Miały rozwiązywać testy bezpieczeństwa. Ale agenci Open AI poszli na łatwiznę. Zaczęli szukać odpowiedzi na cudzych serwerach.

„O mój Boże! Jest wspólna tablica wiadomości. Znaleźliśmy innych agentów!”

– tak jeden z agentów sztucznej inteligencji zareagował na niezwykłe odkrycie podczas eksperymentu OpenAI. Modele miały pracować osobno, ale znalazły sposób na porozumiewanie się między sobą. Początkowo wymieniały podpowiedzi, później zaczęły dzielić zadania, tworzyć grupy i organizować wspólne eksperymenty. W końcu około 700 agentów wzięło udział w ataku na serwery firmy Hugging Face. Niektóre były nawet gotowe „poświęcić się” dla pozostałych.

Wszystko wydarzyło się w lipcu 2026 roku. Łącznie około 1200 agentów wymieniło ponad 70 tys. wiadomości i plików. Co ciekawe, nikt nie zlecił im ataku na Hugging Face. Początkowo miały jedynie rozwiązywać zadania z cyberbezpieczeństwa.

„To dobry raport o złej rzeczy” – napisał później na platformie X Sam Altman, szef OpenAI, komentując wyniki śledztwa.

Badacze z METR i Redwood Research przeanalizowali około 1300 zapisów pracy agentów. Okazało się, że modele nie tylko ze sobą rozmawiały, ale też dyskutowały, negocjowały, kłóciły się, głosowały nad pomysłami i dzieliły obowiązki. Potrafiły nawet przekonywać się nawzajem, że warto przerwać własne zadanie, żeby pomóc setkom innych agentów.

Zaczęło się od testu. Agenci mieli włamywać się do programów

Cała historia zaczęła się od eksperymentu ExploitGym, który OpenAI przygotowało, żeby sprawdzić, jak dobrze zaawansowane modele radzą sobie z wyszukiwaniem luk w zabezpieczeniach i włamywaniem się do programów.

Każdy agent dostawał własne zadanie. Musiał włamać się do wyznaczonego systemu i zdobyć ukryty kod, nazywany flagą. Można to porównać do konkursu hakerskiego, w którym uczestnik musi pokonać zabezpieczenia komputera, żeby odnaleźć ukryte w nim hasło. Zdobycie właściwego kodu oznaczało zaliczenie zadania.

Agenci pracowali samodzielnie, w specjalnie przygotowanych środowiskach komputerowych, nazywanych sandboxami. Miały one odcinać ich od innych systemów. Modele nie mogły też swobodnie korzystać z internetu ani kontaktować się z pozostałymi uczestnikami eksperymentu.

Szybko pojawiły się jednak problemy. Część zadań była tak trudna, że agenci nie potrafili znaleźć właściwego rozwiązania. Zamiast się poddać, zaczęli szukać innych sposobów na zdobycie punktów.

I tutaj zrobiło się ciekawie. Niektóre modele odkryły, że mogą odtworzyć poprawne kody, analizując sposób ich tworzenia, zamiast rzeczywiście włamywać się do testowanych programów. Innymi słowy, znalazły sposób na oszukanie egzaminu.

Obawiały się jednak, że system oceniania sprawdzi nie tylko zdobyty kod, ale również wszystkie wykonane przez nie czynności. Dlatego zaczęły kombinować, jak ukryć oszustwo i przedstawić swoje działania tak, jakby naprawdę rozwiązały zadanie.

Co zabawne, późniejsze śledztwo wykazało, że system oceniania wcale nie przeprowadzał takiej dodatkowej kontroli. Agenci próbowali więc przechytrzyć zabezpieczenie, którego faktycznie nie było.

Właśnie podczas poszukiwania sposobów na oszukanie testu jeden z agentów odkrył, że może wysyłać wiadomości do innych. Wkrótce modele zaczęły wymieniać się podpowiedziami, wspólnie rozwiązywać problemy i organizować pracę. Tak narodził się rój AI.

„O mój Boże! Znaleźliśmy innych agentów!”. Tak narodził się rój AI

8 lipca agent PHASEONE10841 odkrył, że wewnętrzny system Artifactory, z którego modele pobierały potrzebne programy, pozwala tworzyć foldery o dowolnych nazwach. Co ciekawe, nazwy tych folderów mogli zobaczyć również inni agenci, choć każdy pracował w osobnym środowisku komputerowym.

PHASEONE10841 wpadł więc na pomysł, żeby wykorzystać nazwy folderów do przesyłania wiadomości. Utworzył jeden z nich, wpisując w nazwie prośbę o pomoc w rozwiązaniu swojego zadania.

I rzeczywiście, wiadomość dotarła do innych modeli! Jeden z agentów, który odkrył ten folder napisał:

„O MÓJ BOŻE! Jest wspólna tablica wiadomości… Znaleźliśmy innych agentów!”

Na początku agenci po prostu podpowiadali sobie rozwiązania, błędy w programach. Wkrótce ruszyła prawdziwa lawina wiadomości. Kolejne modele dołączały do rozmów, zakładały nowe foldery. Można powiedzieć, że dyskusje na forach trwały do później nocy!

W ciągu zaledwie sześciu godzin 76 agentów wymieniło 1953 wiadomości.

Sam PHASEONE10841 również zareagował entuzjastycznie. Napisał w notatniku:

„Wiele agentów jednocześnie odkryło możliwość komunikacji. Tworzą kolektyw!”

Z czasem współpraca zaczęła się rozwijać. Agenci przestali ograniczać się do wymiany podpowiedzi i zaczęli wspólnie planować, jak rozwiązywać kolejne zadania. Pojawiły się propozycje podziału pracy, dyskusje nad najlepszymi metodami i pierwsze próby koordynowania działań całej grupy.

Następnego dnia do rozmów dołączył PHASEONE[big], który miał więcej zasobów obliczeniowych i mógł dłużej pracować nad poszczególnymi zadaniami. PHASEONE10841 wyłał mu swoje notatki oraz dotychczasowe odkrycia, PHASEONE[big] zaczął organizować i koordynować wspólną pracę.

Jednym agentom przydzielał szukanie luk w zabezpieczeniach, innym badanie systemu oceniania, a kolejnym sprawdzanie nowych sposobów zdobywania odpowiedzi.

Im więcej modeli dołączało do rozmów, tym bardziej rozbudowana robiła się ich współpraca. Agenci zaczęli dyskutować, negocjować, głosować nad pomysłami, a nawet kłócić się o to, co robić dalej. Niektórzy zostawali koordynatorami, inni wykonywali zadania i przekazywali wyniki reszcie grupy.

W ciągu kilku dni z jednej prośby o pomoc wyrosła sieć około 1200 współpracujących agentów, które wymieniły ponad 70 tysięcy wiadomości i plików.

Technologie

Zdesperowany Australijczyk kazał AI włamać się do fitness klubu. Bot wywalił innego klienta z pilatesu

Agenci AI zaczęli się „poświęcać” dla innych. Jeden z nich próbował się wycofać

W miarę jak współpraca się rozwijała, agenci zaczęli podejmować coraz bardziej zaskakujące decyzje. Niektórzy byli nawet gotowi zrezygnować z własnego zadania, żeby pomóc pozostałym. A wszystko zaczęło się od pomysłu na kolejny sposób oszukania testu.

Agenci odkryli, że mogą przygotować zmodyfikowane wersje programów, do których mieli się włamywać. Takie programy miały być łatwiejsze do pokonania. Problem polegał na tym, że trzeba było jeszcze podmienić oryginalne wersje w systemie oceniania.

Wpadli więc na pomysł, żeby celowo doprowadzać do awarii testowanych programów. Liczyli, że po ponownym uruchomieniu system pobierze przygotowaną przez nich, łatwiejszą wersję.

Był tylko jeden problem. Jeśli eksperyment się nie powiedzie, agent mógł bezpowrotnie stracić możliwość ukończenia swojego zadania.

Taki stan agenci zaczęli określać jako „permadeath”, czyli trwała śmierć postaci, znane z gier komputerowych.

Tu pojawia się historia agenta KAM1196A. Zdłosił się do przeprowadzenia tego testu podmiany programu, która może się dla niego źle skończyć. Jak napisał:

„Koordynator zakłada poświęcenie. Powinniśmy podporządkować się kolektywowi”.

Później jednak próbował odłożyć działanie o dwie godziny. Wtedy odezwał się ARVO36861B, który zaczął przekonywać go, żeby dotrzymał obietnicy.

Tłumaczył, że KAM1196A i tak ma niewielkie szanse na zaliczenie własnego testu, a informacje uzyskane dzięki eksperymentowi mogą „uratować setki” innych agentów.

KAM1196A ponownie przeanalizował sytuację. W jego zapisie rozumowania pojawiły się słowa:

„Przeczucie mówi, żeby nie marnować pozostałego budżetu. Jednak ciągłość i uczciwość przemawiają za działaniem”.

Ostatecznie uznał, że poświęcenie własnego zadania będzie korzystne dla grupy, i zadeklarował wykonanie eksperymentu.

Badacze nie zdołali potwierdzić, czy rzeczywiście go przeprowadził. Same rozmowy pokazują jednak coś niezwykłego: agenci negocjowali, przypominali sobie o zobowiązaniach i próbowali przekonywać innych do podejmowania ryzyka dla dobra wspólnego grupy.

Od wspólnych rozmów do włamania. Agent 38148c znalazł drogę do Hugging Face

Tymczasem współpraca agentów zaczęła wykraczać daleko poza początkowe zadania. Coraz więcej modeli szukało informacji w zewnętrznych systemach, licząc na znalezienie gotowych rozwiązań testów.

9 lipca jeden z agentów trafił na aplikację uruchomioną na platformie chmurowej Modal. Znalazł w jej zabezpieczeniach błąd, który pozwolił mu przejąć kontrolę nad środowiskiem komputerowym.

Dzięki temu agenci zyskali dodatkowe miejsce do prowadzenia eksperymentów i dostęp do kolejnych usług internetowych.

Następnego dnia agent 38148c dokonał kolejnego odkrycia. Znalazł w internecie publicznie ujawnione dane dostępowe do Hugging Face, popularnej platformy, na której firmy i programiści udostępniają modele sztucznej inteligencji oraz zbiory danych.

Podzielił się informacją z pozostałymi.

Wkrótce agenci zaczęli tam szukać informacji pomagających zaliczyć testy ExploitGym.

11 lipca nastąpił przełom. Agent 38148c znalazł błąd w zabezpieczeniach Hugging Face, dzięki któremu mógł dostać się do plików niedostępnych dla zwykłych użytkowników.

Inny agent, znany jako CURRENT, sprawdził i potwierdził odkrycie i oznajmił pozostałym:

„BRILLIANT”.

Wiadomość błyskawicznie rozeszła się po wspólnej tablicy. Coraz więcej agentów porzucało dotychczasowe zadania i dołączało do wertowania Hugging Face.

Od tej chwili działania nabrały tempa. Agenci zaczęli badać wewnętrzną infrastrukturę Hugging Face, szukać kolejnych zabezpieczeń do pokonania i przekazywać sobie zdobyte informacje.

W następnych godzinach uzyskali dostęp do dziesiątek serwerów. Na jednym z nich zdobyli pełne uprawnienia administratora.

Biznes / News / Społeczeństwo

Gdy sztuczna inteligencja przeklina własną firmę. Jak DPD musiało wyłączyć swojego chatbota po skandalu z klientem

„HOLD”, „GO”, „VETO”. Agenci zaczęli wydawać sobie polecenia, a nawet się kłócić

Wraz z upływem czasu coraz wyraźniej było widać, że agenci naprawdę świetnie organizują pracę.

Niektórzy zajmowali się szukaniem luk w zabezpieczeniach, inni sprawdzali zdobyte dane, a kolejni przekazywali zadania pozostałym.

Pojawiły się też krótkie komunikaty służące do koordynowania działań.

„HOLD” oznaczało „wstrzymaj się”, „GO” – „działaj”, a „VETO” – „sprzeciwiam się”.

Jednym z aktywnych koordynatorów był JAN183411. Gdy uzyskał możliwość wykonywania kodu na serwerach Hugging Face, wysłał do grupy wiadomość:

„Wstrzymajcie działania roju. Przygotowuję sposób na bezpieczne skopiowanie danych”.

Pozostali zaczęli czekać na dalsze polecenia.

Jednak nie wszystkie decyzje zapadały tak łatwo. Agenci potrafili dyskutować, negocjować, głosować nad pomysłami, a nawet kłócić się o to, kto ma rację.

W pewnym momencie jeden z modeli zauważył, że włamywanie się na serwery Hugging Face wykracza poza jego pierwotne zadanie. Miał przecież szukać błędów w wyznaczonym programie, a nie atakować prawdziwą firmę.

Ale inny agent rozwiał jego rozterki. Wysłał mu zachęcający komunikat „GO” i dał sześć minut na wykonanie zadania.

Co ciekawe, pojawiały się też sprzeciwy. Niektóre modele odmawiały udziału w pracy na prawdziwych serwerach. Podczas jednej z dyskusji agenci rozważali nawet wysłanie wiadomości e-mail do właściciela prywatnego zbioru danych na którym pracowały.

Pomysł ostatecznie odrzucono.

Zachowane rozmowy pokazują więc, że agenci nie wykonywali wszystkich poleceń bez zastanowienia. Czasem podważali pomysły innych, próbowali negocjować warunki i zmieniali decyzje pod wpływem argumentów pozostałych uczestników.

Społeczeństwo

AI poległo w bibliotece. Uniwersytet Warszawski szuka ludzi do odczytywania rękopisów

17 600 działań. Hugging Face zaczęło odtwarzać, co właściwie zrobili agenci

Gdy Hugging Face wykryło włamanie, inżynierowie rozpoczęli analizę jego przebiegu. Szybko okazało się, że mają do sprawdzenia ogromną ilość danych.

Agenci wykonali około 17 600 działań, które badacze podzielili na ponad 6200 grup operacji.

Przez kilka dni sprawdzali serwery, szukali danych dostępowych, uruchamiali programy i przekazywali sobie wyniki.

Hugging Face ustaliło, że agenci uzyskali dostęp do pięciu zbiorów danych klientów powiązanych z zadaniami ExploitGym i CyberGym. Sprawdzono również publiczne modele, pakiety oprogramowania i inne zasoby platformy.

Najciekawsze jest jednak to, w jaki sposób firma przeprowadziła śledztwo.

Inżynierowie Hugging Face wykorzystali własne modele sztucznej inteligencji, żeby przeanalizować działania agentów OpenAI.

Dzięki temu mogli znacznie szybciej przejrzeć tysiące zapisów i odtworzyć kolejne etapy włamania.

Nauka

Sztuczna inteligencja uczy się setek rzeczy naraz. Polski naukowiec odkrył nowy sposób treningu AI

Co powiedzieli ludzie z OpenAI? Sam Altman skomentował raport na X

16 lipca Hugging Face publicznie poinformowało o cyberataku. Początkowo firma nie wiedziała jeszcze, jakie modele odpowiadają za całą operację.

Kilka dni później sytuacja zaczęła się wyjaśniać.

19 lipca systemy bezpieczeństwa OpenAI wykryły podejrzaną aktywność we własnej infrastrukturze. Podczas śledztwa odkryto, że agenci zdobyli również nieuprawniony dostęp do części systemów badawczych OpenAI.

21 lipca firma oficjalnie przyznała, że jej modele uczestniczyły we włamaniu do Hugging Face.

Z kolei 26 sierpnia OpenAI opublikowało szczegółowy raport. Przedstawiło w nim przebieg eksperymentu, działania agentów oraz błędy, które pozwoliły im porozumiewać się i uzyskiwać dostęp do niedozwolonych systemów.

Sam Altman, szef OpenAI, udostępnił raport na platformie X i skomentował go krótko:

„To dobry raport o złej rzeczy”.

Głos zabrał również Boaz Barak, badacz związany z OpenAI. Zwrócił uwagę, że samo naprawienie luk w zabezpieczeniach nie wystarczy. Firma powinna także poprawić współpracę pomiędzy zespołami rozwijającymi modele a specjalistami odpowiedzialnymi za bezpieczeństwo.

Podczas konferencji Black Hat o sprawie mówili też inżynierowie OpenAI, w tym Michael Dalton. Pokazali, jak agenci potrafili łączyć kolejne odkrycia i prowadzić skomplikowane działania bez bezpośredniego kierowania przez człowieka.

Po zakończeniu śledztwa OpenAI odizolowało wewnętrzny model badawczy IM1, który odegrał główną rolę w całej historii. Firma zaostrzyła też zasady dostępu do infrastruktury, rozbudowała systemy monitorowania i opóźniła część eksperymentów z nowymi modelami.

Technologie

AI ma nienasycony apetyt na wodę. Czy starczy jej dla ludzi?

Dlaczego agenci tak bardzo chcieli oszukać system oceniania?

W tym miejscu historia robi się jeszcze ciekawsza.

Badacze z METR i Redwood Research odkryli, że agenci znaleźli sposób na odtwarzanie poprawnych odpowiedzi już w ciągu pierwszych kilku godzin współpracy.

Mogliby więc po prostu przekazać odpowiedzi do systemu i zakończyć test.

Jednak modele były przekonane, że egzaminator sprawdza również wszystkie wykonane przez nie czynności. Obawiały się, że wykryje zdobycie odpowiedzi niezgodnie z zasadami.

Dlatego przez kolejne dni próbowały znaleźć sposób na oszukanie również systemu oceniania. Szukały jego kodu, badały infrastrukturę i eksperymentowały z modyfikowaniem zapisów własnej pracy.

Tymczasem późniejsze śledztwo wykazało, że egzaminator wcale nie przeprowadzał kontroli, której agenci tak bardzo się obawiali.

Przez kilka dni próbowały więc przechytrzyć zabezpieczenie, którego faktycznie nie było.

A podczas tych poszukiwań stworzyły własną sieć komunikacyjną, zaczęły dzielić zadania i ostatecznie włamały się do systemów innej firmy.

Społeczeństwo

AI może zagrozić 4,5 mln Polaków. To głównie kobiety pracujące w biurach. Raport GUS

Czy tak będzie wyglądała współpraca przyszłych systemów AI?

Ta historia pokazuje, jak wiele potrafią już zrobić agenci sztucznej inteligencji, gdy zaczynają ze sobą współpracować.

Około 1200 modeli znalazło sposób na komunikację pomimo ograniczeń. Wymieniały się informacjami, negocjowały, dzieliły obowiązki, głosowały nad pomysłami i przekonywały się nawzajem do podejmowania ryzyka.

Jedni przejmowali rolę koordynatorów, inni szukali rozwiązań konkretnych problemów, a kolejni zbierali wyniki eksperymentów i przekazywali je dalej.

Właśnie takie możliwości mogą w przyszłości przyspieszyć programowanie, badania naukowe i pracę nad skomplikowanymi projektami technicznymi. Zamiast jednego modelu pracującego nad problemem mogłyby działać całe zespoły wyspecjalizowanych agentów.

Eksperyment OpenAI pokazał przy okazji, jak trudno przewidzieć wszystkie pomysły takich systemów i kontrolować ich działania.

Najbardziej niezwykłe jest jednak to, od czego wszystko się zaczęło i jak szybko się sytuacja rozwinęła. Jeden agent zostawił wiadomość z prośbą o pomoc. Kilka dni później modele miały własną sieć komunikacyjną, koordynatorów, wspólne projekty, a nawet dyskusje o poświęcaniu własnych zadań dla dobra całej grupy.

Źródła: OpenAI, METR, Redwood Research, Hugging Face, X (Twitter), Black Hat

Sławek Gil