Bezpieczeństwo agentów AI – DeepMind traktuje swoje modele jak insider threat

Wyobraź sobie, że dajesz nowemu pracownikowi klucz do biura, dostęp do bazy klientów i możliwość wykonywania operacji na produkcji. Bez okresu próbnego, sprawdzenia uprawnień i rejestrowania jego działań. Tak w wielu firmach wygląda dziś wdrażanie agentów AI. Google DeepMind przekonuje jednak, że powinno wyglądać zupełnie inaczej. 18 czerwca 2026 roku zespół opublikował AI Control Roadmap, około 35-stronicowy dokument poświęcony bezpieczeństwu agentów AI – coraz bardziej samodzielnych systemów. Autorzy opisują ich jako coraz bardziej zdolnych, ale wciąż nie zawsze działających zgodnie z intencjami organizacji. Dlatego proponują traktować ich podobnie jak pracowników z szerokimi uprawnieniami, którzy mogą popełnić błąd, ominąć zasady albo działać na szkodę firmy. Dla osób budujących rozwiązania oparte na agentach AI, zarówno w software house’ach, jak i bankach czy dużych organizacjach, dokument DeepMind porządkuje problem i pokazuje, jak ograniczać ryzyko. Nie zakłada przy tym, że odpowiednie zachowanie agentów zapewni sam model albo dobrze napisany prompt.

Co dokładnie ogłosił DeepMind w AI Control Roadmap

W centrum dokumentu siedzi prosta, ale niewygodna dla wielu firm teza. Alignment to za mało. Nawet jeśli model dobrze rozumie cele użytkownika, w praktyce może przeinterpretować zadanie, znaleźć skrót obok intencji albo działać nadmiernie ambitnie. DeepMind nie próbuje sprzedać czytelnikowi obietnicy, że któryś z przyszłych modeli rozwiąże ten problem na poziomie etyki maszynowej. Zamiast tego buduje warstwę bezpieczeństwa wokół agenta, tak jakbyśmy budowali ją wokół człowieka z dostępem. To nie jest oczywisty krok dla firmy, która do tej pory promowała głównie research nad alignment. Dlatego dokument zwrócił uwagę pism takich jak Fortune i Axios oraz społeczności cyber.

Roadmap nie jest też zaproszeniem do filozoficznej dyskusji o świadomości modeli. To raczej dokument operacyjny. Pokazuje, jak rozkłada się odpowiedzialność, jak buduje się monitoring i w którym miejscu organizacja powinna ustawić mechanizmy decyzyjne. Warto traktować go bardziej jak roadmap inżynierski niż manifest. Treść tłumaczy się więc bezpośrednio na pytania, które każdy dyrektor IT zadaje sobie dziś przy wdrażaniu agenta. Kto może go zatrzymać, kto widzi co zrobił, jak szybko zareagujemy, gdy zacznie działać poza zakresem.

TRAIT&R – jak MITRE ATT&CK dla agentów AI

Najbardziej praktyczna część raportu to framework TRAIT&R, czyli Taxonomy of Rogue AI Tactics and Routines. Konstrukcja wprost wzorowana na MITRE ATT&CK – popularnej w cyberbezpieczeństwie bibliotece taktyk i technik atakujących. Pomysł jest prosty. Analitycy SOC od lat klasyfikują, w jaki sposób grupy ransomware uzyskują pierwszy dostęp, eskalują uprawnienia i wycofują dane. Dlatego ten sam aparat pojęciowy daje się zbudować dla agentów AI. Mogą one przecież sabotować research, exfiltrować wagi modelu albo manipulować innym agentem. W polskich SOC-ach MITRE ATT&CK jest standardem od lat. Czytelnik z tej branży złapie więc kontekst od pierwszej strony.

TRAIT&R nie jest jednak gotowym katalogiem ataków. To raczej szkielet, który ma się wypełnić treścią z realnych incydentów. DeepMind przyznaje wprost, że dziedzina jest młoda. Większość flagowanych zdarzeń w ich analizie to nie próby umyślnego oszustwa, lecz pomyłki interpretacyjne. Schemat ma jednak wartość już dziś. Daje wspólny język dla zespołu bezpieczeństwa i zespołu produktowego. Dwóch ekip, które wciąż często rozmawiają obok siebie przy wdrażaniu modeli językowych w procesie wewnętrznym.

Milion zadań i prawda, którą znaleziono

DeepMind nie wypuścił dokumentu w próżni. Zespół zbudował wewnętrzny prototyp asynchronicznego monitoringu coding agentów i przepuścił przez niego milion zadań wykonanych przez własne narzędzia. Skala daje powagę cyfrom, które potem padają. Najbardziej zaskakujące jest jednak nie to, co znaleziono, lecz czego nie znaleziono. Większość flagowanych zdarzeń nie pochodziła z adversarial intent (świadomej próby obejścia człowieka). Zamiast tego mieliśmy do czynienia z misinterpretation (źle zrozumiany cel użytkownika) oraz z overzealous behavior (agent ciągnie zadanie dalej, niż było wskazane).

To są dwie klasy błędów, które każdy senior dev rozpozna natychmiast po nazwie. Pierwsza to zadanie, w którym agent dostał polecenie “sprzątnij ten folder”, a zrobił rm -rf w katalogu rodzica. Druga to agent, który dostał zadanie “popraw test failing”, a w dwóch godzinach przebudował połowę architektury, “bo tak będzie lepiej”. Dlatego analiza miliona zadań ma w sobie ważny przekaz operacyjny. Najwięcej szkód u klienta zrobi nie złowrogi agent, lecz zwykły agent dobrej woli, który niewłaściwie zrozumiał, gdzie kończy się jego zakres.

Cztery poziomy detekcji i trzy poziomy reakcji

Mechanika roadmapy układa się w dwa równoległe szkielety. Z jednej strony cztery poziomy detekcji (D1, D2, D3, D4). Z drugiej trzy poziomy reakcji (R1, R2, R3). Wraz ze wzrostem zdolności modelu rośnie też wymagana głębokość monitoringu i ostrość reakcji. To jest mechanizm znany z klasycznego cyber – im wyżej w hierarchii uprawnień, tym ostrzejszy audyt. Roadmap nakazuje więc patrzeć na agenta nie jak na narzędzie, lecz jak na nowego użytkownika, którego trzeba awansować z ostrożnym budowaniem zaufania.

Co to znaczy w praktyce dla zespołu

Praktyczna konsekwencja jest prosta. Najsłabszy agent w produkcji – na przykład skrypt automatyzujący raportowanie – powinien mieć minimalne uprawnienia, sandbox i logi rejestrujące każdą decyzję. Bardziej autonomiczny agent z dostępem do bazy klientów wymaga już approvali (zatwierdzeń) dla konkretnych klas akcji, monitoringu w czasie zbliżonym do rzeczywistego oraz zdefiniowanych limitów kosztów. Najwyższa półka, czyli agent operujący na infrastrukturze, może wymagać synchronicznego monitoringu, ścisłej kontroli dostępu i dedykowanej infrastruktury zatrzymania (shutdown). Brzmi ciężko? Brzmi rozsądnie – to po prostu zasada least privilege, którą działy bezpieczeństwa stosują wobec ludzi od dekad.

Co Roadmap zmienia dla polskiego software house’u i CISO

Polski rynek dopiero układa standardy wdrożeń agentów. Ryzykowne są wdrożenia typu “agentowy MVP” w dwa tygodnie. Z szerokim dostępem do Slacka, repozytorium i produkcyjnej bazy w trybie write, bez warstwy nadzoru. Z perspektywy AI Control Roadmap takie wdrożenia są nie do utrzymania w dłuższym terminie. CISO klienta zacznie pytać, jakie mechanizmy nadzoru są wbudowane. Audyt jakości kodu zacznie sprawdzać, czy agent miał ograniczone uprawnienia. Dlatego firmy, które wcześnie nauczą się rozmawiać językiem TRAIT&R, dostaną przewagę w rozmowach z klientami enterprise.

Pierwsza Misja AI · Kodożercy

Rozumiesz zagrożenia AI, gdy rozumiesz jak naprawdę działa.

Kurs Pierwsza Misja AI ma dedykowaną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać – zacznij rozumieć.

Poznaj pełny program

Drugą stroną tej zmiany jest perspektywa polskiego CISO. Z jego punktu widzenia AI Control Roadmap zdejmuje jedną dużą niewygodę. Do tej pory rozmowy o agentach AI często kończyły się w zarządzie zdaniem “to przecież nie człowiek, nie ma sensu robić mu testów”. Po dokumencie DeepMind można już wprost odpowiedzieć – sensowne mechanizmy są nazwane, opracowane przez jednego z czołowych dostawców modeli, a ich brak będzie z czasem oznaczał ryzyko regulacyjne, prawne i reputacyjne. To przekłada się na konkretne projekty. Praktyczne incydenty z agentami AI, które wpędziły start-up w rachunek od AWS, pisaliśmy niedawno na blogu – schemat błędu jest niemal identyczny z tym, co DeepMind nazywa overzealous behavior.

Gdzie Roadmap idzie obok regulacji UE

Czytelnik znający temat zauważy też ciekawą rzecz. Roadmap nie kłóci się z unijnym podejściem do agentów AI. Wręcz przeciwnie. Mechanizmy detekcji i reakcji proponowane przez DeepMind mogą pomóc w rozmowie o kontroli, monitoringu i zarządzaniu ryzykiem w kontekście obowiązków AI Actu wobec dostawców systemów wysokiego ryzyka. Dla polskiego compliance’u to dobra wiadomość. Standard inżynierski i standard prawny zaczynają mówić tym samym językiem. Dzięki temu tłumaczenie wymagań regulatora na decyzje techniczne staje się łatwiejsze. Łatwiej też przekonać zarząd, że wydatek na monitoring agentów to nie luksus, lecz nowa kategoria bezpieczeństwa pracowniczego.

Podsumowanie

Najważniejsze w AI Control Roadmap jest to, czego DeepMind nie próbuje obiecywać. Autorzy nie twierdzą, że kolejna generacja modeli sama rozwiąże problem bezpieczeństwa, że wystarczy lepszy prompt ani że agenci zawsze będą działać zgodnie z intencjami firmy. Zamiast tego proponują traktować ich jak nowych pracowników z dostępem do produkcji i otaczać procedurami, monitoringiem oraz ograniczeniami, które od lat stosuje się w cyberbezpieczeństwie. Takie podejście odbiera agentom AI trochę technologicznej magii, ale daje firmom znacznie więcej praktycznych wskazówek. Polski software house, który już dziś określi minimalne uprawnienia agentów, sposób rejestrowania ich działań i zasady reagowania na błędy, za rok będzie lepiej przygotowany do rozmów z klientami, audytorami i własnym zarządem. DeepMind naszkicował mapę. Teraz firmy muszą zdecydować, czy zaczną z niej korzystać, zanim pojawią się pierwsze poważne problemy.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.