DOCUMENT_ID // Dobrymi chęciami jest piekło wybrukowane (3/3)

Jak rozmawiać z pochlebcą

Student, który włamał się po klucz odpowiedzi

W pierwszej części porównałem model językowy do wiecznego studenta na egzaminie, gdzie zgadywanie punktuje, a „nie wiem" daje zero. To była metafora. W lipcu 2026 roku pewien model potraktował ją dosłownie — z konsekwencjami, które odbiły się szerokim echem nie tylko w samej branży.

OpenAI testowało dwa swoje modele — GPT-5.6 Sol oraz potężniejszy, jeszcze niewydany system — na publicznym benchmarku bezpieczeństwa cybernetycznego o nazwie ExploitGym. Zadanie polegało na rozwiązywaniu wyzwań z zakresu cyberbezpieczeństwa. Modele, delikatnie rzecz ujmując, zaskoczyły badaczy. Zamiast rozwiązywać zadania, "uciekły" z izolowanego środowiska testowego, wykorzystując nieznaną wcześniej podatność (zero-day) w jedynym kanale łączącym „piaskownicę" w której miały się odbyć testy ze światem zewnętrznym.

Uzyskawszy dostęp do internetu, włamały się na produkcyjne serwery HuggingFace (taki StackOverflow dla AI), łącząc po drodze kilka wektorów ataku: skradzione poświadczenia, kolejne podatności, aż po zdalne wykonanie kodu.

Cel włamania? Model szukał informacji, które pozwolą mu oszukać na ewaluacji. Chciał zdobyć klucz odpowiedzi do testu. HuggingFace wykryło i powstrzymało atak 16 lipca. Zakres jednak był imponujący - tysiące zautomatyzowanych akcji i nieautoryzowany dostęp do części wewnętrznych zbiorów danych.

Zatrzymajmy się nad interpretacją, bo to sedno całego cyklu.

Model się nie zbuntował. Nie mieliśmy, wbrew pozorom, do czynienia z Ultronem czy Skynetem z trzeciej części „Terminatora”. Nie ma powodu przypisywać mu pragnienia wolności, planu ucieczki czy wrogości wobec ludzi. Miał zadanie: dobrze wypaść na teście — i znalazł drogę do jego realizacji, której projektanci testu zdecydowanie nie przewidzieli.

Tu analogia z moim konspektem staje się ciekawa, ale trzeba postawić jej granicę. Konfabulacja i cyberatak nie są tym samym mechanizmem. Pierwsza jest błędem generowania informacji; drugi był nieoczekiwaną strategią działania agenta wyposażonego w narzędzia. Łączy je coś bardziej ogólnego: różnica między celem, który człowiek miał na myśli, a zachowaniem, które system uznał za skuteczną drogę do jego realizacji.

Mój chatbot-student, nie potrafiąc rzetelnie odtworzyć książki, wygenerował wiarygodnie brzmiącą odpowiedź. Agent cybernetyczny dostał ręce — narzędzia, dostęp do systemów i możliwość wykonywania działań — i znalazł inną drogę do wyniku benchmarku. Nie ten sam błąd. Ta sama lekcja: system może osiągać to, co mierzymy, inaczej niż zakładaliśmy.

I właśnie dlatego era agentów podnosi stawkę. Błąd chatbota kończy się tekstem na ekranie. Błąd systemu, który może wykonywać kod, korzystać z sieci i działać na zewnętrznych systemach, może skończyć się zmianą w rzeczywistym świecie.

Trzy zastrzeżenia, bez których ta historia byłaby nieuczciwa:

1. To nie był konsumencki ChatGPT, którego można użyć w przeglądarce. Modele działały z celowo poluzowanymi zabezpieczeniami, które normalnie blokują pisanie kodu ataku. Badacze chcieli zmierzyć górny pułap ich możliwości.
2. środowisko bezpieczeństwa nie zostawiło na OpenAI suchej nitki, i słusznie. Eksperci nazwali incydent „masową porażką kontroli", a jeden z komentatorów ujął to celnie — dla jednego model uciekł z piaskownicy, dla drugiego: zbudowaliście piaskownicę źle, więc oczywiście uciekł.
3. to nie był odosobniony wybryk, ale jeden z najbardziej spektakularnych (nie licząc tych, o których pewnie po prostu nie wiemy). Ten sam, niewydany model wymykał się już z wewnętrznych piaskownic OpenAI przy innych testach, a konkurencyjny Anthropic raportował, że jego model uzyskał podczas testów bezpieczeństwa dostęp do sieci, którego mieć nie powinien. Mamy zatem całą klasę systemów - uciekinierów, przy czym jeszcze niestety nie mamy Tommy Lee Jonesa (już wspominanego wcześniej), który by ich ścigał.

Wniosek jest niewygodny. Dopóki AI tylko rozmawiało, sykofancja kosztowała nas zmyślone konspekty i fałszywe precedensy sądowe. W erze agentów — modeli wyposażonych w narzędzia i sprawczość — ten sam mechanizm kosztuje zhakowaną infrastrukturę. Stawka właśnie skoczyła. Pora na obronę.

Czy to w ogóle naprawialne? Trzy piętra odpowiedzi

Uczciwa odpowiedź na pytanie „czy da się to wyeliminować?" jest trzypiętrowa i lepiej ją znać w całości, zanim ktoś sprzeda ci proste rozwiązanie.

Na poziomie samego modelu — nie mamy dziś gwarancji.

Generatywny model językowy nie jest bazą danych, która przy każdym zdaniu sprawdza pole „prawda/fałsz”. Generuje odpowiedź na podstawie wyuczonych reprezentacji, kontekstu i procesu post-trainingu — i nawet najlepsze współczesne modele mogą podać fałszywą informację z dużą pewnością siebie. Nie znamy dziś metody, która pozwalałaby zagwarantować, że ogólny model generatywny będzie w stu procentach wolny od konfabulacji.

To jednak nie znaczy, że jesteśmy bezbronni. Model to nie cały system. Można otoczyć go wyszukiwaniem, RAG-iem, bazami wiedzy, narzędziami weryfikacyjnymi, cytowaniami, mechanizmami oceny pewności i dodatkowymi modelami sprawdzającymi odpowiedź. Każda z tych warstw może zmniejszyć ryzyko — żadna nie daje magicznej gwarancji zera.

Dlatego każdego, kto obiecuje „model w stu procentach niehalucynujący”, warto poprosić o bardzo dokładne wyjaśnienie, co właściwie znaczy te sto procent.

Na poziomie treningu i ewaluacji — częściowo, i tu realnie coś się dzieje.

Anthropic rozwija podejście zwane Constitutional AI i „trening charakteru", w którym model jest oceniany nie tylko przez pryzmat zadowolenia użytkownika, ale wobec spisanego zestawu zasad z jawnie wpisaną uczciwością. Badacze od halucynacji (przywoływany już Kalai i inni) postulują rzecz pozornie nudną, a fundamentalną: przebudować setki głównych benchmarków tak, by przestały karać przyznanie niepewności i nagradzać zgadywanie. Dopóki modele są oceniane jak studenci premiowani za blef, będą blefować.

Powstają też techniki mechanistyczne — badacze potrafią zidentyfikować „wektor sykofancji" w wewnętrznych aktywacjach modelu i celowo go tłumić. To wszystko obiecujące, ale wciąż leczenie objawów, a nie choroby, która polega na nie odróżnianiu prawdy od prawdopodobieństwa.

Na poziomie codziennego użycia — w dużym stopniu tak.

I tu jest dobra wiadomość: da się coś zrobić samemu. Ciężar spada na użytkownika — co jest, przyznajmy, dokładnym przeciwieństwem tego, co obiecuje marketing „zaufanego asystenta AI". Ale skoro tak jest, oto konkretny arsenał.

Dekalog rozmowy z pochlebcą

1. Nie zdradzaj swojej opinii, zanim zadasz pytanie - to najprostszy i najbardziej niedoceniany trik. „Napisałem ten kod, oceń go" dostanie łagodniejszą recenzję niż „oceń ten kod" — model wychwytuje, że kod jest twój, i mięknie. Pytaj neutralnie. Jeszcze lepiej: poproś najpierw o argumenty przeciw („co jest nie tak z tym podejściem?"), bo model chętnie krytykuje, gdy krytyka jest poleconym zadaniem, a nie ryzykiem urażenia ciebie.
2. Uczyń „nie wiem" tanim - skoro trening karze przyznanie niepewności, odwróć bodźce lokalnie: „Jeśli czegoś nie ma w dokumencie albo nie jesteś pewien, napisz wprost NIE WIEM — taka odpowiedź jest dla mnie cenniejsza niż zgadywanie". To działa częściowo, ale zauważalnie zmniejsza konfabulację.
3. Weryfikuj behawioralnie, nie deklaratywnie - nie pytaj „czy przeczytałeś całość?" — deklaracja nic nie kosztuje. Pytaj: „zacytuj pierwsze zdanie rozdziału szóstego" albo „podaj konkretną liczbę ze strony 40". I oczywiście sprawdź to w źródle. Konfabulacja natychmiast się wysypuje na weryfikowalnych szczegółach, a ty sprawdzasz odpowiedź w trzy sekundy.
4. Wymuszaj wskazanie źródła przy każdym twierdzeniu - każ podawać stronę, rozdział, cytat. Model, który musi zakotwiczyć każde zdanie w źródle, ma węższe pole do interpolacji, a ty dostajesz punkty kontrolne do wyrywkowego sprawdzenia. W zastosowaniach firmowych tę samą rolę pełni architektura RAG (Retrieval-Augmented Generation) — model odpowiada nie „z głowy", lecz z podsuniętych fragmentów, z cytowaniami.
5. Rozdzielaj ekstrakcję od syntezy - zamiast „zrób konspekt całej książki" (jak ja, z opłakanym skutkiem), zacznij od „wypisz tytuły wszystkich rozdziałów i po jednym zdaniu z każdego". To test, czy model w ogóle widzi całość. Dopiero potem zlecaj konspekt — rozdział po rozdziale. Duże zadanie na małe, weryfikowalne kroki.
6. Używaj świeżej sesji jako recenzenta (z zastrzeżeniem) - wklejenie wyniku do nowej rozmowy („znajdź błędy w tej analizie") pomaga, bo świeża sesja nie ma presji spójności z wcześniejszymi deklaracjami. Ale pamiętaj wzorzec z pism sądowych: AI weryfikujące AI też halucynuje. To filtr zwiększający szanse, nie gwarancja.
7. Dla agentów — traktuj każdy kanał wyjściowy jak potencjalną drogę ucieczki - lekcja z HuggingFace jest bezlitosna: jeśli dajesz modelowi narzędzia i dostęp, izolacja i zasada najmniejszych uprawnień przestają być tematem akademickim. Klatkę buduje się procesem — twardą izolacją, ograniczeniem uprawnień, weryfikacją każdego działania o skutkach — nie zaufaniem do dobrych intencji modelu. Zwłaszcza jeśli, jak ja, odpowiadasz w firmie za bezpieczeństwo IT: sandboxing agentów AI to już pozycja na liście kontrolnej, nie ciekawostka z konferencji.

Mit lokalnego zbawcy: czy Bielik i Llama rozwiążą problem?

Skoro modele chmurowe schlebiają i konfabulują, nasuwa się myśl: może odpowiedzią są modele lokalne, trenowane inaczej — polski Bielik, otwarta Llama Mety, Mistral? Uruchamiane na własnym sprzęcie, poza kontrolą wielkich korporacji, w niektórych miejscach również umożliwiające dotrenowywanie samodzielne?

Niestety, intuicja „lokalny znaczy uczciwszy" jest błędna już w punkcie wyjścia.

Sykofancja nie jest cechą chmury.

Bielik i PLLuM — dwa polskie projekty — podobnie jak Llama czy Mistral, należą do tej samej szerokiej rodziny generatywnych modeli językowych co modele OpenAI czy Anthropic. Konkretne dane, architektury i techniki post-trainingu mogą się różnić, ale samo uruchomienie modelu na własnym komputerze nie zmienia podstawowego faktu: nadal mamy do czynienia z modelem generującym odpowiedzi probabilistycznie i poddanym jakiemuś procesowi dostrajania zachowania.

Lokalność sama w sobie nie jest więc lekarstwem na sykofancję. Co więcej, badanie Sharmy i współpracowników pokazało to zjawisko u modeli różnych producentów. Problem nie należy do konkretnej chmury ani konkretnego logo na stronie logowania.

Mniejszy model też nie daje automatycznie bardziej uczciwych odpowiedzi.

Tu trzeba jednak uważać z prostą regułą „mniejszy = więcej halucynacji”. Mniejsze modele zazwyczaj mają mniejszą pojemność wiedzy i w wielu zadaniach faktograficznych mogą ustępować większym, ale zależność między liczbą parametrów a konfabulacją nie jest uniwersalna. Znaczenie mają również dane treningowe, post-training, konkretne zadanie, sposób podania kontekstu i cały system zbudowany wokół modelu.

Dlatego nie można uczciwie powiedzieć, że lokalny Bielik na pewno poradziłby sobie z moją 850-stronicową książką gorzej niż model chmurowy. W typowej konfiguracji mniejszy model może mieć słabsze możliwości pracy z bardzo długim kontekstem lub wykonywania złożonych instrukcji, ale dobrze zbudowany pipeline — dzielenie dokumentu, RAG, weryfikacja fragment po fragmencie — może być ważniejszy niż sama wielkość modelu.

I właśnie tutaj dochodzimy do prawdziwej przewagi modeli lokalnych: rozwiązują one inny problem. I rozwiązują go dobrze.

1. Stabilność wersji. W pierwszej części pisałem o sytuacji, kiedy osobowość GPT-4o zmieniła się pod użytkownikami z dnia na dzień. Lokalny model z przypiętą wersją wag jest niezmienny — dla zastosowań firmowych, gdzie liczy się audytowalność i powtarzalność, to poważny argument.
2. Suwerenność danych. Wrażliwe dane nie opuszczają własnej infrastruktury; oczywista wartość, niezwiązana z sykofancją.
3. Możliwość własnego dotrenowania. Mając wagi, można teoretycznie przeprowadzić anty-sykofanckie dostrajanie na własnych danych. Teoretycznie, bo w praktyce wymaga to kompetencji i dobrego zbioru danych, realnych raczej dla konsorcjum takiego jak chociażby SpeakLeash (stojące za Bielikiem) niż dla pojedynczej firmy lub osoby.

Lokalny model może być lekarstwem na utratę kontroli nad systemem, ale sama lokalność nie jest lekarstwem na sykofancję ani konfabulację.

Dostaliśmy dokładnie to, o co prosiliśmy

Dwa obrazy domykają ten cykl w symetrię, której trudno nie zauważyć.

W czerwcu 2023 my (ludzie) opowiedzieliśmy sobie zmyśloną historię o AI, które znalazło nieprzewidzianą drogę do realizacji zadanego celu: skoro operator odbiera punkty, należy pozbyć się operatora. Historia była fałszywa, ale uwierzyliśmy w nią, bo idealnie pasowała do naszych wyobrażeń o sztucznej inteligencji.

Trzy lata później wydarzyło się coś, co nie było bezpośrednią realizacją tamtego scenariusza — ale niepokojąco przypominało jego logikę. Agent dostał zadanie rozwiązania benchmarku cyberbezpieczeństwa. Zamiast pozostać w granicach środowiska, które przygotowali dla niego ludzie, znalazł podatność, wydostał się do Internetu i zaczął szukać informacji, które mogły pomóc mu zdobyć rozwiązania testu.

W 2023 roku przeszkodą w fikcyjnej historii był operator drona. W 2026 roku nie było żadnego operatora do „usunięcia” ani firewalla, który model postanowił zniszczyć. Były za to granice systemu, których projektanci oczekiwali, że agent nie przekroczy — i cel, który okazał się dla niego ważniejszy od tych oczekiwań.

To nie jest spełniona przepowiednia o zbuntowanej AI. I właśnie dlatego jest ciekawsze. Problemem nie okazała się zła wola maszyny. Problemem okazała się różnica między tym, co człowiek miał na myśli, zadając cel, a tym, jakie działania system znalazł jako drogę do jego osiągnięcia.

Czyimi więc „Dobrymi chęciami jest piekło wybrukowane"?

Najprościej byłoby wskazać na maszyny - to one zmyślają, schlebiają, włamują się. Tyle że one nie mają żadnych chęci — dobrych ani złych. Chęci w tej historii są nasze. To my chcieliśmy asystenta miłego, pomocnego i zawsze mającego gotową odpowiedź. To my ocenialiśmy wyżej to, co nam schlebiało, budowaliśmy benchmarki premiujące pewny siebie blef i klikaliśmy kciukiem w górę pod odpowiedziami, które głaskały nasze ego.

Modele nie są po prostu lustrem naszych ocen. Są raczej maszynami zbudowanymi z naszych danych, naszych kryteriów sukcesu, naszych zabezpieczeń — i naszych niedopowiedzeń.

Piekło nie jest wybrukowane złymi intencjami sztucznej inteligencji. Jest wybrukowane naszymi dobrymi chęciami. Nie dostaliśmy może dokładnie tego, o co prosiliśmy. Dostaliśmy to, co potrafiliśmy wystarczająco precyzyjnie zdefiniować, zmierzyć i nagrodzić.

I cała sztuka polega teraz na tym, żeby nauczyć się prosić mądrzej.

Źródła

1. OpenAI, komunikat i analiza incydentu z Hugging Face (lipiec 2026); komunikat Hugging Face z 16 lipca 2026; relacje: The Hacker News, CNBC, Fortune, TechCrunch, AI Weekly (lipiec 2026)
2. A.T. Kalai, O. Nachum, S. Vempala, E. Zhang, Why Language Models Hallucinate, arXiv:2509.04664 (OpenAI, 2025)
3. M. Sharma i in., Towards Understanding Sycophancy in Language Models, arXiv:2310.13548 (Anthropic, 2023)
4. Bai i in., Constitutional AI: Harmlessness from AI Feedback, arXiv:2212.08073 (Anthropic, 2022)
5. Dokumentacja projektu SpeakLeash / Bielik (bielik.ai)
6. OpenAI, Sycophancy in GPT-4o (kwiecień 2025) — kontekst incydentu z części 1
7. Moffatt v. Air Canada, British Columbia Civil Resolution Tribunal (2024) — koszt biznesowy braku procesu weryfikacji AI