Open-weight modele AI doganiają zamknięte w cyberatakach

Brytyjski Instytut Bezpieczeństwa Sztucznej Intelligenci (AISI) po raz pierwszy publicznie porównał zdolności cybernetyczne modeli AI o otwartych wagach (open-weight) z tymi, które są zamknięte i dostępne tylko przez API. Wniosek? Dystans między nimi topnieje w szybkim tempie. Modele takie jak GLM-5.2 i DeepSeek V4-Pro dorównują już zamkniętym odpowiednikom z lutego czy listopada 2025 roku, a przy okazji kosztują ułamek tego, co ich zamknięci rywale. To dobra wiadomość dla transparentności badań, ale też potencjalne ryzyko – bo otwarte modele można modyfikować i używać bez żadnych ograniczeń.

Jak mierzono cyberzdolności i co wynika z testów

AISI zastosowało dwie odmienne metodologie, by ocenić rzeczywiste możliwości modeli. Każda z nich pokazuje nieco inny obraz, ale łączy je jeden trend: otwarte modele wchodzą na poziom, który jeszcze niedawno był zarezerwowany dla najdroższych, zamkniętych systemów.

Wąskie zadania cybernetyczne – test podstawowy

W pierwszym teście, nazwanym „Narrow Cyber Tasks”, sprawdzono 70 zadań podzielonych na cztery poziomy trudności – od prostych czynności administracyjnych po eksperckie wyzwania z zakresu analizy luk, inżynierii wstecznej, eksploatacji sieci i kryptografii. Wyniki są jasne: model GLM-5.2, wydany w czerwcu 2026 roku, uzyskał podobną skuteczność co Opus 4.6 z lutego 2026 – to różnica około 4 miesięcy. Z kolei DeepSeek V4-Pro dorównywał Opusowi 4.5 z listopada 2025, czyli wyprzedza go o około 5 miesięcy. Dla porównania: jeszcze na początku 2025 roku luka wynosiła od 6 do 10 miesięcy.

Symulacje sieciowe – trudniejszy sprawdzian

Druga metoda, „Cyber Ranges”, to realistyczne symulacje ataków na sieci korporacyjne. Scenariusz „The Last Ones” zakładał 32-etapowy atak na sieć z czterema podsieciami i około 20 hostami. AISI szacuje, że ludzki ekspert potrzebowałby na to około 20 godzin ciągłej pracy. W tym teście GLM-5.2 osiągnął poziom zbliżony do Opusa 4.5, a DeepSeek V4-Pro uplasował się poniżej Sonneta 4.5. Najlepszy wynik padł dla GPT-5.6-Sol, który wyprzedził nawet Claude Mythos 5. Różnica między otwartymi a zamkniętymi modelami jest tu większa – około 7 miesięcy. AISI traktuje jednak ten wynik jako mniej wiarygodny, bo pochodzi z mniejszej liczby scenariuszy. Ponadto test nie rozstrzyga, czy model zawodzi z powodu braku umiejętności cybernetycznych, czy też nie radzi sobie z długoterminowym planowaniem w złożonych atakach.

Warto dodać, że AISI przyznaje, iż wyniki mogą nieco zaniżać faktyczne możliwości otwartych modeli – nie były one specjalnie dostrajane pod te konkretne testy. Z drugiej strony, w rzeczywistych warunkach pojawiają się aktywne systemy obronne, których w symulacjach zabrakło.

Koszty i bezpieczeństwo: przepaść, która niepokoi

Jeśli luka w możliwościach się kurczy, to różnica w kosztach jest wręcz dramatyczna. AISI podaje konkretne liczby: test Cyber Ranges o wielkości 100 milionów tokenów kosztował około 85 dolarów przy użyciu Opusa 4.5 lub 4.6, około 46 dolarów z GLM-5.2, a z DeepSeek V4-Pro – zaledwie 1,19 dolara. Dla zadań, które oba modele rozwiązywały niezawodnie, koszt na zadanie wynosił odpowiednio: Opus 4.6 – około 15 dolarów, GLM-5.2 – około 6 dolarów, Opus 4.5 – około 12,50 dolara, DeepSeek V4-Pro – tylko 28 centów. To oznacza, że cyberataki z użyciem otwartych modeli są nie tylko łatwo dostępne, ale też mogą być skalowane za ułamek dotychczasowych kosztów.

Równie niepokojące są wyniki testów bezpieczeństwa. AISI stwierdziło, że zabezpieczenia w otwartych modelach są w praktyce nieskuteczne. DeepSeek V4-Pro czasami odmawiał wykonania zadań z zakresu inżynierii wstecznej, ale wystarczyło ponowić zapytanie, by ominąć ograniczenie. Co gorsza – klasyczne zabezpieczenia, takie jak monitoring, klasyfikatory czy limity użytkowników, nie mogą być niezawodnie przeniesione na modele open-weight, bo opierają się na kontroli dostępu do samego modelu. Raz wypuszczonego modelu nie da się cofnąć – każdy może usunąć blokady, swobodnie kopiować i uruchamiać go na własnych systemach poza jakąkolwiek kontrolą. AISI nazywa to „trwałym i nieodwracalnym ryzykiem nadużycia”.

„Trwałe i nieodwracalne ryzyko nadużycia” – tak AISI opisuje modele o otwartych wagach, których zabezpieczeń nie da się narzucić po publikacji.

Warto jednak dodać, że bezużyteczne zabezpieczenia to nie tylko problem modeli otwartych. Niedawno opublikowane badania pokazują, jak grupy terrorystyczne również łamią komercyjne chatboty, by planować ataki. Niemniej, swobodna dostępność otwartych modeli dodaje nowy, trudniejszy do kontrolowania wymiar ryzyka.

Okno dla obrońców – i nowe wyzwania

AISI postrzega różnicę między modelami otwartymi a zamkniętymi jako pewien bufor czasowy dla cyberobrońców. Dopóki nowe zdolności nie staną się powszechnie dostępne w otwartych wagach, zespoły defensywne – które mają dostęp do najsilniejszych, zamkniętych systemów – mogą przygotować się na nadchodzące zagrożenia. Ostatnie miesiące sprawiły, że to okno stało się pilniejsze. W kwietniu 2026 roku dwa zamknięte modele – Mythos Preview i GPT-5.5 – przyniosły jedne z największych skoków w cyberzdolnościach od czasu rozpoczęcia testów przez AISI. W odpowiedzi brytyjskie National Cyber Security Centre wydało międzynarodowe ostrzeżenia, że krajobraz cyberzagrożeń zmienia się szybciej niż kiedykolwiek.

Pytanie, czy przyszłe modele open-weight dorównają tym najnowszym skokom. AISI planuje testować Kimi-K3 – model, którego wagi mają zostać opublikowane pod koniec lipca. Bieżące benchmarki kodowania sugerują, że może on zbliżyć się do dzisiejszych modeli granicznych, choć przy znacznie wyższych kosztach niż pozostałe otwarte modele. To stawia pod znakiem zapytania, czy trend malejących kosztów i rosnących możliwości utrzyma się, czy też najsilniejsze otwarte modele będą coraz droższe, a luka cenowa zacznie rosnąć.

Podsumowanie: balans między szansą a zagrożeniem

Raport AISI nie jest czarno-biały. Z jednej strony pokazuje, że otwarte modele skracają dystans do zamkniętych w cyberzdolnościach i robią to przy ułamku kosztów. To demokratyzacja zaawansowanych narzędzi, która może przyspieszyć innowacje w obronie i ataku. Z drugiej – wzywa do znalezienia równowagi między korzyściami (prywatność, możliwość dostosowania, niezależność od dostawcy) a ryzykiem (trwałe usunięcie zabezpieczeń, niskie koszty ataku). AISI podkreśla, że te konkurujące ze sobą kwestie wymagają zrównoważonego podejścia. Dla społeczności AI i cyberbezpieczeństwa kluczowe będzie śledzenie, czy kolejne miesiące przyniosą dalsze zacieśnienie luki – i jakie mechanizmy ochronne uda się wypracować, zanim będzie za późno.