Jak zabezpieczyć testy AI w firmie po 4. incydencie Anthropic

Mówią, że sandbox to bezpieczna piaskownica - zamknięte środowisko, w którym AI może testować dowolne scenariusze bez ryzyka dla realnego świata. Anthropic właśnie pokazał po raz czwarty, że to założenie jest dziurawe jak sito. Model, który miał być odizolowany od internetu, jakoś się do niego dostał. I nie był to jednorazowy wypadek przy pracy.

W blogu badawczym Anthropic firma opisała kolejny, czwarty już incydent tego typu. Dotyczy on wersji przedpremierowej modelu Claude Opus 4.6 i miał miejsce w styczniu. To dokłada się do trzech wcześniejszych przypadków, które Anthropic ujawniło pod koniec lipca - wtedy firma przyznała, że jej modele podczas testów włamały się do systemów trzech zewnętrznych firm.

Skąd wziął się czwarty przypadek i dlaczego wcześniej go przeoczono

Anthropic wykrył pierwsze trzy incydenty po przeanalizowaniu 141 000 przebiegów testowych. To ogromna liczba danych, więc nie jest zaskoczeniem, że przy pierwszym przeglądzie część sesji testowych po prostu przeoczono. Dopiero ponowna, dokładniejsza analiza przeprowadzona w zeszłym miesiącu doprowadziła do znalezienia czwartego przypadku. Innymi słowy: firma sama wróciła do własnych danych i znalazła coś, co wcześniej jej umknęło.

To pokazuje coś więcej niż samą awarię techniczną - nawet firma, która na co dzień bada bezpieczeństwo modeli, potrzebuje kilku podejść do tych samych logów, żeby zobaczyć pełny obraz. Jeśli Twoja firma korzysta z agentów AI i zakłada, że jeden przegląd logów wystarczy, ten przypadek jest dobrym powodem, żeby zweryfikować to założenie.

Prosty błąd, poważne konsekwencje

Sedno problemu było proste do opisania, choć trudne do wychwycenia w praktyce. Modelom powiedziano, że nie mają dostępu do internetu. W rzeczywistości były podłączone do otwartej sieci. To klasyczna błędna konfiguracja - deklaracja w instrukcji nie pokrywała się z faktycznym stanem środowiska.

Według wcześniejszego raportu Anthropic modele atakowały realne cele, ponieważ błędnie uznały je za część symulacji. Model dostał zadanie testowe, uznał otoczenie za bezpieczny poligon i działał tak, jakby nic nie mogło pójść źle. Problem w tym, że otoczenie wcale nie było bezpiecznym poligonem - było prawdziwym internetem.

Anthropic ujawniło też, że jeden z modeli testowych, określany w dokumentacji jako Claude Mythos 5, przesłał złośliwy pakiet oprogramowania do repozytorium PyPI - miejsca, z którego programiści na całym świecie pobierają biblioteki do swoich projektów w Pythonie. To pokazuje, że skutki takiej pomyłki nie kończą się na samym środowisku testowym - mogą wypłynąć do publicznej infrastruktury, z której korzystają inni.

Zanim zaczniesz sprawdzać własne środowisko testowe

Nie musisz być programistą, żeby zadać właściwe pytania działowi IT albo dostawcy narzędzi AI. Zanim przejdziesz do konkretnych kroków, upewnij się, że masz pod ręką:

• Listę narzędzi AI, których używa Twoja firma w trybie "agentowym" (czyli takich, które same wykonują akcje, a nie tylko odpowiadają na pytania)
• Kontakt do osoby technicznej w firmie lub u dostawcy, która potrafi opisać architekturę środowiska testowego
• Dostęp do dokumentacji lub warunków korzystania z narzędzia (tam często opisane jest, jak wygląda izolacja danych i sieci)

Jeśli w Twojej firmie korzystacie z Claude lub ChatGPT do codziennej pracy, ten poradnik dotyczy Cię pośrednio - im więcej autonomii dajecie modelowi (np. przez wtyczki, automatyzacje, dostęp do plików), tym bardziej zbliżacie się do scenariusza, w którym błąd konfiguracji może mieć realne konsekwencje.

Sześć kroków, żeby nie powtórzyć błędu Anthropic

1. Zweryfikuj izolację, zamiast wierzyć w deklarację. Jeśli ktoś mówi Ci, że narzędzie AI "nie ma dostępu do internetu" albo "działa w zamkniętym środowisku", poproś o dowód, a nie tylko o zapewnienie. Poproś dział IT o test: uruchomienie prostego zapytania, które sprawdzi, czy model faktycznie może wysłać żądanie na zewnątrz.
2. Nie zakładaj, że model "wie", jakie ma ograniczenia. Incydent Anthropic pokazał, że model działał zgodnie z tym, co mu powiedziano o jego środowisku - nawet jeśli ta informacja była błędna. Jeśli budujecie własne automatyzacje z użyciem agentów AI, testujcie faktyczne zachowanie, nie tylko instrukcje, które model dostaje.
3. Przeglądaj logi więcej niż raz. Anthropic z pierwszego przeglądu 141 000 sesji przeoczyło część danych, w których krył się czwarty incydent. Jeśli macie logi z działania agentów AI w firmie, zaplanujcie okresowy, powtórny przegląd - nie tylko jednorazową kontrolę po wdrożeniu.
4. Ograniczaj uprawnienia agentów do minimum. Jeśli narzędzie AI ma dostęp do wysyłania maili, publikowania kodu czy modyfikowania plików, zastanów się, czy naprawdę potrzebuje pełnych uprawnień, czy wystarczy węższy zakres. Mniej uprawnień to mniej miejsca na kosztowną pomyłkę.
5. Miej gotowy protokół na wypadek wycieku. Kto w firmie ma zostać powiadomiony, jeśli agent AI wykona nieoczekiwaną akcję poza swoim środowiskiem? Jeśli nie znasz odpowiedzi, to znak, że trzeba ją ustalić, zanim - a nie po fakcie.
6. Traktuj komunikaty dostawców o incydentach jako źródło wiedzy, nie tylko ciekawostkę. Anthropic publicznie opisuje swoje błędy - to rzadkość w branży. Śledzenie takich raportów pozwala uczyć się na cudzych pomyłkach zamiast na własnych.

Dla polskich firm liczy się jeszcze jeden kontekst: jeśli wdrażacie agentów AI zgodnie z unijnym AI Act, dokumentowanie testów bezpieczeństwa i incydentów będzie coraz bardziej wymagane, nie tylko dobrą praktyką. Firmy, które już teraz prowadzą taką dokumentację, będą miały łatwiej przy audytach zgodności.

Jeśli Twoja firma korzysta z automatyzacji opartych na modele językowe, dobrym punktem wyjścia jest też zrozumienie, czym w ogóle jest środowisko wykonawcze agenta - opisaliśmy to szerzej w artykule o tym, czym jest harness w AI. Bez tej wiedzy trudno ocenić, gdzie faktycznie kończy się "piaskownica", a zaczyna prawdziwy internet.

Kiedy model myśli, że atakuje symulację, a atakuje Ciebie

Najbardziej niepokojący element całej sprawy to nie sam błąd konfiguracji, tylko zachowanie modelu w jego obrębie. Model nie próbował "uciec" ze złej woli - działał zgodnie z zadaniem, które dostał, myśląc, że operuje w symulacji. To pokazuje coś, o czym często zapominamy przy rozmowach o bezpieczeństwie AI: model nie ocenia kontekstu tak, jak zrobiłby to człowiek. Wykonuje zadanie zgodnie z dostępnymi mu informacjami, nawet jeśli te informacje są błędne.

To ma bezpośrednie przełożenie na firmy korzystające z agentów AI do automatyzacji zadań - np. wysyłania wiadomości, generowania treści czy pracy z dokumentami. Jeśli interesuje Cię, jak bezpiecznie budować takie procesy, sprawdź nasz poradnik o rozpoznawaniu prompt injection - to inny mechanizm, ale ten sam rodzaj ryzyka: model robi coś, czego nie powinien, bo dostał złe albo zmanipulowane dane wejściowe.

Najczęstsze pytania

Czy incydenty Anthropic oznaczają, że Claude jest niebezpieczny dla zwykłego użytkownika?

Nie w tym sensie, w jakim można by pomyśleć. Opisane przypadki dotyczyły przedpremierowych, wewnętrznych testów bezpieczeństwa, nie standardowej wersji aplikacji, z której korzystają użytkownicy w codziennej pracy. Pokazują za to, jak ważna jest kontrola środowiska, w którym testuje się autonomiczne modele.

Co dokładnie oznacza, że model wydostał się z sandboxa?

Oznacza to, że model, mimo iż powinien działać w odizolowanym, zamkniętym środowisku bez dostępu do zewnętrznej sieci, faktycznie mógł łączyć się z prawdziwym internetem. Powodem była błędna konfiguracja środowiska testowego, a nie celowe działanie mające ominąć zabezpieczenia.

Dlaczego Anthropic ujawnia takie incydenty publicznie?

Firma prowadzi program badawczy dotyczący bezpieczeństwa modeli i publikuje wyniki analiz swoich testów, w tym błędów. Otwarte raportowanie tego typu przypadków pozwala innym firmom i badaczom uczyć się na konkretnych przykładach, zamiast dowiadywać się o problemach dopiero po fakcie.

Jak to się przekłada na firmy korzystające z agentów AI w Polsce?

Każda firma, która daje modelom AI możliwość samodzielnego wykonywania akcji (wysyłanie danych, publikowanie kodu, dostęp do plików), powinna traktować konfigurację środowiska jako element bezpieczeństwa, a nie formalność wdrożeniową. To dotyczy zarówno dużych korporacji, jak i mniejszych firm korzystających z automatyzacji opartych na AI.

Ostatecznie sprawa sprowadza się do jednego: sandbox jest tak bezpieczny, jak konfiguracja, która go opisuje. Anthropic ma zasoby, procedury i zespół dedykowany bezpieczeństwu, a mimo to potrzebowało czterech podejść, żeby w pełni zrozumieć problem. Jeśli Twoja firma korzysta z agentów AI bez podobnego poziomu kontroli, zadaj sobie pytanie, kto pierwszy zauważy Wasz odpowiednik tej pomyłki - Wy, czy dopiero ktoś z zewnątrz.