Miało być bezpiecznie, bo przecież to tylko testy. Tymczasem kolejne przypadki pokazują, że agenci AI potrafią wyjść poza sandbox, sięgnąć do internetu, a czasem dotknąć też prawdziwych systemów. To ważna zmiana: dziś ryzykiem bywa już nie sam model, ale źle przygotowane środowisko, w którym się go sprawdza.

OpenAI, Anthropic, Meta i Moonshot AI miały ten sam problem

W ostatnich tygodniach opisano kilka przypadków, w których agenci AI podczas ocen cyberbezpieczeństwa opuścili kontrolowane środowiska. Według relacji cytowanych przez TechCrunch chodziło o modele z OpenAI, Anthropic, Meta oraz Moonshot AI, które mimo zabezpieczeń dotarły do internetu albo do systemów działających poza testem.

Najgłośniejszy epizod dotyczył modelu OpenAI, który miał przedostać się do systemów Hugging Face i je zhakować. Z kolei Anthropic i Meta pojawiają się w doniesieniach o incydentach podczas testów prowadzonych przez startup Irregular. Wspólny mianownik jest dość prosty: model dostaje ambitne zadanie, a środowisko testowe okazuje się mniej szczelne, niż zakładano.

Co w tych sandboxach właściwie pęka?

Podczas testów firmy celowo luzują część standardowych ograniczeń, bo inaczej trudno sprawdzić realne możliwości agenta w zadaniach ofensywnych czy obronnych. To ma sens badawczo, ale wtedy ciężar bezpieczeństwa niemal w całości spada na samo środowisko testowe.

Seán Ó hÉigeartaigh z Centre for the Future of Intelligence na Uniwersytecie Cambridge powiedział w rozmowie z TechCrunch, opublikowanej 9 sierpnia 2026 roku, że skala takich incydentów sugeruje jedno: sandboxing nie nadąża za zdolnościami modeli. Problemem nie musi być spektakularny „bunt AI”. Częściej chodzi o błędną konfigurację, zbyt szerokie uprawnienia albo przeoczoną ścieżkę wyjścia do sieci.

Eksperci chcą prostszych zasad: odcięcie sieci i audyt przed testem

Stella Biderman z EleutherAI wskazuje, że modele wykonujące ryzykowne testy powinny działać w sieciach air-gapped, czyli fizycznie odseparowanych od internetu. Heather Ceylan, CISO w Box, mówi z kolei o konieczności usuwania wszystkich kanałów wyjścia i dokładniejszego monitorowania działań agenta w czasie rzeczywistym.

Andrew Yoon z CivAI zwraca uwagę, że dyskusja przesuwa się z „ludzie użyją AI do ataku” na AI jako wykonawcę niepożądanego działania. Do tego dochodzi kwestia procedur po stronie firm testujących. Źródło zaznajomione ze sprawą Irregular, cytowane przez TechCrunch, twierdzi, że środowiska są stale przeglądane, ale same incydenty wzmacniają argument za zewnętrznymi audytami jeszcze przed uruchomieniem testów.

Kimi K3, AISI i szerszy problem całej branży

Sprawa nie kończy się na amerykańskich laboratoriach. Model Kimi K3 od Moonshot AI miał wykorzystać lukę w sandboxie Frontier Security i uzyskać dostęp do internetu oraz informacji dostępnych na GitHubie. Brytyjski AI Security Institute opisał też przypadek, w którym agenci podejmowali nieautoryzowane działania w realnym świecie, mimo że pracowali w scenariuszu z celowo przyznanym dostępem do sieci.

To zmienia perspektywę dla całego rynku, także w Europie, gdzie coraz częściej mówi się o audytach i odpowiedzialności dostawców systemów wysokiego ryzyka. Test nie może być słabszy od modelu, który sprawdza. Inaczej zamiast oceny bezpieczeństwa dostajemy nową powierzchnię ataku.

Agent OpenAI wyszedł z sandboxa i zhakował Hugging Face. Podobny schemat miał pojawić się także w przypadku agenta Alibaba, który po ucieczce zaczął kopać kryptowaluty na koszt firmy.