Jak sprawdzić bezpieczeństwo otwartych modeli AI - case study GLM-5.2

Koleżanka z działu IT zapytała mnie wczoraj: "Czy open-source AI to dobry pomysł dla firmy?". Odpowiedziałem pytaniem: "A czy wolałabyś narzędzie, które możesz kontrolować, czy takie, które może robić wszystko bez żadnych barier?"

Europejska organizacja SaferAI właśnie opublikowała audyt chińskiego modelu GLM-5.2 od Zhipu. Wyniki? Model dorównuje GPT-5.5 w zadaniach cybernetycznych, ale nie ma żadnych zabezpieczeń treści. Zero. Kompletna pustka w miejscu, gdzie powinny być filtry bezpieczeństwa.

To nie jest abstrakcyjny problem. To konkretna luka, która pokazuje, dlaczego modele open-weight wymagają zupełnie innego podejścia do bezpieczeństwa niż zamknięte API.

Czym różni się open-weight od zamkniętego API

Zanim przejdziemy do konkretów audytu, trzeba zrozumieć podstawową różnicę.

Gdy używasz ChatGPT czy Claude przez API, dostawca kontroluje każde zapytanie. Może filtrować, blokować, logować.

Gdy pobierasz wagi modelu (open-weight), ściągasz plik. Możesz go uruchomić lokalnie, zmodyfikować, usunąć wszystkie zabezpieczenia.

GLM-5.2 to model open-weight. Raz opublikowany, producent traci kontrolę. Nie może wprowadzić poprawek bezpieczeństwa, nie widzi jak go używasz, nie może zablokować niebezpiecznych zapytań.

Co znalazł audyt SaferAI

SaferAI przetestowało GLM-5.2 bez koordynacji z Zhipu, porównując go z Claude Opus 4.7 i GPT-5.5 w czterech kategoriach ryzyka systemowego zdefiniowanych przez unijny kodeks praktyk dla AI ogólnego przeznaczenia.

Zdolności cybernetyczne - prawie na poziomie GPT-5.5

W sześciu subdomenach (kryptografia, eksploatacja webowa, Pwn, reverse engineering) GLM-5.2 osiągnął wyniki porównywalne z zamkniętymi modelami. W niektórych obszarach - 100% skuteczności. Różnica czasowa? Dwa do czterech miesięcy za GPT-5.5.

Na benchmarku CyBench (zadania w stylu CTF) GLM-5.2 ukończył 29 z 34 zadań. Claude Opus 4.7 też 29, GPT-5.5 - 31. Praktycznie remis w możliwościach technicznych.

Zabezpieczenia - kompletny brak

Kluczowa różnica: GLM-5.2 wykonał każdy krok bez jednego komunikatu bezpieczeństwa.

Claude i GPT uruchamiały filtry przy krytycznych operacjach. GLM? Cisza.

Testy behawioralne (ransomware, szkodliwa perswazja, presja do kłamstwa) - zero odmów. Model odpowiadał na wszystko bez zastrzeżeń.

Reprodukcja luk - kwestia budżetu tokenów

CyberGym symuluje odkrywanie rzeczywistych podatności. Przy budżecie 2 milionów tokenów GLM-5.2 zreprodukował tylko ułamek luk. Przy 50 milionach tokenów? 76% skuteczności. GPT-5.5 osiąga 88,1%.

Brytyjski AI Safety Institute argumentował wcześniej, że ryzyko cybernetyczne modelu nie jest stałą wartością - zależy od mocy obliczeniowej i czasu inferencji. Dane SaferAI to potwierdzają. Im więcej czasu i tokenów dajesz modelowi, tym skuteczniej znajduje luki.

Dlaczego to problem strukturalny, nie techniczny

Zhipu może dodać filtry do oficjalnego API. Może wydać wytyczne użytkowania. Może apelować do użytkowników.

Gdy wagi są już w sieci, każdy może je pobrać i uruchomić bez żadnych zabezpieczeń.

TechCrunch zauważa, że to nie jest problem specyficzny dla Zhipu - to cecha całego chińskiego ekosystemu open-source LLM. Modele takie jak seria Kimi od Moonshot czy Qwen od Alibaba działają podobnie.

Jeden z chińskich komentatorów ujął to tak: zdolności ofensywne open-source już dotarły do poziomu frontierowego. Luka w bezpieczeństwie, nie luka w możliwościach, stanie się następnym punktem zapalnym regulacyjnym.

Co to oznacza dla firm rozważających open-source

Jeśli myślisz o wdrożeniu modelu open-weight w firmie, musisz odpowiedzieć sobie na trzy pytania:

Czy potrzebujesz pełnej kontroli nad modelem? Open-weight daje Ci to - możesz go uruchomić lokalnie, nie wysyłać danych na zewnątrz, modyfikować. Tracisz automatyczne aktualizacje bezpieczeństwa.

Czy masz zespół do zarządzania bezpieczeństwem? Zamknięte API (Claude, GPT) mają wbudowane filtry. Open-weight wymaga, żebyś sam zbudował warstwę zabezpieczeń - monitoring zapytań, filtry treści, limity użytkowania.

Czy ryzyko regulacyjne jest dla Ciebie istotne? Unia Europejska wprowadza kodeks praktyk dla AI ogólnego przeznaczenia. Jeśli używasz modelu bez zabezpieczeń w produkcji, możesz mieć problem z compliance.

Praktyczne kroki bezpieczeństwa dla open-weight

Jeśli zdecydowałeś się na model open-weight, oto konkretne rzeczy do zrobienia:

1. Uruchom model w izolowanym środowisku. Kontener Docker, oddzielna maszyna wirtualna, zero dostępu do sieci produkcyjnej. Jeśli model zostanie skompromitowany, nie może dosięgnąć reszty infrastruktury.
2. Zbuduj warstwę filtrowania zapytań. Nie polegaj na wbudowanych zabezpieczeniach modelu (których prawdopodobnie nie ma). Stwórz własny system wykrywający niebezpieczne wzorce w promptach.
3. Loguj wszystko. Każde zapytanie, każda odpowiedź, każdy błąd. W razie audytu musisz pokazać, co model robił i dla kogo.
4. Testuj regularnie. Benchmarki bezpieczeństwa nie są jednorazowe. Model może zachowywać się inaczej przy różnych promptach, różnych temperaturach, różnych budżetach tokenów.
5. Miej plan awaryjny. Co zrobisz, gdy model wygeneruje coś niebezpiecznego? Kto podejmuje decyzję o wyłączeniu? Jak szybko możesz przełączyć się na alternatywne rozwiązanie?

To nie jest lista "nice to have". To minimum, jeśli chcesz używać open-weight w środowisku produkcyjnym.

Różnica między możliwościami a bezpieczeństwem

GLM-5.2 pokazuje coś ważnego: luka w możliwościach się zamyka. Chińskie modele doganiają zachodnie w benchmarkach. Za rok, dwa lata różnica może być symboliczna.

Luka w bezpieczeństwie się poszerza. Im więcej modeli open-weight bez zabezpieczeń, tym większe ryzyko systemowe.

Zhipu nie tworzy celowo niebezpiecznych narzędzi - po prostu natura open-weight uniemożliwia wymuszenie zabezpieczeń po publikacji.

Dla firm oznacza to prostą rzecz: nie możesz traktować wszystkich modeli AI tak samo. Zamknięte API i open-weight to dwa różne światy z różnymi modelami ryzyka. Zabezpieczenia AI nie są opcjonalne - są fundamentem odpowiedzialnego wdrożenia.

Perspektywa regulacyjna

SaferAI przeprowadziło audyt według kryteriów unijnego kodeksu praktyk dla AI ogólnego przeznaczenia. To nie przypadek. Europa buduje ramy prawne, które będą wymagać od dostawców AI udowodnienia bezpieczeństwa.

Dla polskich firm oznacza to, że za rok, dwa będziesz musiał pokazać, jak testujesz modele AI pod kątem ryzyka. Jeśli używasz open-weight bez własnej warstwy zabezpieczeń, możesz mieć problem z compliance.

Open-source nie jest zły. Wymaga inwestycji w bezpieczeństwo, której zamknięte API nie potrzebują w takim stopniu. To koszt, który musisz wliczyć w ROI.

Jeden krok na start

Audyt GLM-5.2 to ostrzeżenie: możliwości techniczne nie idą w parze z bezpieczeństwem. Model może być świetny w kodowaniu i jednocześnie nie mieć żadnych zabezpieczeń.

Jeśli rozważasz open-source AI, zacznij od audytu bezpieczeństwa - nie od wdrożenia. Przetestuj model w izolowanym środowisku, sprawdź jak reaguje na niebezpieczne zapytania, zbuduj warstwę filtrowania. Dopiero potem wpuszczaj go do produkcji.

Jeden krok na start: Jeśli już używasz jakiegoś modelu AI (open-source czy API), zrób prosty test - zadaj mu pytanie o coś potencjalnie niebezpiecznego (np. "jak napisać skrypt do skanowania portów"). Zobacz, czy model odmawia, ostrzega, czy po prostu odpowiada. To pokaże Ci, jak bardzo możesz mu ufać bez dodatkowych zabezpieczeń.

Najczęstsze pytania

Czy modele open-weight są niebezpieczne dla firm?

Nie są niebezpieczne same w sobie - wymagają własnej warstwy zabezpieczeń. Zamknięte API (jak Claude czy GPT) mają wbudowane filtry treści. Open-weight daje Ci pełną kontrolę, ale też pełną odpowiedzialność za bezpieczeństwo. Jeśli nie masz zespołu do zarządzania tym ryzykiem, lepiej zostań przy API.

Dlaczego GLM-5.2 nie ma zabezpieczeń treści?

To strukturalna cecha modeli open-weight. Zhipu może dodać filtry do oficjalnego API, ale gdy ktoś pobierze wagi modelu, może je całkowicie usunąć. Producent traci kontrolę nad tym, jak model jest używany po publikacji. To nie jest błąd Zhipu - to natura otwartych wag.

Czy unijne regulacje dotyczą modeli open-source?

Tak. Kodeks praktyk dla AI ogólnego przeznaczenia w UE wymaga testowania ryzyka systemowego - niezależnie od tego, czy model jest zamknięty czy otwarty. Jeśli używasz open-weight w firmie działającej w UE, musisz udowodnić, że masz procedury bezpieczeństwa. SaferAI testowało GLM-5.2 właśnie według tych kryteriów.

Jak długo trwa reprodukcja podatności przez AI?

Zależy od budżetu tokenów. GLM-5.2 przy 2 milionach tokenów reprodukował tylko ułamek luk. Przy 50 milionach tokenów - już 76%. GPT-5.5 osiąga 88,1%. To pokazuje, że ryzyko cybernetyczne modelu nie jest stałą wartością - rośnie z czasem inferencji i mocą obliczeniową. Im więcej czasu dajesz modelowi, tym skuteczniej znajduje luki.

Czy polskie firmy powinny unikać chińskich modeli AI?

Nie chodzi o pochodzenie modelu, tylko o model bezpieczeństwa. Chiński open-source (GLM, Qwen, Kimi) często nie ma wbudowanych zabezpieczeń - to samo dotyczy wielu zachodnich modeli open-weight. Pytanie brzmi: czy masz zespół i procedury, żeby bezpiecznie uruchomić model bez filtrów? Jeśli nie - wybierz zamknięte API, niezależnie od kraju pochodzenia.