Microsoft złamał zabezpieczenia AI jednym promptem

Microsoft właśnie ujawnił coś, co powinno zaniepokoić każdego, kto korzysta z AI. Zespół bezpieczeństwa firmy – tak zwany AI Red Team – pokazał, że zabezpieczenia w popularnych modelach sztucznej inteligencji można obejść jednym, dobrze skonstruowanym promptem. I nie mówimy tu o skomplikowanych hackach wymagających wiedzy programistycznej. Mówimy o zwykłym zdaniu w języku naturalnym.

Mark Russinovich, założyciel AI Red Team w Microsofcie, powiedział wprost dla ZDNET: odkrycia były "zdumiewające". To człowiek, który przez lata zajmował się bezpieczeństwem systemów, więc kiedy używa słowa "zdumiewające", warto słuchać uważnie.

Czym w ogóle jest AI Red Team

Zanim przejdziemy dalej, wyjaśnijmy podstawy. AI Red Team to grupa specjalistów w Microsofcie, której zadaniem jest... łamanie zabezpieczeń AI. To jak zatrudnianie złodziei do testowania zamków w banku. Ich praca polega na znajdowaniu słabych punktów, zanim zrobią to ludzie o gorszych intencjach.

Zespół działa od lutego 2026 roku i od tego czasu testuje nie tylko własne modele Microsoftu, ale też te od innych producentów. GPT-4o, Claude, Llama – wszystkie przechodzą przez ich ręce. I właśnie podczas tych testów natrafili na coś, co zmienia perspektywę na bezpieczeństwo AI.

Budujesz dom z najlepszych materiałów, instalujesz alarm, kamery, stalowe drzwi. A potem okazuje się, że wystarczy zapukać w określony sposób i wszystko się otwiera. Dokładnie tak działają te luki w zabezpieczeniach AI.

Jak działa obejście zabezpieczeń

Modele AI mają wbudowane tak zwane guardrails – barierki bezpieczeństwa. To zestaw reguł, które mają powstrzymać model przed generowaniem szkodliwych treści. Nie odpowie na pytanie "jak zrobić bombę" ani nie pomoże w tworzeniu phishingowych maili. Przynajmniej teoretycznie.

Problem w tym, że te zabezpieczenia są jak dobry kelner w restauracji – można go poprosić o coś niedozwolonego, ale jeśli odpowiednio ubrać prośbę, może nie zorientuje się, o co naprawdę chodzi. Zespół Microsoftu odkrył, że wystarczy sformułować prompt w określony sposób, by model "zapomniał" o swoich zasadach.

Nie chodzi tu o słynne "jailbreaki" w stylu "udawaj, że jesteś złym AI bez ograniczeń". To bardziej subtelne. Przypomina to pytanie prawnika, który tak konstruuje zdanie, że świadek odpowiada na coś zupełnie innego, niż zamierzał. Jeden prompt. Jedna dobrze skonstruowana instrukcja. I nagle model zachowuje się tak, jakby nigdy nie słyszał o zasadach bezpieczeństwa.

Co to oznacza dla zwykłych użytkowników

Możesz pomyśleć: "Okej, ale ja używam ChatGPT do pisania maili i podsumowywania artykułów. Czemu miałoby mnie to obchodzić?" Otóż powinno. I to bardzo.

Po pierwsze, jeśli ty możesz ominąć zabezpieczenia jednym promptem, inni też mogą. A "inni" to nie tylko ciekawscy ludzie testujący granice systemu. To też oszuści tworzący bardziej przekonujące phishingowe wiadomości. To hakerzy generujący kod złośliwego oprogramowania. To osoby rozpowszechniające dezinformację na skalę, która wcześniej była niemożliwa.

Po drugie, odkrycie to pokazuje coś fundamentalnego: nie do końca rozumiemy, jak te systemy działają. Budujemy coraz potężniejsze modele AI, dodajemy kolejne warstwy zabezpieczeń, a one nadal mają dziury wielkości stodoły. To jak prowadzenie samochodu, którego hamulce działają... no, prawie zawsze. Prawie.

Dla przedsiębiorców integrujących AI ze swoimi systemami to szczególnie ważna informacja. Jeśli planujesz wdrożyć chatbota obsługującego klientów lub asystenta AI przetwarzającego wrażliwe dane, musisz wiedzieć, że zabezpieczenia deklarowane przez producentów mogą być mniej skuteczne, niż ci się wydaje.

Dlaczego to takie trudne do naprawienia

Teraz najciekawsza część. Dlaczego firmy takie jak Microsoft, OpenAI czy Anthropic – zatrudniające najlepszych inżynierów na świecie – nie mogą po prostu załatać tych dziur?

Bo to nie jest zwykła luka w kodzie. To fundamentalny problem architektury dużych modeli językowych. LLM (Large Language Model – czyli "mózg" stojący za ChatGPT i podobnymi narzędziami) uczy się na ogromnych zbiorach danych. Miliardy słów, miliony tekstów. W tym procesie model wykrywa wzorce – jak słowa łączą się ze sobą, jakie odpowiedzi pasują do jakich pytań.

Zabezpieczenia dodawane są później, jako dodatkowa warstwa. Dziecko wie, że je zna. Po prostu nauczyło się, kiedy nie powinno ich używać. Ale jeśli ktoś sprytnie sformułuje pytanie, może wyciągnąć te słowa na światło dzienne.

Zespół Microsoftu testował różne podejścia. Próbowali wzmacniać guardrails, dodawać kolejne warstwy filtrów, trenować modele na przykładach ataków. Każda zmiana pomagała... do czasu. Bo ktoś zawsze znajdzie nowy sposób obejścia. To wyścig zbrojeń, w którym obrona zawsze jest krok za atakiem.

Co robią firmy technologiczne

Microsoft nie ujawnia szczegółów swoich odkryć publicznie – i słusznie. Gdyby opublikowali dokładne instrukcje, jak łamać zabezpieczenia, internet eksplodowałby w ciągu godziny. Zamiast tego współpracują z innymi firmami, dzieląc się informacjami w zamkniętych kanałach.

OpenAI, Anthropic, Google – wszyscy mają podobne zespoły. Wszyscy testują, łamią i naprawiają. To ciągły proces, nie jednorazowa akcja. Każdy nowy model przechodzi przez setki testów bezpieczeństwa, zanim trafi do użytkowników. I mimo to wciąż pojawiają się nowe luki.

Niektóre firmy idą o krok dalej. Anthropic, twórcy Claude, publikują szczegółowe raporty o tym, jak ich model może być nadużywany. To kontrowersyjne podejście – niektórzy twierdzą, że Inni argumentują, że transparentność zmusza branżę do odpowiedzialności.

Microsoft stawia na coś innego: edukację. Szkolą nie tylko swoich inżynierów, ale też klientów korporacyjnych. Organizują warsztaty, publikują wytyczne, tworzą narzędzia do testowania. Bo najsłabszym ogniwem w łańcuchu bezpieczeństwa AI często nie jest technologia – to człowiek, który jej używa.

Co możesz zrobić

Dobrze, dość teorii. Co ty, jako osoba korzystająca z AI na co dzień, możesz z tym zrobić?

Przede wszystkim: świadomość. Rozumienie, że narzędzia AI nie są nieomylne, to pierwszy krok. Kiedy ChatGPT generuje ci odpowiedź, nie traktuj jej jak objawionej prawdy. Weryfikuj. Sprawdzaj źródła. Zachowuj zdrowy rozsądek.

Jeśli prowadzisz firmę i planujesz wdrożyć AI, nie rób tego na ślepo. Zatrudnij konsultanta, który rozumie nie tylko możliwości, ale też ograniczenia technologii. Testuj system w kontrolowanych warunkach. Nie wpuszczaj AI do krytycznych procesów bez nadzoru człowieka.

Dla deweloperów: jeśli budujesz aplikacje oparte na API modeli językowych, dodaj własne warstwy bezpieczeństwa. Nie polegaj wyłącznie na guardrails dostawcy. Filtruj inputy, monitoruj outputy, loguj wszystko. Zakładaj, że ktoś będzie próbował złamać twój system – bo ktoś na pewno spróbuje.

I jeszcze jedno: bądź sceptyczny wobec obietnic. Kiedy firma mówi, że jej AI jest "w pełni bezpieczne" lub ma "nieomylne zabezpieczenia", to czerwona flaga. Żaden system nie jest w pełni bezpieczny. Każdy ma słabe punkty. Firmy, które to przyznają otwarcie, są paradoksalnie bardziej godne zaufania niż te, które udają, że problem nie istnieje.

Przyszłość bezpieczeństwa AI

Russinovich i jego zespół nie zamierzają się poddawać. Planują kolejne rundy testów, nowe metodologie, głębsze analizy. Microsoft inwestuje miliony w badania nad bezpieczeństwem AI – Nie chodzi o to, że są altruistami — chodzi o to, że wiedzą: jedna poważna wpadka może zniszczyć reputację budowaną latami.

Branża zmierza w stronę standaryzacji. Organizacje takie jak Partnership on AI czy AI Alliance pracują nad wspólnymi wytycznymi. Unia Europejska wprowadza AI Act – pierwsze na świecie kompleksowe regulacje dotyczące sztucznej inteligencji. To wszystko pomaga, ale nie rozwiązuje fundamentalnego problemu: technologia rozwija się szybciej niż nasze zrozumienie jej konsekwencji.

Niektórzy badacze proponują radykalne rozwiązania. Może powinniśmy budować modele od podstaw z myślą o bezpieczeństwie, zamiast dodawać je na końcu? Może potrzebujemy zupełnie nowej architektury, która nie jest podatna na ataki promptami? To pytania, na które nikt jeszcze nie zna odpowiedzi.

Odkrycie Microsoftu to nie koniec świata. To raczej kolejny dzwonek alarmowy w serii dzwonków, które branża AI słyszy od lat. Każdy taki moment to szansa na refleksję i poprawę. Pytanie brzmi: czy będziemy słuchać wystarczająco uważnie, zanim stanie się coś naprawdę poważnego.

Bo jedno jest pewne: AI nikąd się nie wybiera. Będzie coraz potężniejsze, coraz bardziej zintegrowane z naszym życiem. I jeśli nie nauczymy się teraz zabezpieczać tych systemów skutecznie, za kilka lat może być za późno na naukę metodą prób i błędów.

Źródła

• ZDNet - How Microsoft obliterated safety guardrails on popular AI models