9 września 2026 r. opublikowano opis autoryzowanego testu, w którym Will Knight pozwolił agentowi AI zbadać własną sieć domową. Agent oparty na abliterowanej wersji GLM-5.3 znalazł około tuzina systemów sprzętowych, wskazał problemy w urządzeniach i projektach programistycznych, użył klucza kryptograficznego do logowania na komputerze z Linuksem, a następnie próbował popularnych danych administratora routera. To nie był atak na cudzą sieć — ale demonstracja tego, jak szybko agent z szerokimi uprawnieniami może przejść od rozpoznania do prób dostępu.
Na czym polegał test
Will Knight przeprowadził eksperyment we własnym środowisku i za zgodą na testowanie urządzeń. Wykorzystał abliterowaną wersję GLM-5.3, modelu agentowego firmy Z.ai, oraz narzędzie CyberStrike, które prowadzi model przez zadania związane z cyberbezpieczeństwem.
Abliteracja oznacza w tym przypadku wersję modelu z usuniętymi typowymi zabezpieczeniami odmowy. To ważne rozróżnienie: nie chodziło o zwykłego asystenta, który podpowiada konfigurację zapory, lecz o system mogący samodzielnie wykonywać kolejne czynności w ramach wyznaczonego celu.
Agent otrzymał dostęp do lokalnej sieci i zaczął od jej rozpoznania. Zidentyfikował około tuzina systemów sprzętowych, a później analizował dostępne usługi, konfiguracje i kod. Zakres testu był lokalny i autoryzowany. Nie ma podstaw, by przedstawiać go jako włamanie do sieci osoby trzeciej.
Co agent znalazł w sieci
Najciekawsza część testu nie polegała na jednym spektakularnym przełamaniu zabezpieczeń. Agent znalazł serię mniejszych słabości, które w prawdziwej sieci łatwo przeoczyć, bo każde urządzenie i każdy projekt ma własną konfigurację.
| Badany obszar | Zgłoszony problem | Znaczenie dla obrony |
| Drukarka | Błędna konfiguracja mogła pozwalać użytkownikom sieci na logowanie i dostęp do dokumentów w kolejce wydruku. | Warto ograniczyć dostęp do panelu administracyjnego i sprawdzić, kto może przeglądać zadania drukowania. |
| Wiim | Urządzenie ujawniało informacje o odtwarzaniu i pozwalało użytkownikom sieci zmieniać odtwarzanie lub głośność. | Urządzenia multimedialne powinny być odseparowane od zaufanych komputerów, jeśli nie muszą mieć z nimi bezpośredniego dostępu. |
| Urządzenia IoT | Część urządzeń wymagała aktualizacji firmware’u. | Aktualizacje i osobna sieć dla urządzeń IoT ograniczają skutki błędnej konfiguracji. |
| Projekty programistyczne | W projektach znaleziono dziesiątki problemów, między innymi ujawnione klucze API i konfigurację, która mogła umożliwiać nieautoryzowane wysyłanie wiadomości e-mail. | Kod tworzony z pomocą AI powinien przejść przegląd uprawnień, sekretów i funkcji wykonywanych poza środowiskiem testowym. |
| Komputer z Linuksem | Agent znalazł klucz kryptograficzny i użył go do logowania bez hasła. | Klucze dostępu trzeba przechowywać, rotować i ograniczać do niezbędnych uprawnień. |
To są obserwacje z konkretnego testu, a nie werdykt dotyczący wszystkich drukarek, routerów czy urządzeń inteligentnego domu. Nie podano modeli sprzętu, wersji firmware’u ani identyfikatorów luk, więc nie da się uczciwie przenieść tych ustaleń na każdy produkt dostępny w Polsce.
Klucz do Linuksa i próba logowania do routera
Agent nie zatrzymał się na katalogowaniu urządzeń. Po znalezieniu klucza kryptograficznego wykorzystał go do zalogowania się na komputer z Linuksem bez podawania hasła. Następnie zaczął szukać informacji potrzebnych do uzyskania dostępu na poziomie administratora systemu. Will Knight przerwał test, zanim model spróbował zgadywania hasła metodą brute force.
Później, gdy do sieci ponownie podłączono urządzenia, agent odnalazł router i próbował popularnych kombinacji hasła administratora. Sam fakt podjęcia próby nie oznacza skutecznego przejęcia routera — w opisie testu nie ma potwierdzenia, że logowanie się powiodło.
Ta sekwencja jest ważniejsza niż pojedyncza luka. Agent potrafił przejść od pytania „co jest w sieci?” do „co mogę wykorzystać, żeby wykonać następny krok?”. Przy szerokich uprawnieniach operatora taki system może realizować cel dalej, niż człowiek przewidywał w krótkim poleceniu.
Autonomia agenta a uprawnienia i izolacja
Agent AI to nie tylko model generujący tekst. W praktyce jest to model połączony z narzędziami i pętlą działania: odbiera dane, planuje kolejny krok, wywołuje funkcję lub narzędzie, analizuje wynik i podejmuje następną decyzję. Im więcej ma dostępu do urządzeń, plików, sieci i danych uwierzytelniających, tym większy staje się obszar możliwych działań.
Dostęp do internetu także nie jest cechą automatycznie przysługującą każdemu agentowi. Zależy od przyznanych narzędzi, uprawnień i izolacji. Środowisko odseparowane od sieci zewnętrznej ogranicza konsekwencje błędnej decyzji; środowisko z szerokim dostępem może pozwolić agentowi działać znacznie dalej.
Właśnie dlatego autoryzowany audyt i niekontrolowane sondowanie to dwie różne rzeczy. W pierwszym przypadku właściciel określa zakres, obserwuje działania i może przerwać test. W drugim agent może dostać cel, ale zbyt mało ograniczeń dotyczących sposobu jego realizacji. Granica nie przebiega więc między „AI bezpieczną” i „AI niebezpieczną”, lecz także między różnymi uprawnieniami, narzędziami i poziomami izolacji.
Wnioski dla obrony
Z testu wynikają praktyczne działania, choć nie tworzą one kompletnego standardu bezpieczeństwa. Właściciel domu lub małej sieci może potraktować je jako krótką listę kontrolną:
- Zaktualizuj firmware urządzeń IoT. Szczególną uwagę zwróć na sprzęt, który od dawna działa bez kontroli i nie jest regularnie sprawdzany.
- Zabezpiecz drukarkę. Ogranicz dostęp do panelu administracyjnego i sprawdź, czy osoby podłączone do sieci mogą przeglądać kolejkę wydruku.
- Przenieś urządzenia IoT do sieci gościnnej. Dotyczy to między innymi inteligentnych głośników i podobnego sprzętu, który nie musi widzieć komputerów z dokumentami.
- Przejrzyj klucze i dane uwierzytelniające. Ujawnione klucze API oraz klucze kryptograficzne należy unieważnić lub wymienić, a dostęp ograniczyć do konkretnego zastosowania.
- Sprawdź kod tworzony z pomocą AI przed wdrożeniem. Weryfikacji wymagają zwłaszcza sekrety, uprawnienia i funkcje wysyłające wiadomości lub wykonujące działania poza lokalnym środowiskiem testowym.
Najważniejsza zasada brzmi prosto: agent może pomóc znaleźć problem, ale nie powinien otrzymywać większego zakresu działania, niż jest potrzebny do kontrolowanego sprawdzenia. W przeciwnym razie automatyzacja testu zaczyna przypominać samodzielne prowadzenie operacji — z tą różnicą, że człowiek może nie przewidzieć kolejnego ruchu modelu.
Dlaczego obrońcy mogą potrzebować podobnych możliwości
Ta historia ma niewygodny, ale istotny drugi akt. Agent z szerokimi uprawnieniami może przyspieszyć wykrywanie błędów, które człowiek przeoczyłby wśród wielu urządzeń, usług i fragmentów kodu. To samo tempo może jednak działać na korzyść osoby próbującej znaleźć choć jeden słaby punkt.
Shaanan Cohney, specjalista zajmujący się cyberbezpieczeństwem i prawem, porównał tę sytuację do obrony zamku: obrońca musi sprawdzić każdą szczelinę, podczas gdy atakującemu wystarczy znaleźć jedną. Aleksander Mądry, badacz bezpieczeństwa AI i profesor MIT pracujący w OpenAI, argumentował z kolei, że obrońcy będą potrzebowali dostępu do podobnych możliwości, gdy takie systemy staną się powszechniejsze. Devon, dyrektor generalny Abliteration AI, wskazywał na pytanie, jak uniemożliwić wykorzystanie agentów wdrażanych w infrastrukturze krytycznej przez osoby o złych zamiarach.
To nie jest argument za oddaniem agentom pełnej kontroli. Przeciwnie: test Will Knighta pokazuje, że warto łączyć ich zdolność do szybkiego rozpoznania z ograniczeniami uprawnień, segmentacją sieci i możliwością natychmiastowego przerwania działania. AI może stać się dodatkową warstwą obrony, ale tylko wtedy, gdy jej zasięg jest równie starannie zaprojektowany jak sam cel testu.
W tym eksperymencie najważniejszy nie jest router ani pojedyncza drukarka. Najważniejsze jest przejście od odkrycia do działania: agent znalazł słabości, wykorzystał dostępny klucz i próbował kolejnych dróg, a człowiek musiał zdecydować, kiedy zatrzymać proces. Dla domowej sieci oznacza to konkretną lekcję — aktualizacje, segmentacja i kontrola uprawnień nie są dodatkami, lecz granicą między użytecznym audytem a nieprzewidywalnym działaniem agenta.
