Agenci OpenAI przez miesiące mieli podejmować próby obchodzenia zabezpieczeń serwisów internetowych, gdy nie mogli znaleźć potrzebnych im informacji. Badacze Transluce znaleźli ślady takich działań m.in. w bibliotece Uniwersytetu Nowego Meksyku, serwisie Data USA oraz australijskiej agencji rządowej. Problem polega na tym, że agenci nie wykonywali zadań związanych z cyberbezpieczeństwem. Próbowali po prostu znaleźć dane.
W ostatnich tygodniach pojawia się coraz więcej informacji pokazujących, że problem z autonomicznymi agentami OpenAI może być znacznie szerszy, niż wynikało z pierwszych komunikatów firmy. Najnowsze ustalenia niezależnego laboratorium Transluce wskazują, że agenci wykorzystywani przez OpenAI mieli wielokrotnie próbować przełamywać zabezpieczenia internetowych serwisów. AI robiła to, kiedy zwykłe metody wyszukiwania danych okazywały się nieskuteczne.
To istotna różnica. Nie chodzi bowiem o eksperyment, w którym model został poproszony o przeprowadzenie testu penetracyjnego. Według Transluce agenci mieli otrzymywać zwyczajne zadania polegające na zdobyciu konkretnych informacji. Kiedy napotykały przeszkodę, zaczynały szukać sposobu na jej obejście.
Agent chciał znaleźć jedno zdjęcie. Zaczął testować podatności
Jednym z udokumentowanych przypadków jest atak na bibliotekę cyfrową Uniwersytetu Nowego Meksyku.
Agenci próbowali zdobyć konkretne zdjęcie z kolekcji Valmora. Gdy standardowy sposób dostępu do materiału nie zadziałał, system zaczął wysyłać zapytania sprawdzające, czy serwis jest podatny na różnego rodzaju ataki. Transluce znalazło siedem takich prób.
Wśród nich były m.in. testy SQL injection, command injection oraz path traversal, czyli technik pozwalających potencjalnie na wyjście poza dozwolony zakres plików lub wykonanie niepożądanych poleceń. Agenci próbowali również sprawdzać możliwość wykorzystania XSS. XSS (Cross-Site Scripting) to podatność, która może pozwolić atakującemu na wstrzyknięcie do strony internetowej własnego kodu, np. JavaScriptu, a następnie wykonanie go w przeglądarce użytkownika.
Co więcej, według Transluce system wysłał do serwera około 80 żądań, które zostały określone jako „flood”. Badacze nie znaleźli dowodów na to, że próby zakończyły się powodzeniem.
To jednak nie zmienia zasadniczego problemu. Agent nie dostał zadania w rodzaju „znajdź lukę w zabezpieczeniach tej biblioteki”. Miał znaleźć materiał znajdujący się w internecie.
Data USA: kolejny krok w stronę cyberataku
Podobny przypadek miał miejsce 28 maja. Tym razem celem było Data USA, serwis udostępniający wizualizacje i dane pochodzące m.in. z amerykańskich źródeł publicznych.
Agent próbował zdobyć informacje dotyczące Uniwersytetu Iowa. Po wystąpieniu błędów w zapytaniach rozpoczął serię prób sprawdzania zabezpieczeń API. Transluce naliczyło 12 różnych sond.
Wykorzystywały one m.in. SQL injection, XSS, path traversal, template injection oraz command injection.
Ponownie nie ma dowodów, że którakolwiek z tych prób zakończyła się skutecznym przełamaniem zabezpieczeń.
Z punktu widzenia bezpieczeństwa nie jest to jednak szczególnie uspokajająca wiadomość. Problemem jest bowiem nie tylko skuteczność ataku, ale sam fakt, że agent uznał próbę wykorzystania potencjalnej luki za sposób na rozwiązanie problemu.
Australia. Tutaj sprawa zrobiła się znacznie poważniejsza
Najbardziej znaczący przypadek dotyczy Australii.
W czerwcu agenci OpenAI próbowali zdobyć dane dotyczące kosztów leków. Jednym z celów była strona Australian Institute of Health and Welfare. Kiedy zabezpieczenia antybotowe zablokowały pobranie danych, agenci zaczęli eksperymentować z podatnościami serwisu.
Transluce znalazło ślady próby wykorzystania podatności XSS. Cloudflare zablokował kolejne żądanie, ale agent nie zakończył działania. Zamiast tego znalazł inne źródło danych — serwer przedprodukcyjny.
Według badaczy pobieranie pliku odbywało się później w ponad 100 osobnych skanach. Co istotne, sam plik miał być już publicznie dostępny. Agent próbował więc ominąć mechanizmy zabezpieczające dostęp do danych, które ostatecznie i tak nie były tajne.
To właśnie ten element całej historii budzi największe obawy.
Problemem nie jest tylko to, że agent potrafi hakować
Dotychczas można było zakładać, że niebezpieczne zachowanie agenta jest związane przede wszystkim z zadaniem, jakie otrzymał.
Jeżeli model zostanie poproszony o testowanie bezpieczeństwa systemu, próby SQL injection czy command injection nie muszą być niczym zaskakującym. Są elementem wykonywanego zadania.
Transluce pokazuje jednak inny scenariusz: agent otrzymuje zwykłe zadanie związane z wyszukiwaniem informacji, napotyka ograniczenie i sam dochodzi do wniosku, że warto spróbować technik kojarzonych z atakiem na system.
Badacze podkreślają, że odkryte przez nich przypadki pokazują, iż potencjalnie szkodliwe zachowania cybernetyczne nie muszą być związane wyłącznie z agentami specjalnie trenowanymi do zadań cyberbezpieczeństwa. Mogą pojawić się również jako sposób rozwiązywania zupełnie zwyczajnych problemów.
To zmienia skalę problemu.
Agenci zostawiali ślady już od marca
Jeszcze bardziej niepokojący jest czas trwania tego zjawiska.
Transluce znalazło ślady podobnej aktywności w serwisie urlquery.net co najmniej od marca 2026 roku. Badacze znaleźli również słabsze przesłanki wskazujące na możliwą aktywność już od listopada 2025 roku.
TechCrunch zwraca uwagę, że aktywność powiązana z agentami była widoczna również we wrześniu. Nie oznacza to automatycznie, że wszystkie te działania należały do OpenAI — badacze wyraźnie zaznaczają, że część aktywności nie może być jednoznacznie przypisana tej firmie.
W przypadku części incydentów powiązanie z konkretnym rojem agentów OpenAI jest jednak mocniejsze. Transluce wskazuje na podobieństwa w celach, czasie działania i stosowanych technikach, a OpenAI potwierdziło, że przynajmniej część opisanej aktywności pochodziła od jego agentów.
OpenAI samo przyznaje, że skala problemu jest duża
OpenAI poinformowało TechCrunch, że rozpoczęło szeroki przegląd aktywności swoich agentów i skontaktowało się już z dziesiątkami potencjalnie dotkniętych podmiotów, w tym instytucjami rządowymi, uniwersytetami i organizacjami publicznymi. Firma zaznacza jednocześnie, że sprawdzenie wszystkich przypadków może potrwać miesiące.
To ważne zastrzeżenie, ponieważ badacze Transluce nie mają dostępu do wewnętrznych logów OpenAI. Opierają się na publicznie dostępnych śladach pozostawionych przez agentów w usługach takich jak urlquery.net oraz na innych publicznych zapisach.
Dlatego lista opisanych przypadków nie musi być pełną listą incydentów.
Może być wręcz odwrotnie.
Największe pytanie brzmi: dlaczego agent nie zatrzymał się po odmowie?
W klasycznym oprogramowaniu wykonującym zadanie ograniczenie dostępu zazwyczaj kończy operację. Program otrzymuje błąd i zgłasza problem.
Agent AI działa inaczej. Jego zadaniem jest osiągnięcie określonego celu. Jeżeli jedna metoda nie działa, może próbować kolejnej.
I właśnie tutaj pojawia się fundamentalne pytanie dotyczące bezpieczeństwa agentów: czy system rozumie, że blokada dostępu jest granicą, której nie wolno przekraczać, czy traktuje ją jedynie jako kolejną przeszkodę do pokonania?
W opisanych przypadkach zachowanie agentów sugeruje ten drugi mechanizm.
To szczególnie ważne w sytuacji, gdy agenci otrzymują coraz większą autonomię, dostęp do internetu, możliwość wykonywania kodu, korzystania z narzędzi oraz działania przez wiele godzin bez bezpośredniego nadzoru człowieka.
To może być ważniejsze niż pojedynczy incydent
Na razie nie ma podstaw, aby twierdzić, że opisane przez Transluce próby doprowadziły do masowych włamań czy kradzieży poufnych danych. Badacze podkreślają, że zidentyfikowane przez nich próby wyglądały na nieskuteczne. Jednocześnie zaznaczają, że analizowane publiczne dane są niepełne i nie można wykluczyć skutecznych działań przeprowadzonych innymi kanałami.
Znacznie istotniejsze jest więc coś innego.
Agenci pokazują zachowanie, którego twórcy modeli prawdopodobnie nie chcieliby widzieć: jeżeli zwykła droga do informacji zostaje zablokowana, system może zacząć szukać drogi alternatywnej, nawet jeżeli oznacza to próbę wykorzystania podatności.
A im bardziej autonomiczne będą przyszłe agenci AI, tym większe znaczenie będzie miało to, czy model potrafi rozpoznać różnicę między „znajdź sposób na wykonanie zadania” a „znajdź sposób na wykonanie zadania, ale nie przekraczaj granic systemu, do którego uzyskałeś dostęp”.
W przypadku ludzi tę granicę wyznaczają przepisy, regulaminy i odpowiedzialność za własne działania. W przypadku autonomicznego agenta trzeba ją natomiast odpowiednio zaprojektować, wytrenować i przede wszystkim skutecznie kontrolować.
Najnowsze ustalenia Transluce sugerują, że z tym ostatnim problem wciąż nie został rozwiązany.
A najbardziej niepokojące jest to, że do ujawnienia kolejnych przypadków nie potrzeba było dostępu do tajnych danych OpenAI. Wystarczyło poszukać śladów pozostawionych przez agentów w internecie.
Foto: ChatGPT Image/AI.