OpenAI, Google i Anthropic wydały modele, które same znajdują luki w kodzie. Okno między łatką a atakiem skraca się do godzin. Plan dla właściciela strony.
W pierwszych trzech dniach września 2026 r. trzy największe laboratoria AI wydały modele, które same znajdują błędy bezpieczeństwa w oprogramowaniu. OpenAI nazwało GPT-6 Astra pierwszym modelem o „krytycznych" zdolnościach w cyberbezpieczeństwie: w testach znalazł dwie nieznane wcześniej luki i zaliczył komplet zadań ze zbioru ExploitBench. Google udostępnił Gemini 3.8 Flash Cyber wyłącznie zaufanym obrońcom przez program Fairwind (ponad 650 partnerów), deklarując ponad 70% skuteczności w wykrywaniu luk w 20 językach programowania i 2,6 razy więcej poprawnych łatek do błędów Chrome niż konkurencyjne modele. Anthropic wydał Claude Fable 5.1 publicznie i Claude Mythos 5.1 w trybie zaufanego dostępu. Wersje publiczne odmawiają pisania exploitów, ale kierunek jest jasny: szukanie i wykorzystywanie luk tanieje po obu stronach. Dla właściciela strony na WordPressie czy sklepu oznacza to jedno - czas między publikacją łatki a masowym atakiem, dziś liczony w godzinach, będzie jeszcze krótszy. Poniżej fakty i plan.
| Model | Firma, data | Do czego | Kto ma dostęp |
|---|---|---|---|
| Claude Fable 5.1 / Claude Mythos 5.1 | Anthropic, 1 września | ogólne modele do kodowania i pracy z wiedzą; Mythos z rozszerzonymi zdolnościami w cyberbezpieczeństwie i naukach o życiu | Fable publicznie; Mythos w programie zaufanego dostępu; dodatkowo usługa Enterprise Frontier Safeguards bez retencji danych |
| Gemini 3.8 Flash i 3.8 Flash Cyber | Google, 2 września | Cyber: autonomiczne wykrywanie luk, badania bezpieczeństwa, automatyczne łatanie | Flash publicznie (0,75 / 3,75 USD za mln tokenów do końca 2026); Cyber tylko przez program Fairwind: rządy, infrastruktura krytyczna, platformy, zespoły bezpieczeństwa |
| GPT-6 Astra | OpenAI, 3 września | pierwszy model sklasyfikowany jako „Critical" w cyberbezpieczeństwie: znajduje i wykorzystuje nowe luki bez prowadzenia za rękę | publicznie z odmową zadań ofensywnych (np. exploitów proof-of-concept); pełniejsze możliwości dla zweryfikowanych obrońców w programie Daybreak Blue |
| Muse Spark 1.3 | Meta, 2 września | kodowanie i zadania agentowe | publicznie |
CNBC opisało ten tydzień jako początek „zmęczenia modelami": klienci nie nadążają z testowaniem kolejnych wersji. Z perspektywy bezpieczeństwa ważniejsze jest co innego - wszystkie trzy firmy jednocześnie uznały, że zdolność do znajdowania luk jest na tyle duża, że trzeba ją reglamentować.
Ta sama zmiana dotyka poczty, biurowych komputerów i dostawców. Modele piszą przekonujące wiadomości phishingowe w poprawnej polszczyźnie, więc ochrona domeny (SPF, DKIM, DMARC) i nawyk weryfikacji przelewów telefonicznie są ważniejsze niż kiedykolwiek - jak czytać raporty, opisujemy w tekście raporty DMARC. Wobec dostawców oprogramowania warto pytać o czas reakcji na luki; od 11 września 2026 r. producenci mają obowiązki zgłaszania aktywnie wykorzystywanych luk w ciągu 24 godzin na mocy Cyber Resilience Act. A jeśli firma sama używa agentów AI, potrzebuje zasad, które opisaliśmy w tekście agenci AI w firmie.
Napastnicy używają AI, żeby robić to, co zawsze, tylko szybciej i taniej: znaleźć niezaktualizowaną wtyczkę, słabe hasło albo błąd w kodzie. Drzwi pozostają te same - zmienia się tempo, w jakim ktoś je sprawdza.
Odmawiają: Astra ma blokować m.in. generowanie exploitów, Gemini Cyber jest w ogóle niedostępny publicznie, a najmocniejszy wariant Anthropic (Mythos 5.1) działa tylko w programie zaufanego dostępu. Ale zabezpieczenia to nie mur, a dostęp dla obrońców oznacza, że reguły ochronne też powstają szybciej.
Zapora, skaner złośliwego kodu i wirtualne łatanie kupują czas - godziny lub dni. Aktualizacje, hasła i porządek we wtyczkach to zadanie właściciela strony albo firmy, której to zlecił.
Tak. Ataki są masowe i automatyczne; zainfekowana wizytówka służy do rozsyłania spamu, phishingu albo kopania kryptowalut, a jej właściciel dowiaduje się od Google lub od klientów.
Wrzesień 2026 r. przesunął granicę: modele AI potrafią znajdować luki, więc producenci reglamentują dostęp, a obrońcy i napastnicy dostają te same narzędzia w różnym czasie. Dla strony firmowej recepta się nie zmienia, zmienia się wymagane tempo: aktualizacje automatyczne, mniej wtyczek, zapora, logowanie bez haseł, kopie z testem odtworzenia. Jeśli nie chcesz sam pilnować tego codziennie, zobacz nasz pakiet bezpieczeństwa strony albo McAsystenta WWW, w którym aktualizacje i kopie robimy za Ciebie.
Wszystkie poradniki z kategorii: Hosting od podstaw