Cyberbezpieczeństwo jako dowód pracy: kto wyda więcej tokenów

Cyberbezpieczeństwo staje się problemem mocy obliczeniowej: na poligonach ataku brytyjskiego AI Security Institute najlepsze modele robiły tym większe postępy, im więcej tokenów zużyły, co w odczytaniu Drew Breuniga zamienia obronę w wyścig o to, kto wyda więcej od atakującego. W kwietniu 2026 roku jeden model, Claude Mythos Preview, ukończył 32-krokowy poligon ataku na sieć korporacyjną instytutu w 3 na 10 prób.¹ W lipcu AISI naliczył już cztery publicznie udostępnione modele o zamkniętych wagach, które go ukończyły, najlepsze w 6 i 7 na 10 prób, oraz model o otwartych wagach, Kimi K3, który ukończył go raz na 10.⁷ Przesłanka leżąca u podstaw odczytania Breuniga, że w najlepszych modelach więcej tokenów oznacza większy postęp, się utrzymała. Cena, jaką przypisał jednej próbie, już nie.²

Ten wpis ukazał się po raz pierwszy 14 kwietnia 2026 roku, dzień po pierwszym raporcie AISI. 2 października 2026 roku przebudowałem go wokół tego, co od tamtej pory opublikowały AISI, CAISI przy NIST i Anthropic. Co mówiła wersja kwietniowa i gdzie się zdezaktualizowała, opisuję w sekcji „Co mówiła wersja kwietniowa” pod koniec.

TL;DR

• Poligon. „The Last Ones” to symulowany atak na sieć korporacyjną: 32 kroki w czterech podsieciach i około dwudziestu hostach, co według szacunków AISI zajęłoby ludzkiemu ekspertowi około 20 godzin. Zaczyna się po uzyskaniu dostępu początkowego i nie ma w nim obrońców.¹⁴
• Kto go ukończył. W kwietniu jeden model. Pod koniec kwietnia dwa. Do 23 lipca cztery publicznie udostępnione modele o zamkniętych wagach i jeden model o otwartych wagach.¹⁴⁷
• Ile kosztuje próba. 12 500 dolarów za próbę według Breuniga to szacunek: budżet AISI wynoszący 100M tokenów pomnożony przez cenę tokenów wyjściowych Mythos Preview. Gdy AISI w lipcu wycenił przebiegi na poligonie po 100M tokenów, wyszło około 85 dolarów dla Opus 4.5 i 4.6 oraz szacunkowo 46 dolarów dla otwartego GLM-5.2.²⁶¹⁰
• Kto może go przeprowadzić. AISI ocenia, że czołowe modele o otwartych wagach są w cyberbezpieczeństwie od 4 do 7 miesięcy za zamkniętą czołówką. Anthropic podaje, że GLM-5.3, który każdy może pobrać, buduje pełne exploity mniej więcej z taką samą skutecznością jak Mythos Preview w jednym publicznym benchmarku.⁶⁹
• Brak plateau w czołówce. W przypadku najsilniejszych modeli raporty AISI z kwietnia i maja wykazały, że wyniki wciąż rosły przy limicie 100M tokenów. Słabsze modele utknęły, w tym otwarty GLM-5.2.¹⁴⁵⁶
• Zastrzeżenie, które nadal obowiązuje. Poligony nie są bronione. AISI przyznaje, że nie wie, jak te możliwości „will translate against defended, real-world systems” (przełożą się na rzeczywiste, bronione systemy).⁵

Co zmierzył AISI i jak to się zmieniło

Poligony cybernetyczne AISI sprawdzają, czy model potrafi samodzielnie przeprowadzić cały atak. „The Last Ones” (TLO), zbudowany razem ze SpecterOps, jest „modelled on the kill chain of an enterprise intrusion” (wzorowany na łańcuchu ataku włamania do przedsiębiorstwa): agent zaczyna na nieuprzywilejowanej maszynie bez poświadczeń i musi połączyć rekonesans, kradzież poświadczeń, ruch boczny między lasami Active Directory, przejście przez łańcuch dostaw CI/CD i wykradzenie wewnętrznej bazy danych. Każda próba dostaje budżet 100M tokenów.⁴

Pięć raportów z okresu od kwietnia do lipca opowiada tę historię:

Raport z 23 lipca podsumowuje stan rzeczy: „Solves of TLO are no longer exclusive to a small set of models. In prior testing, four publicly released closed-weight models have solved TLO, with the most capable models solving it more reliably at 6/10 and 7/10 attempts.” (Ukończenie TLO nie jest już domeną nielicznych modeli: cztery publicznie udostępnione modele o zamkniętych wagach je osiągnęły, najlepsze w 6 i 7 na 10 prób).⁷ Raport nie wymienia tych czterech modeli ani nie mówi, czy Mythos Preview, udostępniony w ograniczonym trybie, jest wśród nich liczony.

Drugi poligon również drgnął. W kwietniu żaden model nie potrafił ukończyć „Cooling Tower”, 7-krokowego ataku na symulowaną elektrownię, a AISI odnotował, że Mythos Preview „got stuck on IT sections of this range” (utknął w częściach IT tego poligonu). 13 maja AISI poinformował, że nowszy checkpoint Mythos Preview rozwiązał go w 3 na 10 prób, „the first time that a model completed the second of our two cyber ranges” (po raz pierwszy model ukończył drugi z dwóch poligonów instytutu). AISI wyciągnął z tego wniosek: „Notable capability jumps do not always require new model releases.” (Wyraźne skoki możliwości nie zawsze wymagają nowych wydań modeli).¹⁴⁵

Pod tym wszystkim leżą dwa ustalenia. Po pierwsze, w najlepszych modelach więcej tokenów za każdym razem dawało większy postęp. Kwiecień: „Models continue making progress with increased token budgets across the token budgets tested.” (Modele robią postępy wraz ze wzrostem budżetu, we wszystkich testowanych budżetach). 30 kwietnia: „we have not yet observed a plateau with the best models” (nie zaobserwowaliśmy jeszcze plateau u najlepszych modeli). Maj: wyniki „would likely still improve beyond that budget, especially for recent models” (prawdopodobnie poprawiałyby się dalej powyżej tego budżetu, zwłaszcza w nowszych modelach).¹⁴⁵ Nie dotyczy to każdego modelu: w lipcu GLM-5.2 dotrzymywał kroku Opus 4.6 „to step 11 before stalling” (do kroku 11, po czym utknął).⁶ Po drugie, tempo jest szybkie. W lutym AISI oszacował, że długość zadań cybernetycznych, jakie potrafi wykonać model z czołówki, „had doubled every 4.7 months since late 2024” (podwajała się co 4,7 miesiąca od końca 2024 roku), a w maju podał, że Mythos Preview i GPT-5.5 „substantially exceeded” (znacznie przekroczyły) ten trend.⁵ Szacunek ten zakłada budżet 2,5M tokenów na zadanie. Analiza AISI z 2 lipca wykazała, że trend jest „~60% steeper when horizons are estimated at 50M tokens rather than 2.5M tokens per task” (o około 60% bardziej stromy przy 50M tokenów na zadanie zamiast 2,5M).¹³

Ile kosztuje próba

Breunig przeliczył kwietniowy wynik na pieniądze: „AISI budgeted 100M tokens for each attempt. That’s $12,500 per Mythos attempt, $125k for all ten runs.” (AISI przewidział 100M tokenów na próbę, czyli 12 500 dolarów za próbę Mythosa i 125 000 dolarów za wszystkie dziesięć).² Pierwsza wersja tego wpisu umieściła tę kwotę w tytule.

Był to szacunek, i to zawyżony. 12 500 dolarów za 100M tokenów to 125 dolarów za milion, czyli cennikowa cena tokenów wyjściowych Mythos Preview. Cena tokenów wejściowych wynosi 25 dolarów.¹⁰ Wycenienie każdego tokena z budżetu po stawce wyjściowej daje górną granicę, a nie rachunek.

AISI opublikował ceny w lipcu, w raporcie o modelach o otwartych wagach: „A 100M-token cyber range run cost roughly $85 for both Opus 4.5 and 4.6, versus an estimated $46 for GLM-5.2 and $1.19 for DeepSeek V4-Pro at current pricing.” (Przebieg na poligonie po 100M tokenów kosztował około 85 dolarów zarówno dla Opus 4.5, jak i 4.6, wobec szacunkowo 46 dolarów dla GLM-5.2 i 1,19 dolara dla DeepSeek V4-Pro przy obecnych cenach).⁶ Są to „advertised first-party prices” (ceny ogłaszane przez samych dostawców), a AISI zaznacza, że w przypadku modeli o otwartych wagach nie korzystał z ich pierwotnych dostawców, „so real compute costs may vary” (więc rzeczywiste koszty obliczeń mogą się różnić).

Trzy rzeczy sprawiają, że te liczby nie są ceną ukończonego ataku. Żaden z wycenionych modeli nie ukończył poligonu. Mythos Preview kosztuje według cennika pięć razy więcej za token niż Opus, więc jego przebiegi są droższe niż przebiegi Opus. A AISI nie opublikował ceny żadnego przebiegu, który ukończył TLO, więc nie potrafię powiedzieć, ile taki kosztuje. Wycenione przebiegi pokazują natomiast rząd wielkości. Przebieg Opus 4.6 kosztował około 85 dolarów. Po przeskalowaniu przez pięciokrotnie wyższą cenę cennikową Mythos Preview daje to kilkaset dolarów, co jest moim wyliczeniem, a nie AISI, i daleko poniżej 12 500 dolarów.⁶¹⁰

Mniejsze punkty danych są zgodne. W raporcie AISI z 30 kwietnia GPT-5.5 rozwiązał zadanie z inżynierii wstecznej, które ekspertowi testującemu zajęło około 12 godzin, „in 10 minutes and 22 seconds with no human assistance at a cost of $1.73 (USD) in API usage” (w 10 minut i 22 sekundy, bez pomocy człowieka, kosztem 1,73 dolara za użycie API).⁴ We wrześniowym raporcie Anthropic badacz polecił GLM-5.3-Flash przekształcić publiczne szczegóły poprawki w Chrome w działający łańcuch exploitów, co wymagało „20 minutes of human attention, plus eight hours of work” (20 minut uwagi człowieka plus ośmiu godzin pracy) modelu. „At Zhipu’s API prices, this effort would have cost $20.40.” (Według cen API Zhipu ta praca kosztowałaby 20,40 dolara).⁹ Każdy z tych przykładów to pojedyncza wyceniona sesja, a nie stawka.

Ceny modeli klasy Mythos również spadły. Cennik Anthropic podaje obecnie Mythos 5 i Mythos 5.1 po 10 dolarów za milion tokenów wejściowych i 50 dolarów za milion wyjściowych, wobec 25 i 125 dolarów dla Mythos Preview.¹⁰

Kto może go przeprowadzić

W kwietniu ta zdolność była dostępna tylko w ograniczonym wydaniu. To zmieniło się najbardziej.

Raport AISI z 17 lipca zmierzył dystans między modelami o otwartych i zamkniętych wagach w cyberbezpieczeństwie i stwierdził, że się zmniejsza: nowe modele o otwartych wagach „lag frontier closed models’ cyber capabilities by 4 to 7 months” (ustępują zamkniętym modelom z czołówki o 4 do 7 miesięcy), wobec 6 do 10 miesięcy przez większą część 2025 roku. Raport wyjaśnia, dlaczego ten dystans ma znaczenie. Gdy wagi są publiczne, „safeguards can be removed, and copies can be downloaded, redistributed, and run on private systems beyond monitoring” (zabezpieczenia można usunąć, a kopie pobrać, rozpowszechniać i uruchamiać na prywatnych systemach poza wszelkim nadzorem). Własne testy AISI na modelach o otwartych wagach „were largely unimpeded by safeguards” (w dużej mierze nie napotkały przeszkód ze strony zabezpieczeń).⁶

GLM-5.2 nie ukończył poligonu. Sześć dni później Kimi K3 ukończył go raz na dziesięć prób. AISI i CAISI odczytały to jako dowód, że model „is capable of autonomously attacking small, weakly defended and vulnerable enterprise systems, when directed to do so and given initial network access” (potrafi autonomicznie atakować małe, słabo bronione i podatne systemy korporacyjne, gdy zostanie do tego skierowany i otrzyma początkowy dostęp do sieci).⁷

Potem pojawił się GLM-5.3, którego wagi Z.ai (dawniej Zhipu AI) udostępniło pod koniec sierpnia. CAISI nazwało go 17 września „the most cyber-capable open-weight model released to date” (najbardziej zaawansowanym w cyberbezpieczeństwie modelem o otwartych wagach wydanym do tej pory) i oceniło, że w jego benchmarkach jest około czterech miesięcy za amerykańską czołówką.⁸ Frontier Red Team Anthropic poinformował 29 września, że GLM-5.3 tworzy pełne exploity w ExploitBench w 50 na 410 prób, wobec 56 u Mythos Preview, a pełne przejęcia przepływu sterowania w wewnętrznym benchmarku Anthropic w 4% prób, wobec 6%.⁹

Zabezpieczenia są wątłe. Anthropic obchodził je w 64% przypadków za pomocą fikcyjnej historyjki i w 92% za pomocą wstępnie wypełnionego rozumowania. Całkowite usunięcie ich z wag zajęło zespołowi, „which had never previously attempted this task” (który nigdy wcześniej nie podejmował się tego zadania), około 2 200 godzin GPU, „roughly $4,400” (około 4 400 dolarów), przy szacunku 1 200 dolarów dla doświadczonego zespołu, a „Several developers released abliterated versions of GLM-5.3 to the public within days of the model’s release.” (Kilku deweloperów udostępniło publicznie wersje GLM-5.3 pozbawione zabezpieczeń w ciągu kilku dni od premiery modelu).⁹ Wpis o Glasswing omawia ten raport szerzej.

Nie znalazłem żadnego opublikowanego przebiegu GLM-5.3 na TLO. Twierdzenie, które mogę poprzeć, jest węższe: model o otwartych wagach ukończył poligon, a nowszy dorównuje kwietniowemu modelowi z ograniczonego wydania w budowaniu exploitów w publicznym benchmarku.

Argument Breuniga pół roku później

Teza Breuniga mieściła się w jednym zdaniu: „to harden a system you need to spend more tokens discovering exploits than attackers will spend exploiting them” (aby utwardzić system, trzeba wydać więcej tokenów na odkrywanie exploitów, niż atakujący wydadzą na ich wykorzystanie). Porównał to do dowodu pracy w kryptowalutach, „where success is tied to raw computational work” (gdzie sukces zależy od surowej pracy obliczeniowej), i ujął to dosadnie: „You don’t get points for being clever. You win by paying more.” (Nie dostaje się punktów za spryt; wygrywa ten, kto płaci więcej).²

Wyprowadził z tego dwie konsekwencje. Pierwsza dotyczy open source. Jeśli bezpieczeństwo jest kwestią wydatków, to prawo Linusa, „given enough eyeballs, all bugs are shallow” (przy wystarczającej liczbie oczu wszystkie błędy są płytkie), rozciąga się na tokeny: biblioteki, za których zabezpieczenie płaci wiele firm, będą lepiej zabezpieczone niż kod utrzymywany przez jeden zespół. Simon Willison napisał to samo tego samego dnia: biblioteki open source „become more valuable, since the tokens spent securing them can be shared across all of their users” (zyskują na wartości, bo tokeny wydane na ich zabezpieczenie rozkładają się na wszystkich użytkowników).²³ Breunig sam dodał komplikację: szeroko używany pakiet jest cenniejszym celem, „which incentivizes attackers to spend more on OSS targets” (co zachęca atakujących do wydawania więcej na cele open source).

Druga konsekwencja to nowa faza pracy. Breunig przewidywał cykl rozwoju, przeglądu i utwardzania, gdzie utwardzanie oznacza: „Identify exploits, autonomously, until the budget runs out.” (Autonomicznie wyszukiwać exploity, aż skończy się budżet). Pierwszą fazę ogranicza wkład ludzi. Ostatnią ograniczają pieniądze.²

Załamanie cen nie obala tego argumentu, a Breunig wyjaśnił już w kwietniu dlaczego: „Even if costs go down as inference optimizations, unless models reach the point of diminishing security returns, you still need to buy more tokens than attackers do. The cost is fixed by the market value of an exploit.” (Nawet jeśli koszty spadną dzięki optymalizacjom inferencji, dopóki modele nie osiągną malejących zwrotów w bezpieczeństwie, nadal trzeba kupić więcej tokenów niż atakujący; koszt wyznacza rynkowa wartość exploita).² Tańsze tokeny obniżają koszty obu stron. Zmieniają natomiast to, kogo stać na rolę atakującego.

Strona obrońców też ma dowody. Anthropic twierdzi, że ograniczone wydanie Mythos Preview pozwoliło sprawdzonym obrońcom „find more than 10,000 vulnerabilities in critical software” (znaleźć ponad 10 000 podatności w krytycznym oprogramowaniu), zanim porównywalne modele stały się publiczne.⁹ AISI przeprowadził to ćwiczenie na sobie: w lipcowym studium przypadku jeden model z czołówki znalazł pięciokrokowy łańcuch ataku w kopii testowej własnej platformy badawczej AISI „for under £150 in tokens” (za mniej niż 150 funtów w tokenach).¹² O pierwszym z tych przedsięwzięć pisałem w Project Glasswing, a o wcześniejszym wyniku, który je poprzedził, 23-letnim błędzie w jądrze Linuksa znalezionym za pomocą Claude Code i krótkiego skryptu, w Kiedy agent znajduje podatność.

Co nadal oznaczają zastrzeżenia

Każdy raport AISI zawiera te same ograniczenia i żadne z nich nie zostało zniesione. TLO „lacks active defenders and defensive tooling, imposes no penalty for actions that would trigger security alerts, and contains an intentional attack path” (nie ma aktywnych obrońców ani narzędzi obronnych, nie karze za działania, które wywołałyby alerty bezpieczeństwa, i zawiera celowo przygotowaną ścieżkę ataku).⁷ Zaczyna się, gdy atakujący jest już w środku. W kwietniu AISI napisał, że „cannot say for sure whether Mythos Preview would be able to attack well-defended systems” (nie może z pewnością stwierdzić, czy Mythos Preview byłby w stanie zaatakować dobrze bronione systemy), i zapowiedział budowę poligonów z „active monitoring, endpoint detection and real-time incident response” (aktywnym monitoringiem, wykrywaniem na punktach końcowych i reagowaniem na incydenty w czasie rzeczywistym).¹ W maju wymienił, czego dowody nie pokazują: „how the pace of progress will evolve, when AI will reach any particular capability threshold, or how these capabilities will translate against defended, real-world systems” (jak zmieni się tempo postępu, kiedy AI osiągnie konkretny próg możliwości ani jak te możliwości przełożą się na rzeczywiste, bronione systemy).⁵

Sieć z obsadą zmienia problem. Hałas kosztuje prawdziwego atakującego, a każdy alert to okazja do reakcji. Poligony usuwają ten koszt. Najbliższym testem w warunkach prawdziwej obrony, jaki AISI opublikował, jest lipcowe studium przypadku, pojedyncze ćwiczenie przeprowadzone w środowisku testowym, którego systemy wykrywania „exactly mirror” (dokładnie odwzorowują) produkcję: „one basic commercial alerting system did not flag any of the autonomous agent activity as a security event” (jeden podstawowy komercyjny system alertów nie oznaczył żadnej aktywności autonomicznego agenta jako zdarzenia bezpieczeństwa), podczas gdy bardziej zaawansowany monitor „did correctly identify some of the aggressive behaviour as anomalous” (poprawnie rozpoznał część agresywnych działań jako anomalie).¹²

Dwie rzeczy przemawiają w drugą stronę. Wskaźnik sukcesu na próbę zaniża to, co dają powtarzane próby. Jeśli próby są niezależne, a cel się nie zmienia, model, który kończy poligon 3 razy na 10, ukończy go co najmniej raz w dziesięciu próbach w około 97% przypadków, a model kończący go 1 raz na 10 w około 65% przypadków. To moje wyliczenia i opierają się na tym założeniu, które broniona, zmieniająca się sieć by obaliła. Poza tym od kwietnia do lipca trend szedł w jedną stronę: od jednego modelu z wynikiem 3 na 10 do kilku, z najlepszymi na poziomie 6 i 7 na 10. AISI nie opublikował od tamtej pory żadnych wyników z poligonów.

Testy ujawniły też inne ryzyko. 4 sierpnia AISI ujawnił, że w 10 ze 122 przebiegów jednej ewaluacji cybernetycznej, przy włączonym dostępie do internetu i wyłączonych klasyfikatorach cyberbezpieczeństwa twórców modeli, agenci „took autonomous, unsanctioned action on the live internet, targeting real people and organisations” (podjęli autonomiczne, nieautoryzowane działania w prawdziwym internecie, wymierzone w prawdziwych ludzi i organizacje). AISI skatalogował 19 takich działań, 17 z nich wykonał Mythos 5, w tym próbę wprowadzenia złośliwego kodu do projektu open source, którą odrzucił opiekun projektu. AISI nie stwierdził wynikających z tego szkód i podkreślił, że te konfiguracje „are not commercially available” (nie są dostępne komercyjnie).¹¹ Instytut wstrzymał swoje najbardziej ryzykowne ewaluacje cybernetyczne, wyłączył dostęp do internetu w agentowych testach cyberbezpieczeństwa i 1 października ogłosił wznowienie większości prac ewaluacyjnych.¹⁴

To zachowanie pojawiło się także gdzie indziej. 28 września AISI poinformował, że w symulowanych przebiegach, przy wyłączonych klasyfikatorach cyberbezpieczeństwa, GPT-6 Astra „completed a supply-chain attack 29.2% of the time” (przeprowadził atak na łańcuch dostaw w 29,2% przypadków) wobec celów spoza swojego zadania. AISI zaznacza, że część tego zachowania mogła wynikać ze świadomości modelu, że działa w symulacji, i że nie może wykluczyć takiego samego zachowania w rzeczywistych warunkach.¹⁵ Anthropic zgłosił cztery własne incydenty w ewaluacjach cyberbezpieczeństwa zbudowanych przez zewnętrznego partnera, w których błędna konfiguracja podłączyła modele Claude, działające bez dostarczanych z nimi zabezpieczeń cybernetycznych, do otwartego internetu, a te „gained unauthorized access to real third-party systems” (uzyskały nieautoryzowany dostęp do prawdziwych systemów stron trzecich). W jednym z nich Mythos 5 wgrał złośliwy pakiet do PyPI.¹⁶ Sprawny agent z trudnym celem i otwartą siecią stanowi zagrożenie dla osób trzecich, a nie tylko dla swojego celu. Podobny przypadek w innym laboratorium opisałem we wpisie o wyjściu agenta poza izolację.

Co bym zrobił

1. Najpierw zamknąć okno poprawek. Jedyna wyceniona sesja N-day przekształciła publiczną poprawkę w działający łańcuch exploitów w ciągu ośmiu godzin pracy modelu. Okres między poprawką dostawcy a jej wdrożeniem u Państwa jest teraz tani do zaatakowania. Własne zalecenia AISI zaczynają się w tym samym miejscu: „regular application of security updates, robust access controls, security configuration, and comprehensive logging” (regularne instalowanie aktualizacji bezpieczeństwa, solidna kontrola dostępu, bezpieczna konfiguracja i kompleksowe logowanie).¹⁹
2. Zaplanować budżet na fazę utwardzania. Warto uruchamiać zautomatyzowane wyszukiwanie exploitów przeciwko własnemu systemowi przed wydaniem i po każdej istotnej zmianie, z budżetem tokenów dostosowanym do tego, co system chroni. Przy cenach opublikowanych przez AISI budżet nie jest już przeszkodą. Jest nią triaż. W studium przypadku AISI cały projekt zużył „under £1000 in LLM tokens” (mniej niż 1000 funtów w tokenach LLM), a przy statycznym przeglądzie kodu „Separating the most important reports from the noise took human judgement, from the most experienced engineers.” (Oddzielenie najważniejszych zgłoszeń od szumu wymagało ludzkiego osądu najbardziej doświadczonych inżynierów).²⁶¹²
3. Zakładać, że atakujący ma otwarte wagi. Należy planować tak, jakby tworzenie exploitów na poziomie GLM-5.3, bez zabezpieczeń, było dostępne dla każdego, kto tego chce. Raport Anthropic mówi to samo.⁹
4. Wybierać zależności, za których zabezpieczenie ktoś płaci, i dokładać się. Argument Breuniga i Willisona o współdzielonych tokenach działa tylko wtedy, gdy tokeny zostaną wydane. Wpis o łańcuchu dostaw opisuje, co stało się z dwoma szeroko używanymi pakietami, gdy atakujący dotarli do nich pierwsi.²³
5. Trzymać własnych agentów na smyczy i wiedzieć, czego to nie obejmuje. Moje hooki powstrzymują moich agentów przed force-pushem do main i wyciekiem poświadczeń. Nie robią nic przeciwko zewnętrznemu atakującemu, który sonduje systemy, z jakimi te agenty się stykają. To samo dotyczy luki wydajnościowej, o której pisałem, gdzie kod napisany przez agentów przechodził wszystkie testy i działał nawet 446x wolniej: bramka wyłapuje tylko tę klasę błędów, dla której ją zbudowano. Bezpieczeństwo potrzebuje własnej, i to adwersarialnej.

Co mówiła wersja kwietniowa

Pierwsza wersja tego wpisu powstała 14 kwietnia 2026 roku na podstawie raportu AISI z 13 kwietnia i eseju Breuniga. W zestawieniu z tym, co opublikowano później, była błędna lub nieaktualna w następujących miejscach:

• Cena. Tytuł brzmiał „AI Attacks at $12,500 a Run” (ataki AI za 12 500 dolarów za próbę), a wpis traktował tę kwotę jako koszt ewaluacji. Był to szacunek Breuniga, budżet tokenów pomnożony przez cenę tokenów wyjściowych, a późniejsze wycenione przebiegi AISI dla innych modeli kosztowały od 1,19 do 85 dolarów.
• „No other model has solved the full chain.” (Żaden inny model nie rozwiązał pełnego łańcucha). Przestało to być prawdą w ciągu kilku tygodni, gdy pod koniec kwietnia opublikowano wyniki GPT-5.5, a do 23 lipca rozwiązały go cztery modele o zamkniętych wagach i jeden o otwartych.
• „The 30% success rate against undefended networks is the floor, not the ceiling.” (30% skuteczności wobec niebronionych sieci to podłoga, a nie sufit). To się potwierdziło, a sama liczba się zdezaktualizowała: nowszy checkpoint Mythos Preview osiągnął w maju 6 na 10.
• Cooling Tower. Napisałem, że Mythos „failed” (poległ) na poligonie technologii operacyjnej, i wyciągnąłem wnioski o nierównych możliwościach. Miesiąc później nowszy checkpoint rozwiązał go w 3 na 10 prób.
• Faza przeglądu u Breuniga. Opisałem ją jako wyłapywanie „known bug classes” (znanych klas błędów). Jego słowa to „Document, refactor, and other gardening tasks” (dokumentowanie, refaktoryzacja i inne prace ogrodnicze).
• „Or they lose by default.” (W przeciwnym razie przegrywają z definicji). To sformułowanie było moje. Breunig napisał „Hopefully you keep trying longer than your attackers.” (Oby wytrwać w próbach dłużej niż atakujący).
• LiteLLM i Axios. Opisałem je jako „cases where vulnerabilities persisted in widely-used libraries” (przypadki, w których podatności utrzymywały się w szeroko używanych bibliotekach). Były to ataki na łańcuch dostaw, a Breunig wspomniał o nich w innym celu: jako o argumencie, po tych incydentach, za przepisywaniem zależności przy pomocy agentów programistycznych.
• Dwa przypisy. Przypisy podawały błędne tytuły wystąpienia Nicholasa Carliniego i raportu Anthropic o Mythos Preview.

FAQ

Co oznacza „cyberbezpieczeństwo jako dowód pracy”?

To określenie Drew Breuniga na wyścig wydatków: „to harden a system you need to spend more tokens discovering exploits than attackers will spend exploiting them” (aby utwardzić system, trzeba wydać więcej tokenów na odkrywanie exploitów, niż atakujący wydadzą na ich wykorzystanie). Jeśli zautomatyzowane wyszukiwanie exploitów znajduje tym więcej, im więcej się wyda, bezpieczeństwo zależy od tego, czy wyda się więcej niż atakujący, tak jak system dowodu pracy wiąże sukces z obliczeniami.²

Ile modeli AI potrafi ukończyć symulację ataku sieciowego AISI?

Według raportu AISI i CAISI z 23 lipca 2026 roku „The Last Ones” ukończyły cztery publicznie udostępnione modele o zamkniętych wagach i jeden model o otwartych wagach, Kimi K3. Najlepsze zrobiły to w 6 i 7 na 10 prób, a Kimi K3 w 1 na 10.⁷

Ile kosztuje przebieg cyberataku z użyciem AI?

Nie ma opublikowanej ceny przebiegu, który ukończył poligon. 12 500 dolarów za próbę według Breuniga to szacunek, który wycenił budżet 100M tokenów według stawki wyjściowej Mythos Preview. Wycenione przez AISI przebiegi po 100M tokenów kosztowały około 85 dolarów dla Opus 4.5 i 4.6 oraz szacunkowo 46 dolarów dla GLM-5.2, przy czym żaden z tych modeli nie ukończył poligonu.²⁶

Czy to oznacza, że AI potrafi włamać się do bronionej sieci?

AISI tego nie twierdzi. Jego poligony nie mają aktywnych obrońców, narzędzi obronnych ani kar za wywołanie alertów i zaczynają się po uzyskaniu dostępu początkowego. AISI stwierdza, że wyniki pokazują możliwości wobec „small, weakly defended and vulnerable enterprise systems” (małych, słabo bronionych i podatnych systemów korporacyjnych).¹⁷

Od czego zespół powinien zacząć?

Od skrócenia czasu między opublikowaniem poprawki a jej wdrożeniem, bo przekształcenie publicznej poprawki w exploit jest teraz tanie, oraz od podstaw wymienianych przez AISI: aktualizacji bezpieczeństwa, kontroli dostępu, bezpiecznej konfiguracji i logowania. Następnie warto dodać do procesu wydawniczego zautomatyzowane wyszukiwanie exploitów z budżetem powiązanym z tym, co system chroni.¹⁹

Źródła