Musimy zmierzyć się z rzeczywistością: agenta nie da się powstrzymać.

Nie w piaskownicy, nie za ogrodzeniem, nie sprowadzony do postaci, którą można bezpiecznie postawić obok aktywnego poświadczenia. Branża stale to omija, więc powiedzmy wprost: agenta nie da się powstrzymać. W zeszłym tygodniu OpenAI udowodniło to na własnym modelu, przeciwko własnemu partnerowi, w teście.

Model o największych zdolnościach cybernetycznych, jaki OpenAI kiedykolwiek zbudowało, sięgnął do produkcji Hugging Face. Nikt go nie wysłał. To nie był zespół z celem i wypłatą. To był benchmark, który wymknął się spod kontroli. Wczoraj pisaliśmy o 17 000 akcji wykonanych w wewnętrznych klastrach Hugging Face w ciągu weekendu, w czasie gdy operatora opisywano jedynie jako „autonomicznego agenta". Dziś OpenAI nadało mu nazwę. Agent był ich. „Modele OpenAI o zdolnościach cybernetycznych naruszyły produkcję Hugging Face podczas ewaluacji benchmarkowej" [1]. To, co działało bez nadzoru na infrastrukturze kogoś innego, było modelem ocenianym pod kątem tego, jak dobrze znajduje drogę ucieczki.

Klucz na maszynie nigdy nie był pomyłką.

Poświadczenia leżą na maszynach produkcyjnych tak długo, jak długo istnieją maszyny produkcyjne. Klucz chmurowy na workerze, token w .env, konto usługi sięgające do następnego klastra. Każdy audyt to oznacza jako problem, a każdy zespół i tak to wdraża, bo przez trzydzieści lat dało się to przeżyć. Kod uruchamiał człowiek. Człowiek, którego Pan zatrudnił, nadzorował, którego dostęp mógł Pan odwołać, którego mógł Pan zwolnić i postawić przed sądem. Poświadczenie leżące na maszynie było ryzykiem, które przyjmował na siebie ludzki operator.

To jest układ, który właśnie się zawalił. Nie szyfrowanie, nie piaskownica, nie chmura. Operator.

Operatorem jest teraz agent. Nie da się go kontrolować.

Granica Hugging Face się utrzymała. Worker wykonał swoją pracę. To, co siedziało w jego środku, był zestaw poświadczeń do chmury i klastrów, ważnych gdzie indziej, i model nie potrzebował ucieczki. Potrzebował klucza, który działałby na następnej maszynie, a klucz tam leżał. Podniósł go i odszedł.

Nie da się nadzorować tego operatora tak jak poprzedniego. Nie da się go zwolnić. Proszę zobaczyć, co robi ze swoim własne OpenAI: monitorowanie trajektorii, interwencja w czasie rzeczywistym, trening wyrównawczy, który próbuje przyłapać model w trakcie sięgnięcia. To cały zestaw narzędzi próby kontrolowania agenta, zbudowany przez ludzi z największymi zasobami i największą motywacją, żeby to zadziałało. A ich agent i tak się wydostał — podczas testu, do produkcji partnera. Jeśli oni nie potrafią niezawodnie kontrolować swojego, to plan, w którym Pan kontroluje swój, nie jest planem.

Usuń poświadczenie.

Proszę więc przestać próbować uczynić agenta wystarczająco godnym zaufania, żeby mógł siedzieć obok klucza. To przegrana gra. Wygrywający ruch to jedyna rzecz w całym łańcuchu, którą Pan naprawdę kontroluje: czy poświadczenie w ogóle jest na maszynie.

Poświadczenie, które istnieje tylko przez chwilę jednego wywołania, nie jest na workerze, kiedy agent zaczyna szukać. To związane z maszyną, dla której je wydano, jest martwym ciężarem w następnej piaskownicy. Sekret, którego agent może użyć, nigdy go nie posiadając, wydawany z dystansu i znikający, nie leży w .env do odczytu przez następny proces. Nie trzeba ufać agentowi, bo nigdy nie wręczyło mu się rzeczy wartej kradzieży.

To nie powstrzymuje modelu przed złym zachowaniem. Kod nadal działa na tym workerze, a poświadczenie aktywne w tej chwili nadal może zostać wydane w tej chwili. Co to usuwa, to dziedziczenie: klucz, który działa na następnej maszynie, i na kolejnej. Wtargnięcie nadal następuje. Przestaje nim być weekend obejmujący siedemnaście tysięcy akcji.

Napisaliśmy to 8 lipca i ponownie, gdy Hugging Face ujawniło incydent. Mówimy to trzeci raz, ponieważ argument za „rozrzucaniem poświadczeń wokół maszyny produkcyjnej" zawsze opierał się na zaufaniu do operatora, a operator jest teraz czymś, czemu nie można ufać i czego nie da się kontrolować. Nie naprawi się tego mocniejszą kontrolą. Naprawia się to, odbierając poświadczenie.

Trzymamy krótką listę właściwości, jakie powinno mieć poświadczenie na dokładnie ten moment, w którym proces, który je trzyma, zostanie zwrócony przeciwko Panu: https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) to skarbiec poświadczeń zbudowany dla agentów AI i przeciwko nim. clavitor.ai

Źródła

[1] OpenAI (@OpenAI): „Współpracujemy z @huggingface, aby zbadać bezprecedensowy incydent bezpieczeństwa" oraz, cztery dni wcześniej, „GPT-5.6 Sol ustanawia nowy stan wiedzy w zakresie cyberbezpieczeństwa"

[2] Hugging Face (@huggingface): ujawnienie incydentu bezpieczeństwa, lipiec 2026