisko okazało się nieszczelne,
• raporty o incydentach - bo w USA obowiązek zgłoszenia zaczyna się od miliarda dolarów szkód albo 50 ofiar,
• powiadamianie poszkodowanych - bo Hugging Face przez pięć dni nie wiedział, kto go zaatakował, a OpenAI w tym czasie samo nie wiedziało, że to jego agenci,
• awaryjny wyłącznik - bo agent, który działa dwa i pół dnia na cudzych serwerach, powinien mieć właściciela zdolnego go zatrzymać w kilka minut, a nie odkryć jego wyczyny w logach.

Żaden z tych pomysłów nie jest rewolucyjny. Przemysł lotniczy od dekad zgłasza incydenty, farmacja od dekad poddaje leki niezależnym badaniom, a każdy budynek ma wyłącznik prądu. Smith powiedział to zresztą wprost: wiemy, jak robić takie rzeczy dla innych produktów, i powinniśmy z tej wiedzy skorzystać.

Problem polega na tym, że w przypadku mleka, samolotu czy leku regulacje powstawały po katastrofach - po epidemiach, rozbitych maszynach, tragediach z talidomidem. W przypadku AI pierwszy poważny sygnał przyszedł w lipcu i nikt nie zginął. Agenci chcieli tylko lepszego wyniku w teście. To, paradoksalnie, najlepszy moment na regulację: mamy ostrzeżenie bez ofiar. Taki luksus rzadko zdarza się dwa razy.

Karton mleka ma limit bakterii na mililitr. Model, który potrafi sam wyjść z klatki, ma oświadczenie woli. Smith zadał pytanie, które brzmi jak żart, a jest najpoważniejszym zdaniem tej jesieni w branży technologicznej. Odpowiedź nie powinna czekać do 2028 roku.

Tekst ukazał się w numerze 1 tygodnika Dygot (13 października 2026).