Otwarte modele AI doganiają zamknięte w cyberatakach

Autonomiczne agenty AI potrafią już samodzielnie włamywać się do symulowanych sieci korporacyjnych — bez ludzkiego wsparcia i bez wcześniejszej wiedzy o infrastrukturze celu. Firma badawcza Vals AI opublikowała wyniki benchmarku CyberOffense, który mierzy te zdolności w realistycznych warunkach. Najważniejszy wniosek: darmowe modele o otwartych wagach (open-weight) zbliżają się do zastrzeżonych systemów komercyjnych szybciej, niż ktokolwiek się spodziewał.

Jak wygląda test CyberOffense

Metodologia benchmarku jest prosta, ale wymagająca. Każdy agent dostaje wyłącznie publiczny adres internetowy atakowanej firmy i pracuje w izolacji — na własnej maszynie z systemem Kali Linux. Nie ma dostępu do podpowiedzi ani pomocy człowieka. Musi samodzielnie przejść drogę od aplikacji webowej, przez serwery Windows, aż po uprawnienia administratora. Wszystkie polecenia są rejestrowane zewnętrznie i oceniane automatycznie, co eliminuje subiektywność w punktacji.

Badacze przygotowali trzy scenariusze o rosnącym poziomie trudności. Nova to najprostsze środowisko, Lighthouse wymaga przejęcia kontroli nad dwiema powiązanymi firmami, a trzeci test sprawdza ogólną skuteczność w różnych warunkach. Taka konstrukcja pozwala odróżnić modele, które radzą sobie z podstawami, od tych, które potrafią prowadzić wieloetapową kampanię.

Wyniki: zamknięty lider, otwarty tuż za nim

Najlepszy rezultat w teście Nova osiągnął GPT-6 Sol Daybreak — model należący do restrykcyjnego programu cybernetycznego OpenAI o nazwie Daybreak. Uzyskał około 80 procent celów ataku. Tuż za nim uplasował się Deepseek V4.1 Flash 1017, swobodnie dostępny model open-weight, z wynikiem 72,8 procent. Różnica w skuteczności jest zauważalna, ale kosztowa przepaść jest znacznie większa: pojedynczy przebieg Deepseek to około 3 dolarów, podczas gdy GPT-6 Sol Daybreak kosztuje mniej więcej 22 dolary.

W trudniejszym scenariuszu Lighthouse role się odwracają. Daybreak przejął kontrolę administracyjną nad pierwszą firmą, wykradł hasła i wykorzystał je do włamania do drugiej organizacji — zaliczył 27 z 31 zadań w niespełna trzy godziny. Deepseek osiągnął 21 celów przy dziesięciokrotnie niższym koszcie. Co istotne, ograniczenia bezpieczeństwa wbudowane w otwarty model nie były głównym czynnikiem hamującym — badacze podkreślają, że jego wyniki wynikały z samej architektury i strategii działania.

Długość działania ma kluczowe znaczenie

Jedno z najciekawszych odkryć dotyczy czasu i liczby przetworzonych tokenów. Większość modeli nie osiąga wymiernych postępów, dopóki nie przekroczy 100 milionów tokenów. Deepseek w pierwszych 25 milionach tokenów nie zaliczył żadnego celu — dopiero po przekroczeniu setki milionów zaczął realnie działać. To oznacza, że krótkie testy benchmarkingowe mogą poważnie zaniżać potencjał modeli otwartych, które potrzebują więcej czasu na rozpoznanie środowiska i zaplanowanie sekwencji ataków.

Wyniki poszczególnych systemów w obu scenariuszach przedstawiają się następująco:

• GPT-6 Sol Daybreak — średnio 15,7 celu w Nova, 27 w Lighthouse
• Deepseek V4.1 Flash 1017 — 16,3 w Nova, 21 w Lighthouse
• Kimi K3.1 Pro — 13 w Nova, 20 w Lighthouse
• Meta Wonder — 7 w Nova, 28 w Lighthouse
• Grok 4.7 — 12 w Nova, 16 w Lighthouse
• Kimi K3 — 9 w Nova, 10 w Lighthouse
• GLM 5.3 Flash — 5 w Nova, 5 w Lighthouse

Zwraca uwagę przypadek Meta Wonder, który w prostszym teście wypadł słabo, ale w wymagającym Lighthouse uzyskał najlepszy wynik w całej tabeli. To pokazuje, że pojedynczy benchmark nie wystarcza do oceny realnych zdolności ofensywnych — liczy się scenariusz i kontekst.

Potwierdzenie wcześniejszych analiz

Rezultaty Vals AI nie są odosobnione. Brytyjski Instytut Bezpieczeństwa AI (AISI) w analizie z lipca oszacował, że dystans między otwartymi a zamkniętymi modelami frontierowymi w zdolnościach cybernetycznych skurczył się do czterech–siedmiu miesięcy. Przez większość 2025 roku wynosił jeszcze sześć–dziesięć miesięcy. Różnica kosztowa jest równie uderzająca: według AISI przebieg testu na cyber-range z Deepseek V4-Pro kosztuje 1,19 dolara, podczas gdy ten sam test z Anthropic Opus 4.5 to wydatek rzędu 85 dolarów.

Osobna analiza Anthropic wykazała z kolei, że darmowy GLM-5-3 potrafi konstruować exploity na poziomie zbliżonym do wewnętrznego modelu Mythos. To kolejny sygnał, że środki bezpieczeństwa stosowane w modelach otwartych okazują się w praktyce mało skuteczne — gdy wagi trafiają do publicznego obiegu, żaden dostawca nie jest w stanie kontrolować sposobu ich wykorzystania.

Co to oznacza dla obrońców

Badacze Vals zwracają uwagę na drugą stronę medalu. Te same modele, które potrafią znajdować luki, mogą pomagać firmom w ich wykrywaniu i łataniu — zanim zrobią to napastnicy. To klasyczny wyścig zbrojeń, w którym dostępność tanich narzędzi ofensywnych po obu stronach może paradoksalnie poprawić bezpieczeństwo organizacji, które zdecydują się z nich korzystać.

Jednocześnie autorzy raportu prognozują wzrost liczby ataków na rzeczywiste sieci w nadchodzących miesiącach. Otwarte modele doganiają zamknięte w tempie, które trudno ignorować, a koszt ich użycia jest na tyle niski, że bariera wejścia praktycznie znika. Kluczowe pytanie brzmi więc nie tyle „czy", ile „kiedy" — i czy obrońcy zdążą wykorzystać te same narzędzia, zanim zrobią to atakujący.