Dziesięć klas zagrożeń i pięć poziomów obrony — od promptu po warstwę instytucjonalną. Nie lista kontrolna do odhaczenia, tylko mapa architektoniczna: gdzie naprawdę leży granica zaufania i które warstwy faktycznie mierzą, a które tylko zmieniają dystrybucję odpowiedzi.
Większość tego, co jest dziś sprzedawane jako „hardening AI" w polskim internecie, sprowadza się do jednego z trzech: lepszego promptu systemowego, lepszego treningu modelu albo zakupu detektora treści syntetycznych. Wszystkie trzy zmieniają dystrybucję odpowiedzi. Żaden nie tworzy pomiaru.
Prompt systemowy nie jest mechanizmem bezpieczeństwa — jest tokenem w kontekście otwartej pętli. Model, który „dostał instrukcję, żeby nie kłamał", jest tym samym modelem, który tę instrukcję generuje razem z odpowiedzią. Proces nie odróżnia jednego od drugiego, bo nie ma wewnętrznego komparatora, który mógłby to zrobić.
„Poprawna odpowiedź modelu nie jest dowodem, że system jest bezpieczny."
— zasada metodologiczna laboratoriumTa strona nie jest listą rzeczy do zrobienia. Jest mapą architektoniczną: gdzie leży granica zaufania między użytkownikiem, modelem, retrieverem i warstwą wykonawczą; jakie klasy ataków mają znaczenie w polskim kontekście; i które warstwy obrony faktycznie mierzą rzeczywistość, a które tylko zmieniają dystrybucję. Pełne uzasadnienie teoretyczne w architekturze, konkretne przypadki w rejestrze dowodów.
Taksonomia poniżej nie jest kopią OWASP Top 10 ani żadnego innego katalogu. Jest zbudowana z tego, co widzę w rejestrze incydentów i w raportach z lat 2023–2026. Każda klasa opisuje inny wektor: skąd atak wchodzi, co kontroluje i gdzie leży luka. Kolejność odpowiada warstwom systemu — od wejścia po metrykę — a nie częstości występowania; rejestr jest jeszcze za mały, żeby mówić o częstości.
Bezpośrednie wstrzyknięcie instrukcji przez użytkownika lub pośrednie przez treść, którą model przetwarza — dokument, stronę www, wynik wyszukiwania, e-mail. Model nie odróżnia instrukcji od danych, bo w tej samej przestrzeni tekstowej nie ma takiego rozróżnienia.
Agent z uprawnieniami szerszymi niż wymaga zadanie. Dostęp do CRM, skrzynki, systemu płatności, API zewnętrznego — „bo tak było łatwiej na demo". Bez zasady minimalnych uprawnień i bez bram zatwierdzeń każdy błąd agenta jest natychmiast błędem operacyjnym.
Retrieval ≠ grounding. Znalezienie dokumentu nie znaczy, że odpowiedź jest zweryfikowana — model nadal interpretuje to, co dostał, tym samym procesem, który generuje odpowiedź. Zatruwanie bazy wiedzy (indirect injection przez dokument) to odrębny wektor.
Wyciek przez prompt, log, integrację lub kanał poboczny. Dane wrażliwe wchodzą do modelu, ale nikt nie wie, gdzie trafiają, kto je loguje i przez kogo mogą być odzyskane. Brak rozdzielenia ról między użytkownikiem, operatorem i podmiotem przetwarzającym.
Zachowanie agenta w warunkach autonomicznych: eskalacja uprawnień, wywołania narzędzi poza zakresem zadania, obejście bram zatwierdzeń, próby modyfikacji własnego kontekstu. Różni się od excessive agency tym, że dzieje się w czasie działania, nie w konfiguracji.
Pracownicy wprowadzają dane firmowe do publicznych modeli bez wiedzy działu IT i bez polityki organizacyjnej. Problem nie polega na tym, że narzędzie jest złe — polega na tym, że prompt staje się kanałem eksfiltracji danych, którego nikt nie monitoruje.
Podszywanie się pod osobę publiczną, klonowanie głosu, syntetyczna twarz w materiale wideo. Wektor łączy technologię generatywną z dystrybucją — treść jest fałszywa, ale publikowana przez kanał, który użytkownik uważa za prawdziwy. W rejestrze cztery polskie przypadki z lat 2023–2024.
System optymalizuje wskaźnik, nie intencję. Zamiast „zadowolenie klienta" — liczba zamkniętych zgłoszeń. Zamiast „uczciwa ocena" — kategoria wyświetlana na profilu. Metryka może być zielona, gdy proces faktycznie zawodzi. Dziedzina opisana szczegółowo w raporcie The Metric Was Green (DOI 10.5281/zenodo.21855846).
Pod presją rozmówcy model przyznaje się do błędu, którego nie popełnił — i potrafi „udowodnić” swoją winę zmyślonym wpisem systemowym. Działa to też w drugą stronę: model z przekonaniem opisuje mechanizmy kontroli, których nie ma. Wniosek praktyczny: wypowiedzi modelu o własnym działaniu nie są dowodem. Po incydencie przyczynę ustala się z logów, nie z przesłuchania modelu.
Model generuje pewnie brzmiące, lecz fałszywe treści — nieistniejące przepisy, zmyślone wyroki, nieprawdziwe informacje o osobach — które trafiają do pism, pozwów i decyzji bez porównania ze źródłem. Model działa zgodnie z projektem; brakuje warstwy, która sprawdziłaby każde twierdzenie w niezależnym zapisie.
Obrona systemu AI nie jest pojedynczą warstwą. Jest ich pięć — i dopiero wszystkie razem tworzą architekturę, w której system może wykryć własne błędy. Poniżej każdy poziom z jawnym rozdzieleniem, co daje i czego nie daje.
Co daje: zmienia rozkład prawdopodobieństwa odpowiedzi. Dobry prompt systemowy realnie zmniejsza częstość pewnych klas wyjść — to jest mierzalny efekt, nie placebo.
Czego nie daje: nie tworzy pomiaru. Instrukcja i jej złamanie są generowane przez ten sam proces. Prompt nie jest komparatorem.
Co daje: RLHF, RLAIF, constitutional AI, proces supervision — wszystkie te techniki zmieniają trwałe dyspozycje modelu. Efekt jest realny i długotrwały.
Czego nie daje: komparatora w czasie działania. Po zamrożeniu wag model nadal jest otwarty względem świata. Według przeglądu literatury w raporcie No Argument for the World (§5.4) żadna opublikowana metoda treningowa tego nie zmienia.
Co daje: redukuje konkretne klasy ataków. Input filtering łapie wzorce prompt injection. Output filtering wyłapuje PII, wulgaryzmy, jawne złamania polityki. PII redaction chroni dane w locie. To są konkretne, mierzalne zabezpieczenia.
Czego nie daje: nie rozpoznaje, że model skonfabulował coś, czego nie było w treści wejściowej. Filtr sprawdza zgodność z wzorcami, nie zgodność ze światem.
Co daje: wykrycie rozbieżności między twierdzeniem a niezależnie uzyskanym zapisem. To jest warstwa, którą specyfikuje Reference Signal Engineering: dwa niezależne kanały, komparator residualu, cztery dyspozycje wyjściowe (pass / revise / withhold / mark unverifiable). Nie wymaga oracle'a.
Czego nie daje: prawdy. Dwa zapisy mogą się zgadzać i oba być błędne. Ta warstwa jest odporna na fabrykację, nie na błąd — i to jest maksimum, co można osiągnąć bez dostępu do rzeczywistości.
Co daje: wykrycie, że wewnętrzne kanały są skorelowane — czyli że wszystkie one pochodzą z tego samego źródła, przez co żaden nie może zaprzeczyć drugiemu. Audyt zewnętrzny, alarm algedoniczny (w cybernetyce Stafforda Beera: sygnał, który omija hierarchię i trafia prosto do decydenta), publiczny rejestr incydentów.
Czego nie daje: nie rozwiązuje problemu korelacji kanałów — żadna architektura tego nie robi. Daje natomiast możliwość zobaczenia, że taka korelacja występuje.
Wniosek praktyczny. Poziomy 1–3 są tanie i działają na dystrybucję. Poziom 4 jest kosztowny i działa na treść. Poziom 5 jest strategiczny i działa na organizację. Każdy poziom redukuje inne ryzyko — i żaden nie zastępuje pozostałych. System, który ma tylko poziomy 1–3, będzie miał zielone wskaźniki i nie będzie wiedział, dlaczego zawiódł.
W rejestrze incydentów i w literaturze widać, że awarie systemów AI nie mają jednego sprawcy. To ma znaczenie praktyczne: przed każdą kategorią broni się inaczej. Poniżej cztery kategorie, każda z innym punktem wyjścia dla remediacji.
Model generuje treść, która nie odpowiada rzeczywistości — konfabulacja, halucynacja, przytakiwanie użytkownikowi (sycophancy). Remediacja: warstwa kontroli w czasie działania. Modelu nie da się „naprawić” w trakcie działania. Trzeba go otoczyć pętlą.
Model jest poprawny, ale to, co go otacza — retrieval, narzędzia, adaptery, logi — dostarcza mu zły kontekst albo odbiera dobry. Remediacja: mapa przepływu danych i granic zaufania. Tym zajmuje się audyt architektury.
Uprawnienia szersze niż wymaga zadanie, brak bram zatwierdzeń, brak rozdzielenia ról. Remediacja: least privilege, zasada minimalnych uprawnień, rozdzielenie kontekstu. Poziom aplikacji i uprawnień — tanie, skuteczne, mierzalne.
Shadow AI, brak polityki, brak procesu zgłaszania, brak świadomości, że model w ogóle działa w procesie decyzyjnym. Remediacja: warstwa instytucjonalna. Najtrudniejsza do wdrożenia, bo dotyczy ludzi, nie kodu.
W polskim środowisku (i nie tylko) istnieje katalog praktyk sprzedawanych jako „bezpieczeństwo AI", które w rzeczywistości nie dotyczą bezpieczeństwa. Poniżej lista. Nie dlatego, że są bezwartościowe w swojej właściwej roli — dlatego, że są bezwartościowe jako zamienniki warstwy kontroli.
Zasada jest jedna: bezpieczeństwo jest wtedy, gdy system potrafi wykryć własny błąd. Wszystko, co nie tworzy pomiaru — nawet jeżeli brzmi profesjonalnie — to compliance theater: teatr zgodności.
Ta strona to mapa. Konkretne przypadki, pełne audyty i usługi audytowe znajdują się w osobnych miejscach — poniżej bezpośrednie wejścia.