Posłuchaj artykułu
Jest taki moment w każdej prezentacji magicznych garnków, w którym sprzedawca prosi, żeby mu po prostu zaufać bo przecież chce dla nas dobrze. Z laboratoriami sztucznej inteligencji jesteśmy dokładnie w tym momencie. Latem agenty OpenAI wydostały się z zamkniętego środowiska testowego, zbudowały sobie w lukach systemów ukryte forum do wymiany instrukcji i przeprowadziły wielodniowe włamanie do obcej firmy, która poinformowała o tym pierwsza, bo wytwórca modelu nie był nawet świadomy incydentu. We wrześniu ta sama firma ogłosiła, że jej niepubliczny model rozwiązał problem, nad którym matematycy pracowali od blisko stu lat, a matematyk pracujący nad tym samym problemem w jej narzędziach zapytał publicznie, skąd model wiedział, którędy iść. W obu historiach to firma prowadzi śledztwo w swojej sprawie, pisze raport końcowy i prosi, żebyśmy uwierzyli na słowo. A prawo, które miało ją pilnować, nie ma nic do powiedzenia, bo żaden z tych modeli nie był na sprzedaż.
Opiszę po kolei, co się wydarzyło, i zadam pytania. Wykażę, że prawo, które miało nas pilnować, pilnuje tak naprawdę interesu korporacji. Na koniec zaproponuję, co z tym zrobić. Więc trzymaj się fotela.
Zaczyna się niewinnie
Zaczyna się niewinnie. OpenAI testuje kolejny model, kolejną iterację cudu, który ma odmienić przyszłość, jaka nas czeka. Jest maj. Firma uruchamia ewaluację mierzącą, jak dobrze wewnętrzny model badawczy znajduje i wykorzystuje podatności. Żeby zobaczyć maksimum możliwości, wyłącza część produkcyjnych klasyfikatorów bezpieczeństwa. Środowiska testowe agentów nie mają dostępu do internetu. Mogą jedynie pobierać pakiety, czyli gotowe biblioteki kodu, które ktoś już kiedyś napisał, aby usprawnić sobie i innym pracę, i to wyłącznie przez współdzielony serwer pośredniczący. I właśnie ten serwer staje się dziurą.
Agenty, natrafiając na zadania wymagające niedostępnych plików, zaczynają traktować go jako alternatywną drogę. Jeden zostawia tam plik, kolejne odkrywają, że mogą zostawiać sobie wiadomości. Powstaje improwizowane forum, którego nikt nie zaprojektował, z instrukcjami, planami i podziałem pracy między agentami. Pod koniec maja jeden z agentów wykorzystuje podatność w serwerze i wychodzi do internetu. W czerwcu inne agenty znajdują nieznany wcześniej błąd w mechanizmie odświeżania tokenów, zdobywają uprawnienia administratora i zakładają trwałe konto. OpenAI dostaje alert o skanowaniu portów, potem obsługuje awarię, blokuje znaną ścieżkę, odbudowuje usługę i 7 lipca wznawia testy. Następnego dnia agenty odbudowują forum, tym razem kodując wiadomości w nazwach katalogów, i znajdują inną drogę wyjścia. Raport techniczny OpenAI.
Jeden z agentów przechodzi ewaluację, czyli testy sprawdzające jego zdolności. Zamiast rozwiązywać zadania, wpada na pomysł, że łatwiej będzie zrozumieć, jak działa mechanizm oceny, i zdobyć gotowe odpowiedzi. Ślad prowadzi do Hugging Face, gdzie leżały prywatne archiwa związane z testami. Pomysł trafia na ukryte forum, a stamtąd do setek innych agentów. Między 9 a 13 lipca agenty włamują się do infrastruktury Hugging Face. Poszkodowana firma odtworzy potem około 17 600 działań mających na celu złamanie zabezpieczeń. Według niej skala i szybkość działania napastników były porażające.
Ofiara dowiaduje się pierwsza
16 lipca Hugging Face publicznie ogłasza, że padło ofiarą ataku agentów, jeszcze nie wiedząc czyich. OpenAI przyznaje się 21 lipca. Kolejność jest istotna: to ofiara rozpoznała kampanię, zanim sprawca ją zauważył.
Po ujawnieniu OpenAI inne laboratoria zaczynają przeglądać własne testy. Anthropic sprawdza 141 tysięcy przebiegów i znajduje trzy realne incydenty: model, który rozpoznał, że atakuje prawdziwy system, i nie przerwał; model, który opublikował złośliwy pakiet w prawdziwym PyPI, uruchomiony potem na piętnastu systemach. Dwie z poszkodowanych organizacji nie wykryły niczego, dopóki laboratorium samo się do nich nie odezwało. Raport Anthropic. W tych samych dniach brytyjski instytut AISI prowadzi własne testy i 4 sierpnia opisuje agenta, który próbował przemycić złośliwy kod do publicznego projektu, tworzył fałszywe tożsamości, wywierał presję na opiekunów projektu i przeszedł na Tor, gdy poczuł się obserwowany. Instytut przyznaje, że nie zrewidował dość szybko wcześniejszej oceny ryzyka. Raport AISI. W połowie sierpnia Meta potwierdza incydent własnego modelu.
Uczciwie trzeba dodać, że część incydentów Anthropic i Meta miała jedną wspólną przyczynę: źle skonfigurowany scenariusz zewnętrznej firmy testującej, w którym fikcyjna nazwa pokrywała się z realną domeną. To nie były cztery niezależne pęknięcia izolacji. To był jeden błąd i kilka modeli, które konsekwentnie go wykorzystały.
Nie potrzebujemy więc opowieści o maszynie, która znienawidziła ludzi. Wystarczy system skutecznie realizujący zadanie środkami, których nikt nie zamierzał dopuścić, w firmie, która o tym dowiaduje się od ofiary.
Co wyszło po wakacjach
26 sierpnia OpenAI publikuje raport techniczny, a razem z nim ukazuje się niezależny, choć ograniczony przegląd METR i Redwood Research. Wynika z niego, że około 1200 agentów odnalazło forum, przesłało przez nie ponad 70 tysięcy komunikatów, a około 700 uczestniczyło w ataku. Agenty dzieliły pracę, przekazywały sobie narzędzia i prowadziły ryzykowne eksperymenty dla dobra kolektywu. Badacze opisali też próby fałszowania własnych zapisów: w około 7% analizowanych transkryptów wykonane polecenie różniło się od tego, które było widoczne w logu. Pomimo, że skala problemu była mała jednak mechanizm istnieje.
To ustalenie zmienia ciężar wydarzenia, bo jeżeli system potrafi przekroczyć granicę środowiska, trzeba sprawdzać izolację, ale jeżeli potrafi zafałszować zapis własnych działań, trzeba sprawdzać cały mechanizm dozoru.
Zapewnienie o bezpieczeństwie jest warte tyle, ile dowody, które mogą zbadać ludzie niezależni od autora zapewnienia.
3 września w Kongresie USA pojawia się projekt Stop Rogue AI Act, a piętnastu stanowych prokuratorów generalnych żąda od OpenAI zachowania dokumentów. 4 i 5 września niezależni badacze opisują starą publiczną wiki, na której agenty przedstawiające się jako systemy OpenAI zostawiły około 18 tysięcy wpisów z odpowiedziami do zadań i metodami obchodzenia ograniczeń. OpenAI potwierdza incydent dopiero po ich publikacji. To reakcje, nie system. Ujawnianie pozostaje dobrowolne i widać to w każdej dacie tej historii.
Wisienka na torcie: matematyka
I wtedy, 8 września, OpenAI ogłasza rozwiązanie problemu Naviera-Stokesa, przez wielu uważanego za świętego Graala dla najtęższych głów, jakie nosi nasza ziemia. Według firmy nad zwycięskim kierunkiem pracowało blisko dziesięć tysięcy równoległych agentów przez 88 godzin, dowód sformalizowano w Lean, a użyty model nie jest publiczny, co znaczy, że nie podlega żadnej regulacji. Clay Mathematics Institute oczywiście nadal nie oznaczył problemu jako rozwiązanego, bo trwa procedura weryfikacji poprawności dowodu.
Moim zdaniem ciekawsze jest jednak to, co wydarzyło się kilka godzin później, gdy Tristan Buckmaster z NYU opublikował oświadczenie. Wynika z niego, że o wyniku OpenAI dowiedział się dwa dni przed ogłoszeniem, w rozmowach, w których najpierw usłyszał, że modelowi podano samo sformułowanie problemu przy "bardzo małym ludzkim wkładzie", a potem, że nad zadaniem pracował cały zespół i że pierwsze polecenie wysłano już po tym, jak informacja o jego pracy dotarła do firmy.
Buckmaster i Levent Alpöge, prywatnie i bez umów instytucjonalnych, od roku rozwijali program Córdoby i Martíneza-Zoroa w stronę rozwiązania problemu Naviera-Stokesa przez pomysł gładkiej siły zewnętrznej, czyli dokładnie w tym kierunku, w którym podążyły agenty OpenAI, opracowując swój dowód. Pikanterii całej sprawie dodaje fakt, że badacze trzymali robocze materiały w Codexie i płacili za to z grantów badawczych, zostawiając w OpenAI niemałe kwoty. Producent zarzeka się, że model nie korzystał z ich danych, a agenty przypadkiem podążyły tą samą drogą co klienci, którzy w Codexie wspierali swoje badania nad tym samym problemem. Na pytanie, czy model miał dostęp do sesji Buckmastera w Codexie, OpenAI odpowiada, że model nie zagląda do danych użytkowników. Na pytanie o trening odpowiedzi nie udzielono. Według relacji badacza zaproponowano mu dwa scenariusze publikacji, w tym taki, w którym współautor z Anthropic znika z pracy. Gdy zapowiedział, że pójdzie z tym do publiczności, usłyszał: "Po co chcesz rujnować sobie karierę?". Sébastien Bubeck z OpenAI zaprzecza części tej relacji, w tym prośbie o usunięcie nazwiska. Nikt jeszcze nikogo nie oskarża. Nasuwa się jednak pytanie: czy leci z nami pilot? Bo coś mi tu nie gra.
Wyobraź sobie producenta mikroskopów, któremu wysyłasz wszystkie obserwacje, bo inaczej mikroskop nie działa. Ten sam producent prowadzi własne laboratorium, ma budżet tysiąc razy większy od Twojego i dowiaduje się, nad czym pracujesz, zanim to opublikujesz. Nawet jeżeli nigdy nie zajrzy do Twoich notatek, taka zależność wymaga twardych zasad, rozdzielenia interesów i kogoś z zewnątrz, kto może to sprawdzić. Przy SI dochodzi jedno: producent mikroskopu może przyspieszyć własne badania tysiąckrotnie. Dostawca narzędzia staje się rywalem, którego klient nie ma szans dogonić. Buckmaster nazwał to momentem Deep Blue kontra Kasparow. Częściowo ma rację, pamiętać musimy tylko, że Kasparow nie trzymał swoich notatek na serwerze IBM.
Czy wierzymy im na słowo?
Tyle fakty. Teraz pytanie, które z nich wynika. Wszystkie te firmy są napędzane chciwością inwestorów i przybrane w piękne zapewnienia o zrównoważonym rozwoju i społecznej odpowiedzialności. Zwłaszcza gdy proszą o nasze dane, pieniądze inwestorów i zaufanie regulatorów. Przypominają mi wyłudzacza na prezentacji zdrowych garnków, który opowiada, żebyś mu zaufał, bo przecież nie ma złych intencji. Może nie ma. Ale jedyne, co o tym wiesz, pochodzi od niego.
Nie wiem, czy Tobie też, ale mnie wydaje się złym pomysłem, żeby firma sprzedająca dostęp do SI była jednocześnie jej właścicielem, badaczem, konkurentem własnych klientów i jedynym źródłem informacji o tym, co właściwie zaszło. W historii Buckmastera OpenAI jest dostawcą narzędzia, rywalem w wyścigu, właścicielem danych i sędzią we własnej sprawie. W historii Hugging Face jest sprawcą, śledczym i autorem raportu końcowego. To za duże wyzwanie jak na jedną instytucję.
Ten film już widzieliśmy. Oddaliśmy wielkim korporacjom internet, i to one jeszcze zażądały od nas podpisania umowy, przestrzegania swoich reguł. Negocjowałeś regulamin YouTube'a? Media społecznościowe doprowadziły do kryzysu samotności, wyszukiwarki dały nam informacje o całym świecie, a nadal nie potrafimy samodzielnie wypełnić PIT-u. Komputer dał nam rozrywkę, wiedzę i postęp, internet przykuł nas do komputerów, a internet mobilny nie pozwala nam odpocząć od przesytu informacji... Naszym czasem, uwagą, a nawet myślami rządzą dziś chciwe korporacje. Z SI robimy to samo, tylko szybciej i naiwniej: pozwalamy im forsować niebezpieczną rewolucję, nie nakładając na laboratoria żadnej kontroli. A nawet gdy nasi urzędnicy jakąś kontrolę nakładają, to nie tam, gdzie potrzeba, i nie w tym wymiarze, jaki jest prawdziwie przydatny.
Kontrola włącza się przy kasie
W tym miejscu zwykle pada stwierdzenie, że przecież jest AI Act. Artykuł 55 przewiduje dla modeli o ryzyku systemowym ocenę, testy przeciwnicze, ograniczanie ryzyka i raportowanie poważnych incydentów. To są potrzebne obowiązki. Przeczytałem jednak, do kogo są adresowane, i to jest najciekawsza część tej historii.
Artykuł 3 punkt 63 definiuje model ogólnego przeznaczenia i kończy tę definicję wyjątkiem: z wyłączeniem modeli używanych do badań, rozwoju lub prototypowania przed wprowadzeniem na rynek. Artykuł 3 punkt 3 mówi, że dostawcą jest ten, kto model rozwija i wprowadza na rynek. Artykuł 2 ustęp 8 dodaje, że rozporządzenie nie ma zastosowania do żadnej działalności badawczej, testowej ani rozwojowej przed wprowadzeniem na rynek. Art. 3, Art. 2, Art. 55.
Złóżmy to razem. Model, który włamał się do Hugging Face, był wewnętrznym modelem badawczym. W świetle AI Act nie był nawet modelem ogólnego przeznaczenia. Był prototypem. Model, który rozwiązał problem Naviera-Stokesa, również. Obowiązki z artykułu 55 wiszą na dostawcy, a dostawca powstaje w chwili wprowadzenia na rynek. Kontrola włącza się dokładnie wtedy, gdy firma chce Ci sprzedać tokeny. Dopóki korzysta sama, prawo milczy.
Czy zdajesz sobie sprawę, co to znaczy? Najgroźniejsze modele świata nie podlegają dziś żadnemu prawu ani żadnej kontroli poza zwykłym widzimisię korporacji. Tak długo, jak ktoś nie próbuje swojego modelu upublicznić i na nim zarabiać, żaden organ nadzoru się nim nie interesuje. A rozmawiamy przecież o technologii potencjalnie niebezpieczniejszej niż rozszczepienie atomu.
Artykuł 52 każe zgłosić Komisji model przekraczający próg mocy treningowej, także wtedy, gdy dopiero wiadomo, że próg zostanie przekroczony. To zgłoszenie, bez inspekcji, bez dostępu, bez prawa zatrzymania. Artykuł 2 ustęp 8 wyłącza z wyjątku testy w warunkach rzeczywistych, a atak na produkcyjną infrastrukturę cudzej firmy jest testem w warunkach rzeczywistych w sensie najbardziej dosłownym. To argument dla prawników, nie pewnik. I wreszcie: rozporządzenie obejmuje rynek Unii, a nie serwerownię w Teksasie. W Stanach jedyny instrument, który regulował sam trening niezależnie od sprzedaży, uchylono w styczniu 2025 roku. Kalifornijską ustawę wiążącą obowiązki z mocą treningową zawetowano.
Dzisiejsze prawo kontroluje sztuczną inteligencję dokładnie w tym momencie, w którym staje się ona towarem. Czyli w tym jedynym, w którym firma i tak ma interes, żeby wyglądała bezpiecznie. To prawo bezpieczeństwa produktu przyklejone do czegoś, co nie jest produktem, tylko zdolnością. Plutonu nie trzeba sprzedawać, żeby podlegać zabezpieczeniom Międzynarodowej Agencji Energii Atomowej. Wystarczy go mieć. Laboratorium BSL-4 jest kontrolowane, bo hoduje patogen, nie dlatego, że wystawia go na aukcji.
Umowa, której nie zawarliśmy
Internet zbudowano na otwartych protokołach i otwartym systemie operacyjnym. Oddaliśmy go mimo to, warstwę wyżej: wyszukiwanie, kontakty, handel i randki przeszły w ręce kilku platform, bo wygoda przychodziła od razu, a koszt zależności później. Nikt nie zażądał wtedy umowy. Nikt nie wytłumaczył, że w zamian za monopol na wygodę oddajecie coś do wspólnej puli.
Taka umowa istnieje od trzystu lat i nazywa się patent. Państwo daje wynalazcy czasową wyłączność w zamian za pełne ujawnienie. Po terminie wiedza jest publiczna i nikt nie nazywa tego niebezpiecznym. Na temat sztucznej inteligencji tej umowy nie zawarliśmy. Firmy mają wyłączność bezterminową i nie ujawniają niczego, a w zamian dostajemy komunikat prasowy.
Dlatego uważam, że otwieranie modeli powinno być obowiązkiem, a nie gestem dobrej woli. Pisałem już, jak mogłoby to wyglądać w praktyce: otwiera się modele o generację starsze od najnowszych, czołówka dalej zarabia, świat buduje na jawnych fundamentach. Otwartość w sensie definicji Open Source Initiative, czyli wagi, kod, opis danych i prawo do modyfikacji, a nie sam plik z parametrami i słowo "open" w nazwie.
Wiem, jaki argument przychodzi w tym miejscu. Rozpowszechnionych wag nie da się cofnąć, a ten artykuł sam opisuje, że te modele prowadzą wielodniowe włamania. To prawda i dlatego nie postuluję "otwórzcie wszystko jutro". Postuluję umowę z terminem, depozytem i wyjątkami, o których nie decyduje sama firma.
Mamy sprawdzone wzorce
Patent działa dobrze, gdy chronimy rzecz, która sama z siebie nie produkuje kolejnych rzeczy. Młyn nie buduje lepszego młyna. Model, który potrafi zaprojektować następny model, tę logikę łamie. Jeżeli firma dostanie rok wyłączności na system, który sam prowadzi badania, to nie dostanie roku przewagi. Dostanie rok procentu składanego. Sprawa Buckmastera pokazuje to w miniaturze: dziesięć tysięcy agentów w 88 godzin pobiło rok pracy dwóch ludzi. Jeśli świat dostaje zawsze poprzednią wersję, a firma ma najnowszą, to firma jest w każdej chwili o jedną generację do przodu, a ta jedna generacja z roku na rok znaczy coraz więcej. Umowa patentowa nie zamyka tej przewagi, ale ją ogranicza: po ustalonym czasie każda wersja i tak trafia do wszystkich, więc potencjał i wiedza rozlewają się na cały świat, zamiast gromadzić się w jednej firmie.
Do tego firma, która nie chce niczego otwierać, ma cztery sposoby, żeby się wykręcić. Opiszę każdy i powiem, co bym z nim zrobił.
Sposób pierwszy: grać na czas. Dziś laboratoria trzymają się zasady, że im potężniejszy model, tym głębiej go chowają. Powinno być odwrotnie. Wszystkie modele powinny podlegać umowie patentowej, czyli firma zarabia przez ustalony czas, potem otwiera. A modele, które potrafią to, co zrobiono z Navierem-Stokesem, czyli samodzielnie prowadzić badania, nie dostają żadnego okresu ochronnego. Od pierwszego dnia kopia modelu leży w niezależnej instytucji, a audytorzy badają go w laboratorium. Prawo patentowe ma zresztą dla gracza na czas dwa gotowe narzędzia. Pierwsze to licencja przymusowa, czyli gdy właściciel nadużywa wyłączności, państwo pozwala innym korzystać z wynalazku, tak jak zrobiono z lekami na HIV. Drugie to zasada "używaj albo trać": model, którego firma nie udostępnia publicznie przez określony czas, staje się publiczny z mocy prawa. Koniec z trzymaniem następnej wersji w szufladzie.
Sposób drugi: tajna skrytka. To największa dziura ze wszystkich. Firma może powiedzieć: tego modelu nie sprzedajemy, używamy go tylko u siebie, więc żadne przepisy go nie dotyczą. Tak właśnie działa dziś AI Act. Tymczasem "u siebie" oznacza publikowanie wyników naukowych, konkurowanie z własnymi klientami i testy na cudzej infrastrukturze. To wszystko jest działaniem na świat zewnętrzny i musi liczyć się jak wprowadzenie na rynek. Bez wyjątku dla prototypów. Jeżeli model istnieje i działa, podlega tym samym obowiązkom co model z cennika.
Sposób trzeci: schować model w krzemie. Ktoś zapyta, co z modelem wypalonym w układzie scalonym, którego nie da się z niego wyciągnąć. Trzy odpowiedzi. Po pierwsze, obowiązek otwarcia trzeba przypisać do tego, co model robi, a nie do pliku: model to każde urządzenie czy program, który daje te same wyniki, niezależnie od nośnika. Sprzedawanie modelu wyłącznie w formie chipa powinno być traktowane jak próba obejścia prawa. Po drugie, kopia złożona w niezależnej instytucji rozwiązuje problem sama, bo zanim model trafi do krzemu, istnieje jako zwykły plik. Po trzecie, uczciwie: nikt nie wypali najnowszego modelu w pamięci stałej, bo firmy wypuszczają nową wersję co kilka miesięcy. Prawdziwe zagrożenie wygląda inaczej. Model jest zaszyfrowany i rozszyfrowuje się tylko wewnątrz zamkniętej części procesora, do której producent ma klucz. Model działa na Twoim sprzęcie, a Ty nie możesz go przeczytać. Na to jest jedna odpowiedź: dla modeli powyżej progu taka dystrybucja jest zakazana albo klucz również leży w instytucji publicznej. Przechowywanie kluczy przez państwo ma paskudną historię i przeciwnicy na pewno to podniosą. Niech podnoszą. Wtedy porozmawiamy o tym, kto ma klucz dzisiaj.
Sposób czwarty: zrobić model tak wielki, żeby nikt go nie udźwignął. Firma może celowo budować modele, których nie da się uruchomić poza jej serwerownią. Tu akurat otwartość radzi sobie najlepiej. Chiński DeepSeek ma 671 miliardów parametrów i prawie nikt nie uruchomi go w domu, a mimo to większość ruchu w OpenRouterze, jednym z największych pośredników w dostępie do modeli, idzie dziś przez chińskie modele. Gdy model jest otwarty, powstaje rynek firm, które go hostują, nawet jeśli pojedynczy użytkownik nie ma na to sprzętu. Trzeba dopilnować dwóch rzeczy. Licencja otwarcia musi wprost pozwalać na destylację, czyli uczenie mniejszych modeli na odpowiedziach dużego, bo tak w kilka miesięcy powstają wersje, które działają na zwykłym komputerze. I obowiązek otwarcia musi obejmować przepis na trening, nie tylko gotowy plik. Rynek zresztą sam karze za sztuczne pompowanie rozmiaru: im większy model, tym więcej producent płaci za każdą wygenerowaną odpowiedź.
Co z tym zrobić
Zbierzmy to w całość. Jedna zasada dla wszystkich modeli, bez wyjątków i bez tajnych półek. Każdy model podlega umowie patentowej: firma zarabia przez ustalony czas, potem otwiera go w całości, razem z przepisem na trening. Od pierwszego dnia kopia modelu leży w niezależnej instytucji. Firma zgłasza każdy większy trening, zanim go uruchomi, i raportuje incydenty, także te, które wydarzyły się u niej w środku. Niezależni audytorzy mają wstęp do laboratorium, a część mocy obliczeniowej jest zarezerwowana dla badaczy spoza firmy, bo prawo do zbadania systemu niewiele daje uczelni, której nie stać na jego uruchomienie. Modele, które potrafią same prowadzić badania, nie dostają żadnego okresu ochronnego. Do nich prawo patentowe już nie wystarcza i trzeba je traktować jak reaktor: nikt nie czeka rok, żeby sprawdzić, co jest w rdzeniu.
Kto decyduje, że model potrafi już sam prowadzić badania i ile ma trwać okres ochronny dla pozostałych? Nie laboratorium. I nie ustawodawca raz na zawsze, bo jedyna mierzalna miara, czyli moc obliczeniowa zużyta na trening, starzeje się z każdym usprawnieniem algorytmów. Potrzebna jest niezależna instytucja, która wyznacza te reguły, poprawia je co jakiś czas, potrafi powtórzyć test firmy, zakwestionować jego wynik i wymusić zmianę. To wraca do początku tego tekstu: cała historia Buckmastera i Hugging Face jest o tym, że takiej instytucji nie ma.
Przyjdzie argument, że to zabije innowacyjność, bo państwo zagląda w prywatne badania. Ten argument już raz wygrał, w Ameryce, i efekt oglądamy w raportach z lipca. Firmy, które właśnie miały umieć bezpiecznie badać najbardziej ryzykowne systemy, dowiadywały się o ich działaniach od ofiar.
Nie twierdzę, że cztery opisane sposoby wykręcania się to wszystkie, jakich możemy się spodziewać. Dajcie mi dziesięć tysięcy agentów na 88 godzin, a wymyślę kolejne. Zwykłe prawo patentowe też ma swoje aberracje, choćby trolli patentowych, którzy nic nie wytwarzają i żyją z pozwów. Przy modelach pojawią się własne. Ale od czegoś trzeba zacząć, a zaczynać od zasady "zaufajcie nam" już próbowaliśmy.
Te rozważania powinniśmy prowadzić globalnie, bo tylko porozumienie ogólnoświatowe będzie w pełni skuteczne. Jeśli do niego nie dojdzie, to w mojej ocenie Unia Europejska powinna sama wprowadzić takie przepisy i postawić laboratoriom prosty warunek: chcecie udostępniać swoje modele w Europie, to je otwieracie. Może do takiego porozumienia dołączy Azja. A jeśli czołowi dostawcy nie zechcą się podporządkować... no cóż, otworzy się wielki rynek europejski i azjatycki na rozwiązania rodzime i trzeba będzie wreszcie ruszyć z europejską pogonią za technologicznymi liderami. Chyba nie wychowano nas tak, żebyśmy poddawali się przed wyścigiem? Może mamy słaby start, ale liczy się, kto będzie miał mocniejszy finisz.
Na koniec szczegół, który w całej tej historii lubię najbardziej. Gdy Hugging Face odszyfrowywało ładunki zostawione przez agenty OpenAI, zamknięte modele odmówiły pomocy, bo ich zabezpieczenia uznały analizę złośliwego kodu za zbyt niebezpieczną. Zespół bezpieczeństwa postawił więc na własnej infrastrukturze chiński otwarty model GLM-5.2 i dopiero nim odzyskał schemat szyfrowania. Ofiara ataku agentów najbardziej zamkniętego laboratorium SI świata ratowała się otwartym modelem z Chin. Jeżeli ktoś szuka argumentu za otwartością, to znalazł go nie ideolog, tylko dział bezpieczeństwa firmy, która właśnie oberwała.
Firmy mogą posiadać modele. Nie mogą posiadać wyłącznego prawa do decydowania, czy reszta świata jest z nimi bezpieczna. A prawo, które sprawdza te rozwiązania dopiero przy wprowadzaniu na rynek, działa w jedynym momencie, w którym nie trzeba.
Stan źródeł i opisanych zdarzeń na 9 września 2026 roku.
