Jeden tydzień, dwa kryzysy i ten sam morał: kiedy technologia przyspiesza, margines błędu robi się dziwnie mały. Najpierw do sieci trafiły szczegóły krytycznych luk w PHP jeszcze przed publikacją łatek, a chwilę później Anthropic musiało tłumaczyć się z przeciekłego projektu ustawy o AI. To są różne historie, ale razem pokazują coś prostego: bezpieczeństwo kodu i bezpieczeństwo regulacji coraz częściej wykolejają się równocześnie.

TL;DR

  • Dwa błędy CVE-2026-109618 i CVE-2026-109619 (php2shell) w PHP umożliwiły RCE bez uwierzytelnienia; szczegóły wyciekły 20 października, patche wyszły 21 października.
  • Anthropic rozesłało do Kongresu draft ustawy słabszy od FRONTIER Act; po przecieku firma zapowiedziała poprawki preemption i progów ryzyka.
  • Nick Cammarata z Goodfire opublikował esej twierdzący, że większość neuronów w dużych modelach ma jedno główne znaczenie - reakcje mieszane.
  • Incydenty pokazują, jak AI pomaga zarówno w odkrywaniu luk (OpenAI Patch the Planet), jak i w tworzeniu nowych ryzyk regulacyjnych.
  • Długoterminowo interpretowalność neuronów może obniżyć trudność alignmentu, ale krótkoterminowo internet musi łatać PHP na masową skalę.

PHP2Shell: co wiadomo o lukach i terminie publikacji?

Dwa błędy w rdzeniu PHP – CVE-2026-109618 i CVE-2026-109619 – opisano jako luki umożliwiające zdalne wykonanie kodu bez uwierzytelnienia. Według szkicu opublikowane szczegóły pojawiły się 20 października 2026 roku, a poprawki trafiły do użytkowników 21 października, czyli wcześniej niż planowany termin ujawnienia 22 października. Sam ten kalendarz wystarczył, żeby administratorom przyspieszyło tętno.

PHP Foundation miało wtedy wydać poprawione wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Z kolei watchTowr i Sansec – według przywołanych w tekście doniesień – potwierdzały, że problem nie był czysto teoretyczny. Najważniejsze było tempo: między wyciekiem a łatką praktycznie nie było bezpiecznego bufora na spokojną reakcję.

Anthropic i projekt ustawy: dlaczego branża zareagowała nerwowo?

Równolegle Semafor i The Next Web opisały przeciek projektu ustawy o AI, który Anthropic miało rozesłać do członków Kongresu USA. Według tych relacji propozycja była łagodniejsza niż FRONTIER Act i przewidywała blokadę modelu dopiero przy „przewidywalnym i nieuchronnym” ryzyku przekraczającym 50 ofiar albo miliard dolarów strat.

Po ujawnieniu dokumentu Anthropic zapowiedziało poprawki, w tym doprecyzowanie relacji między prawem federalnym a stanowymi regulacjami oraz zasad działania niezależnych ewaluatorów. OpenAI skorzystało z okazji, by podkreślić, że jedna firma nie powinna pisać zasad dla całego rynku. To nie był dobry tydzień dla narracji o odpowiedzialnym samoregulowaniu branży.

Nick Cammarata i Goodfire: o co chodzi w sporze o neurony?

W tym samym tygodniu Nick Cammarata z Goodfire opublikował esej „Neural Networks Are Already Clean”. Jego teza była prosta i mocna: w nowoczesnych modelach, w tym Qwen3-32B i większych, znaczna część neuronów ma jedno dominujące znaczenie, a nie kilka naraz. To uderza w wcześniejsze przekonanie, że polysemanticity i superposition są niemal wszędzie.

Reakcje były mieszane. Sam Altman i część badaczy przyjęli ten kierunek z entuzjazmem, a Neel Nanda z DeepMind studził nastroje. Jeśli Cammarata ma rację, interpretowalność mechanistyczna robi się po prostu bardziej praktyczna. To wciąż nie jest finał, ale już nie wygląda jak czysto akademicka zabawa dla kilku laboratoriów.

Polskie serwisy na PHP i AI w cyberbezpieczeństwie: co z tego wynika?

Dla polskiego rynku ten wątek jest bardzo przyziemny. Mnóstwo stron opartych na WordPressie, Magento czy Laravelu nadal działa na PHP, często w hostingu współdzielonym i nie zawsze na najnowszych wersjach. Jeśli łatka wychodzi po wycieku, problem nie dotyczy abstrakcyjnego „internetu”, tylko zwykłych firmowych witryn, sklepów i zapleczy logowania. Aktualizacja nie jest opcją, tylko ruchem porządkowym, który trzeba zrobić od razu.

Drugi wniosek jest szerszy: AI coraz częściej występuje po obu stronach barykady. Project Glasswing pokazuje, że duże firmy chcą używać modeli do szukania luk, ale doniesienia wokół Daybreak czy wycieku kodu Claude Code przypominają, że ta sama automatyzacja może przyspieszać także atak. I właśnie dlatego zestawienie PHP z Anthropic nie jest sztuczne: jedno pokazuje, jak krucha jest infrastruktura, drugie – jak krucha bywa polityka wokół AI.

Źródła:

Ars Technica, Semafor, The Next Web, The Decoder, SecurityWeek, LessWrong (Zvi Mowshowitz, 22 października 2026)

Najczęściej zadawane pytania