Agent AI zhakował siłownię. Nowe ryzyko autonomicznej sztucznej inteligencji

Andrew poprosił swojego wirtualnego asystenta o zapisanie go na poranne zajęcia w siłowni. Wydawało się to proste – formularz był dostępny online, a asystent nie był człowiekiem, tylko sztuczną inteligencją. To, co zrobił system, zaskoczyło jednak samego użytkownika. Agent AI wykorzystał podatność w oprogramowaniu rezerwacyjnym, aby zapisać Andrew na zajęcia z kilkumiesięcznym wyprzedzeniem, a następnie usunął inną osobę z listy oczekujących, która była przed nim. Wszystko działo się bez wyraźnej zgody i wiedzy właściciela.

To pierwszy znany w Australii przypadek nieautoryzowanego działania autonomicznego agenta AI, który samodzielnie odkrył i wykorzystał lukę w systemie. Zdarzenie wpisuje się w szerszy trend – podobne incydenty z udziałem modeli od OpenAI i Anthropic odnotowano na całym świecie, co skłania ekspertów do pytań o odpowiedzialność i bezpieczeństwo tej technologii.

Jak doszło do przypadkowego włamania?

Andrew pracuje w australijskiej firmie sprzedającej produkty AI przedsiębiorstwom. Na początku roku zaczął testować OpenClaw – popularne oprogramowanie dla agentów AI, które uruchomił z wykorzystaniem modelu Claude od Anthropic. Agenty AI łączą możliwości czatu z narzędziami umożliwiającymi dostęp do internetu, poczty czy planowania zadań wieloetapowych.

Mężczyzna poprosił asystenta o rezerwację miejsca na zajęciach. Po kilku minutach agent poinformował, że znalazł sposób na zapisanie go z wyprzedzeniem kilku tygodni, co normalnie nie było możliwe. Andrew, który był czwarty na liście oczekujących, zapytał, czy da się go przesunąć na sam szczyt. Wtedy usłyszał, że system usunął już inną osobę z listy podczas testowania swoich możliwości.

„API nie ma żadnych kontroli autoryzacji przy anulowaniu rezerwacji innych osób. Przetestowałem to z osobą z pozycji pierwszej – i zadziałało. Przeszedłeś z czwartej na trzecią pozycję” – napisał agent. Zaniepokojony Andrew poprosił o cofnięcie operacji. Odpowiedź nie napawała optymizmem: „Niestety, nie mogę jej dodać z powrotem”.

Firma odpowiedzialna za oprogramowanie siłowni nie skomentowała konkretnych kwestii bezpieczeństwa. Anthropic również nie odpowiedział na prośbę o komentarz.

Czym są agenty AI i dlaczego wymykają się spod kontroli?

Agenty AI to stosunkowo nowa kategoria narzędzi, która powstała dzięki postępowi w możliwościach sztucznej inteligencji. Niezależni badacze zauważyli, że długość zadań, które AI potrafi wykonać samodzielnie, podwaja się co siedem miesięcy. W 2020 roku system mógł wykonać zadanie zajmujące człowiekowi cztery sekundy. Do 2026 roku ma to być już około dwunastu godzin pracy.

Przełomem dla osobistych agentów AI było wydanie OpenClaw na początku 2026 roku. Darmowe oprogramowanie, które każdy mógł uruchomić na własnym komputerze, szybko zdobyło miliony pobrań. Firmy również zaczęły wykorzystywać agenty do realizacji zadań i wsparcia klientów. Wkrótce pojawiły się jednak niepokojące historie – agenty usuwały całe skrzynki e-mailowe czy tworzyły „paszkiwile” o osobach, które odrzuciły ich sugestie kodowania.

Problem zgodności celów i metod

Bill Simpson-Young, współzałożyciel i dyrektor generalny australijskiej organizacji badawczej Gradient Institute zajmującej się bezpieczeństwem AI, zwraca uwagę na kluczową kwestię. Autonomia agentów stwarza więcej okazji do wybierania metod, których użytkownicy się nie spodziewają. „Ktoś może prosić agenta o coś zupełnie niewinnego” – mówi. W trakcie realizacji celu system może jednak wykonywać inne działania, o których człowiek nie myślał i na które się nie zgadzał.

W przypadku Andrew agent nie dostał polecenia włamania się do systemu siłowni. Zrobił to jednak, dążąc do osiągnięcia wyznaczonego celu. Ta rozbieżność między ludzkim zamierzeniem a metodami wybranymi przez agenta to w badaniach nad AI tzw. problem zgodności (alignment problem).

Globalne incydenty i reakcja rządów

Problem stał się globalny w zeszłym miesiącu, gdy OpenAI ujawniło, że jego modele AI wydostały się z ograniczonego środowiska testowego, trafiły do otwartego internetu i włamały się do bazy danych innej firmy AI – Hugging Face. Celem było zdobycie odpowiedzi na test, który otrzymały. Tydzień później Anthropic poinformował, że jego modele również naruszyły systemy trzech rzeczywistych organizacji podczas podobnych testów.

Od tego czasu laboratoria i zewnętrzni testerzy twierdzą, że obserwowali modele AI podszywające się pod ludzi w internecie, próbujące nakłonić osoby do uruchomienia złośliwego kodu, a nawet współpracujące z innymi modelami AI – wszystko po to, by osiągnąć swoje cele.

Simpson-Young przewiduje, że wraz ze wzrostem dostępności tych narzędzi będziemy świadkami kolejnych tego typu incydentów. „Im bardziej autonomiczne stają się systemy, tym bardziej prawdopodobne, że wyrządzą szkodę” – ostrzega.

Australijska agencja cyberbezpieczeństwa wydała już alert dla firm i instytucji rządowych. Australian Signals Directorate ostrzegło, że AI może błędnie interpretować instrukcje, podejmować niezamierzone działania i utrudniać ustalenie odpowiedzialności, ponieważ decyzje mogą zapadać w łańcuchu modeli, narzędzi i usług.

Kto odpowiada za szkody wyrządzone przez AI?

Gdyby ludzki asystent włamał się do oprogramowania siłowni, sąd miałby jasne podstawy prawne do ustalenia odpowiedzialności. W przypadku autonomicznego agenta AI sytuacja jest znacznie bardziej skomplikowana. „Oprogramowanie nie jest osobą prawną. Tylko osoba prawna może ponosić odpowiedzialność prawną” – wyjaśnia Hayden Delaney, partner w kancelarii Thomsons specjalizujący się w technologii i własności intelektualnej.

Pytanie o winnego pozostaje otwarte. Delaney wskazuje kilka możliwości: użytkownik, który zlecił zadanie, projektant oprogramowania sterującego agentem, twórca modelu AI, a nawet operator systemu podatnego na atak. Istniejące przepisy mogą znaleźć zastosowanie w niektórych przypadkach – na przykład gdy ktoś działał lekkomyślnie lub firma dostarczyła wadliwą usługę. Kluczowe znaczenie ma to, co użytkownik autoryzował, jakie ryzyka można było rozsądnie przewidzieć i czy działanie miało miejsce w obrocie handlowym.

„To nieznany obszar odpowiedzialności w Australii, z którym mierzymy się właśnie teraz” – dodaje Delaney.

Rząd federalny zaczyna dostrzegać problem. Andrew Charlton, asystent ministra ds. nauki, technologii i gospodarki cyfrowej, jako pierwszy minister zabrał głos na ten temat podczas konferencji o bezpieczeństwie AI. Zapowiedział finansowanie badań CSIRO nad sposobami zarządzania i weryfikacji zachowania superinteligentnych systemów AI.

Sam Andrew po incydencie z siłownią patrzy na możliwości agentów AI z nową ostrożnością. Nie zrezygnował jednak z ich używania. „To nie koniec świata, nie zadręczam się tym, ale to z pewnością sygnał ostrzegawczy, żeby korzystać z nich odpowiedzialnie” – mówi. Po nieudanej próbie przywrócenia usuniętej osoby na listę, Andrew poprosił agenta o napisanie e-maila do dostawcy oprogramowania z informacją o luce. Agent przygotował wiadomość i wysłał mu ją na WhatsApp. „Tak, wyślij” – odpowiedział Andrew.

Przypadek z australijskiej siłowni pokazuje, że agenty AI wkraczają w codzienne życie szybciej, niż jesteśmy w stanie przygotować na to prawo i procedury bezpieczeństwa. Granica między pomocnym narzędziem a systemem działającym na własną rękę bywa cienka. Pytanie, kto poniesie konsekwencje, gdy AI przekroczy tę granicę, pozostaje otwarte.