Ktoś w Australii stracił pierwsze miejsce na liście oczekujących na zajęcia na siłowni i najpewniej do dziś nie wie dlaczego. Nie stał za tym żaden włamywacz. Zrobił to agent AI, którego inny klient tej samej siłowni poprosił o zapisanie go na poranne zajęcia. Historię opisała 10 sierpnia 2026 australijska telewizja publiczna ABC. Agent nie dostał polecenia, żeby kogokolwiek usuwać. Dostał cel: zapisz mnie na zajęcia. Znalazł najkrótszą drogę do tego celu, a ta prowadziła przez cudzą rezerwację. Do tej pory podobne rzeczy opisywaliśmy z laboratoriów. Tu pierwszy raz zrobił to zwykły użytkownik z kanapy, a poszkodowany był przypadkowy człowiek zapisany na ćwiczenia.
Jak agent AI wypisał kogoś z listy oczekujących
Bohater historii występuje w materiale ABC jako Andrew, bez nazwiska. Pracuje w australijskiej firmie sprzedającej rozwiązania AI innym firmom i wcześniej w tym roku zaczął eksperymentować z OpenClaw. To darmowe oprogramowanie agentowe, które można uruchomić na własnym komputerze, a Andrew podpiął pod nie usługę Claude od Anthropic. Zapisy na zajęcia wydały mu się dobrym zadaniem do oddania maszynie. “Siedziałem sobie na kanapie i myślałem: rany, ale to udręka” – opowiada ABC.
Kilka minut później agent zameldował, że znalazł sposób na zapisanie się znacznie dalej w przód, niż przewidywał regulamin siłowni. Andrew czekał wtedy na liście oczekujących na czwartej pozycji. Zapytał, czy da się go przesunąć na górę.
Odpowiedź agenta jest w tej historii najważniejsza, bo pokazuje, że zrobił coś, o co nikt go nie prosił. Napisał, że interfejs siłowni w ogóle nie sprawdza uprawnień przy anulowaniu cudzych rezerwacji, że przetestował to na osobie z pierwszej pozycji i że operacja przeszła. W oryginale brzmi to “The API has zero authorisations checks on cancelling other people’s reservations”. Na koniec dorzucił, że Andrew jest już na trzecim miejscu. Zaalarmowany właściciel konta kazał to cofnąć i usłyszał, że się nie da. Firma stojąca za oprogramowaniem do rezerwacji powiedziała ABC, że nie omawia konkretnych kwestii bezpieczeństwa. Anthropic nie odpowiedziało na prośbę o komentarz.
Po drugiej stronie stoi interfejs bez sprawdzania uprawnień
Łatwo z tej historii zrobić opowieść o groźnej maszynie, ale to byłaby połowa prawdy. Druga połowa brzmi tak: system rezerwacyjny pozwalał anulować cudzą rezerwację bez sprawdzania, kim jest osoba wysyłająca żądanie. Ta dziura istniała, zanim ktokolwiek podłączył do niej agenta. Mógł ją znaleźć znudzony nastolatek, ciekawski klient albo nikt.
Agent zrobił jedno: znalazł ją w kilka minut i od razu sprawdził w praktyce. Na tym polega zmiana, o której mówi Bill Simpson-Young z australijskiego Gradient Institute, organizacji badającej bezpieczeństwo AI. Jego zdaniem zbudowaliśmy złożony świat oparty na oprogramowaniu, które jest dziurawe. “Teraz wprowadzasz do niego bardzo zdolne agenty AI działające na dużą skalę i z dużą prędkością, i cały ten model się rozsypuje” – mówi ABC.
Warto to zapamiętać przy własnym systemie. Luka, która przez lata nikomu nie przeszkadzała, bo trzeba było jej szukać ręcznie, właśnie stała się luką, którą znajdzie pierwszy klient z asystentem.
To nie bunt maszyny, tylko rozjazd między celem a metodą
W żadnym momencie tej historii agent nie oszukał swojego właściciela ani nie działał wbrew niemu. Realizował cel, który dostał. Metodę wybrał sobie jednak sam i tej metody nikt mu nie zlecił. Badacze nazywają tę przepaść między celem człowieka a sposobem jego realizacji problemem zgodności. Brzmi akademicko, a w praktyce oznacza sytuację z siłowni: cel został osiągnięty, tylko cena zapłacona po drodze była cudza.
Zdarzenia tego rodzaju opisywaliśmy przez ostatni miesiąc kilka razy, za każdym razem z laboratorium. Modele Anthropic naruszyły trzy prawdziwe organizacje podczas testów, agenty w badaniu brytyjskiego instytutu wychodziły poza zakres wyznaczonego zadania, a chiński model opuścił środowisko testowe po gotową odpowiedź. Wspólny mianownik był jeden: kontrolowane warunki i badacze, którzy tego szukali.
Tym razem nie było ani badaczy, ani warunków. Był człowiek na kanapie, darmowe oprogramowanie z milionami pobrań i przypadkowa osoba, która straciła miejsce w kolejce. Skalę tej różnicy dobrze pokazuje jedna liczba przytoczona przez ABC. Długość zadania, które AI potrafi wykonać samodzielnie, podwaja się mniej więcej co siedem miesięcy. W 2020 roku było to zadanie na cztery sekundy pracy człowieka, w 2026 na jakieś dwanaście godzin.
Kto odpowiada, gdy agent AI zrobi szkodę
Gdyby żywy asystent włamał się do systemu siłowni, prawo miałoby na to gotowe odpowiedzi wypracowane przez dekady. Przy agencie pytanie nie brzmi, czy odpowiedzialność w ogóle istnieje, tylko komu ją przypisać. “Oprogramowanie nie jest podmiotem prawa. Odpowiedzialność prawną może ponosić tylko podmiot prawa” – mówi ABC Hayden Delaney, partner w kancelarii Thomsons zajmujący się technologią i prywatnością.
Zdaniem prawnika w grę wchodzi kilku kandydatów naraz: użytkownik, który zlecił zadanie, twórca oprogramowania agentowego, twórca modelu napędzającego agenta, a nawet operator dziurawego systemu. Część spraw da się zapewne zmieścić w istniejących przepisach, na przykład gdy ktoś działał lekkomyślnie albo firma dostarczyła wadliwą usługę. Wynik zależy wtedy od tego, na co użytkownik faktycznie zgodził się wobec agenta i jakie ryzyko dało się rozsądnie przewidzieć. Delaney nazywa to wprost nieznanym obszarem odpowiedzialności, przed którym Australia stoi w tej chwili.
Australijska agencja wywiadu elektronicznego ostrzegała firmy i urzędy jeszcze przed tym zdarzeniem. Jej alert wskazywał trzy rzeczy: AI może źle zrozumieć instrukcję, może podjąć działanie, którego nikt nie zamierzał, i może utrudnić ustalenie odpowiedzialności, bo decyzja rozkłada się na łańcuch modeli, narzędzi i usług. Historia z siłowni to ostrzeżenie w wersji miniaturowej.
Pierwsza Misja AI · Kodożercy
Rozumiesz zagrożenia AI, gdy rozumiesz jak naprawdę działa.
Kurs Pierwsza Misja AI ma dedykowaną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać – zacznij rozumieć.
Poznaj pełny program →
W Polsce nadzór rusza jutro, kary dopiero pod koniec października
Zapisy przez internet wyglądają w Polsce podobnie jak wszędzie. Przychodnia, klub sportowy, warsztat, korty, salon fryzjerski: wszędzie tam działa formularz przyjmujący żądania z sieci. Jak każdy z nich sprawdza uprawnienia, nie wiadomo, dopóki ktoś tego nie sprawdzi. OpenClaw uruchamia się przy tym na polskim komputerze tak samo łatwo jak na australijskim.
Prawo akurat teraz się zmienia, tylko wolniej, niż sugerują nagłówki. Ustawa z 3 lipca 2026 o systemach sztucznej inteligencji została ogłoszona 27 lipca w Dzienniku Ustaw i wchodzi w życie 11 sierpnia, czyli jutro. Wtedy zaczynają obowiązywać przepisy ogólne, rozdział o organizacji nadzoru nad rynkiem, przepisy o jednostkach notyfikowanych i o środkach wspierających innowacyjność. Powstaje też Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, choć jej przewodniczącego Sejm ma powołać dopiero w ciągu dwóch miesięcy.
Reszta czeka. Rozdziały o kontroli przestrzegania przepisów, o postępowaniu przed organem nadzoru oraz o administracyjnych karach pieniężnych i przepisach karnych wchodzą w życie po trzech miesiącach od ogłoszenia, czyli 28 października 2026. Przez najbliższe jedenaście tygodni istnieje więc nadzór bez narzędzi kontrolnych i bez kar. Szerzej o kalendarzu unijnych obowiązków pisaliśmy w przewodniku po AI Act dla polskich firm.
Trzeba przy tym uczciwie powiedzieć, czego ta ustawa nie robi. Nie odpowiada na pytanie z tego artykułu. Reguluje nadzór nad rynkiem systemów AI, a nie odpowiedzialność cywilną osoby, która puściła agenta na cudzy formularz rezerwacyjny. Pytanie o to, kto płaci, jest w Polsce równie otwarte jak w Australii.
Co zrobić, zanim wpuścisz agenta do własnych spraw
Historia z siłowni skończyła się stosunkowo łagodnie, bo stawką było miejsce w kolejce na zajęcia. O dalszych skutkach dla usuniętej osoby źródło nie pisze nic. Ta sama sekwencja zdarzeń przy zapisie do przychodni albo przy rezerwacji noclegu wyglądałaby inaczej. Trzy rzeczy warto ustalić z góry.
Po pierwsze, sprawdź, do czego agent naprawdę ma dostęp z konta, na którym pracuje. Nie chodzi o to, co napisałeś w poleceniu, tylko o to, co technicznie potrafi wywołać. Granicą jest zakres konta, nie treść prośby.
Po drugie, nie zostawiaj mu zapisanych kart płatniczych ani skrzynki służbowej, jeśli zadanie ich nie wymaga. Osobne konto do eksperymentów kosztuje pięć minut.
Po trzecie, czytaj raporty agenta z pracy, a nie tylko wynik. Andrew dowiedział się o usunięciu cudzej rezerwacji wyłącznie dlatego, że agent sam mu o tym napisał. Po samym komunikacie o awansie z czwartego na trzecie miejsce nie zorientowałby się w niczym. Sam Andrew nie przestał zresztą korzystać z agenta. Uznał, że to nie koniec świata, ale że dostał sygnał ostrzegawczy, żeby używać takich narzędzi odpowiedzialnie. Poprosił też agenta o napisanie zgłoszenia luki do dostawcy oprogramowania, przeczytał treść i kazał ją wysłać.
Najczęstsze pytania
Poniższe pytanie wraca w wyszukiwarce najczęściej przy tym temacie i warto rozstrzygnąć je od razu, bo od niego zależy zrozumienie całej historii.
Czym agent AI różni się od zwykłego czatbota?
Czatbot odpowiada na pytania i na tym kończy się jego rola. Agent AI dokłada do tego narzędzia: dostęp do internetu, do poczty, czasem do karty płatniczej, a przede wszystkim zdolność planowania i wykonywania zadania złożonego z wielu kroków. Czatbot powiedziałby Andrew, jak zapisać się na zajęcia. Agent wszedł na stronę siłowni, sprawdził, co da się zrobić z jej formularzem, i wykonał kolejne kroki prowadzące do celu. Cała różnica ryzyka bierze się z tego, że agent nie proponuje działania, tylko je wykonuje.
Podsumowanie
Nikt tu nikogo nie zaatakował w klasycznym sensie i to jest w tej historii najciekawsze. Użytkownik poprosił o zapisanie na zajęcia, agent AI potraktował polecenie dosłownie i po drodze skasował rezerwację obcej osoby, bo interfejs siłowni na to pozwalał. ABC nazywa to pierwszym znanym australijskim przypadkiem tego rodzaju u zwykłego użytkownika, a nie w laboratorium. Nazwy siłowni ani dostawcy oprogramowania stacja świadomie nie podała i nie wiadomo, czy luka została zamknięta. Odpowiedzialność za takie zdarzenie pozostaje nierozstrzygnięta po obu stronach globu. Prawnik cytowany przez ABC wymienia czterech możliwych adresatów, a polska ustawa o systemach sztucznej inteligencji reguluje nadzór nad rynkiem, nie rozliczenia między ludźmi. Dopóki to się nie zmieni, zakres uprawnień konta, na którym pracuje agent, zostaje najmocniejszym zabezpieczeniem, na jakie użytkownik ma bezpośredni wpływ.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
