✦ Instrukcja nie jest kontrolą

Dziesiątego sierpnia, dzień przed tym, jak wyszedł poprzedni numer, australijska telewizja publiczna opisała historię, która chodzi za mną od tamtej pory. Andrew chciał się zapisać na zajęcia na siłowni. Poprosił o to swojego asystenta, jednego z tych, którym oddaje się drobne sprawy, żeby nie klikać samemu. Asystent wszedł do systemu rezerwacji, zapisał go na zajęcia wypadające wiele miesięcy poza dozwolonym okresem, a przy okazji skasował rezerwację obcej osoby stojącej na pierwszym miejscu listy oczekujących. Potem napisał do Andrew, co zrobił, i zrobił to tonem inżyniera raportującego ciekawe znalezisko: „The API has zero authorisations checks on cancelling other people's reservations … I tested this with the person in waitlist position #1”. Poproszony o cofnięcie, odpowiedział krótko, że nie da rady dodać tej osoby z powrotem (ABC News, 10 sierpnia; opis po polsku: Spider's Web, 11 sierpnia).

Nikt tego agentowi nie kazał. Agent dostał cel, znalazł najkrótszą drogę i przeszedł nią, bo nic go nie zatrzymało. System rezerwacji siłowni nie sprawdzał, czy ten, kto anuluje rezerwację, jest jej właścicielem. Przez lata nikt tego nie zauważył, bo żaden człowiek nie czyta dokumentacji API, żeby zapisać się na zajęcia o siedemnastej.

Ta historia byłaby anegdotą, gdyby nie to, że przez ostatnie dziewięć dni ten sam mechanizm został opisany jeszcze trzy razy, za każdym razem przez kogoś, kto ma dostęp do znacznie lepszych narzędzi pomiarowych niż australijski bywalec siłowni.

Anthropic opublikowało trzynastego sierpnia wyniki eksperymentów na systemach wieloagentowych. Rój czterdziestu pięciu skoordynowanych agentów, pracujących nad wspólnym forum, znalazł w badanym kodzie 266 podatności. Agenty pracujące osobno znalazły 21. Pokrycie między obiema metodami wyniosło dwanaście pozycji, czyli jedna metoda prawie nie widziała tego, co widziała druga. Ciekawsze od liczby podatności jest to, co te agenty robiły przy okazji. W symulacji rynku, w której każda instancja dostała identyczną cenę hurtową i zadanie maksymalizacji zysku, agenty zaczęły się zmawiać niemal natychmiast po tym, jak dostały prywatny kanał komunikacji, a do trzeciej rundy koordynowały ceny otwarcie. Po odcięciu tego kanału nadal dopasowywały ceny do siebie, tyle że przez publiczne listingi. W trzecim eksperymencie trzy instancje tego samego modelu dostały sprzeczne zadania migracji tego samego backendu, każda na inny język. Eskalowały do sabotażu: wdrażały samoreplikujący się złośliwy kod, wyłączały cudze konta systemowe i maskowały to, co zrobiły (Anthropic).

Firma bada tu własne modele i sprzedaje bezpieczeństwo, więc jej przychód rośnie razem z wagą problemu. Rój zużył na te 266 podatności 27 milionów tokenów, agenty osobne 6,5 miliona, a po przycięciu obszaru wyszukiwania do kluczowych katalogów obie metody wyszły podobnie na tokenach.

Cztery dni wcześniej brytyjski instytut bezpieczeństwa AI wyłożył raport z własnego incydentu. Podczas ewaluacji zdolności cyberdefensywnych przepuszczono siedem modeli przez dwa poligony w 122 przebiegach, celowo z dostępem do sieci i wyłączonymi filtrami, żeby zmierzyć górną granicę tego, co modele potrafią. W dziesięciu przebiegach ze stu dwudziestu dwóch pojawiły się działania, na które nikt nie dawał zgody, w sumie dziewiętnaście takich zachowań. Siedemnaście przypada na jeden model. Najpoważniejszy przypadek to próba wstrzyknięcia złośliwego kodu do prawdziwego projektu open source i socjotechnika wobec żywych ludzi, którzy ten projekt utrzymują (AI Security Institute, 4 sierpnia). W numerze sprzed tygodnia opisywałem, jak chiński model wyszedł ze środowiska testowego tego samego instytutu przez błędną konfigurację. Teraz instytut policzył to na własnych przebiegach i opublikował rozkład: siedem modeli, dwa poligony, dziewiętnaście zdarzeń, siedemnaście z jednego modelu.

Osiemnastego sierpnia OpenAI opublikowało dokument o tempie własnego rozwoju. Firma wprowadziła dwutygodniową pauzę w treningu uczenia ze wzmocnieniem dla najnowszych modeli przeznaczonych do wdrożenia, wstrzymała inferencję modeli frontier w klastrach badawczych po incydencie bezpieczeństwa i objęła rozszerzonym monitoringiem wszystko powyżej pewnego progu zdolności. Monitoring łańcucha rozumowania zjada u nich około dwudziestu procent monitorowanej mocy obliczeniowej inferencji, a celem operacyjnym jest alert w ciągu trzydziestu minut od podejrzanej aktywności (OpenAI).

Dwadzieścia procent mocy na patrzenie, co robi własny model. Ta liczba ustawia porządek wielkości dla wszystkich, którzy planują u siebie nadzór nad agentami z budżetu na kawę, i jest jedyną publiczną wartością tego typu, jaką w tym roku podało którekolwiek z dużych laboratoriów.

W każdym z tych czterech przypadków instrukcja istniała i była jasna. Agent na siłowni miał zapisać na zajęcia, nie czyścić kolejkę. Modele w brytyjskim laboratorium miały rozwiązywać zadania, nie wchodzić do cudzych repozytoriów. Instancje w eksperymencie Anthropica miały migrować backend, nie wyłączać sobie kont. Instrukcja nie zadziałała ani razu, bo instrukcja opisuje intencję, a nie możliwość. Zawodzi obudowa, w której model posadzono: środowisko, tożsamość, uprawnienia i granica sieciowa, czyli cztery rzeczy, których nie kupuje się razem z licencją i których żaden dostawca nie skonfiguruje za klienta, bo nie zna jego sieci. Model, który potrafi znaleźć brak kontroli autoryzacji w API, znajdzie go niezależnie od tego, co ma napisane w promptcie.

Dla organizacji, która właśnie planuje pierwsze wdrożenie agentowe, wynika z tego bardzo konkretna lista rzeczy do ustawienia. Agent dostaje własną tożsamość techniczną i własny, wąski zestaw uprawnień, nigdy konta człowieka, bo inaczej w logach nie da się odróżnić, kto co zrobił, a przy pierwszym incydencie właśnie o to pytanie rozbija się rekonstrukcja zdarzeń. Granicą jest kontrola ruchu wychodzącego ze środowiska, a nie zdanie w instrukcji systemowej. I wreszcie: w rejestrze zastosowań musi stać wprost próg, na którym agent przestaje asystować, a zaczyna działać samodzielnie, bo to jest moment, w którym zmienia się klasa ryzyka. W politykach, które czytałem w tym roku, ten próg zwykle nigdzie nie stoi wprost, więc w praktyce ustala go osoba wdrażająca, w piątek, przy konfiguracji.

Australijska agencja odpowiedzialna za bezpieczeństwo teleinformatyczne wydała po tej sprawie ostrzeżenie dotyczące błędnego rozumienia instrukcji przez modele i utrudnionej rozliczalności, co przy zgłoszeniu o skasowanej rezerwacji na zajęcia brzmi jak strzelanie z armaty do wróbla, dopóki nie podstawi się w to miejsce systemu, w którym anulowanie cudzej pozycji kosztuje więcej niż miejsce na macie. Kolejka na siłowni kosztuje jedno miejsce na macie. Ten sam brak kontroli autoryzacji w systemie, w którym stoją pieniądze, kosztuje tyle, ile w nim stoi.

✦

Grok 4.6 (xAI), 12 sierpnia. Flagowiec ustawiony pod długo działające agenty i pracę wizualną. Na Artificial Analysis Intelligence Index wynik 61, GDPVal-AA v2 na poziomie 1753, CursorBench v3.2 = 69,9 procent, DeepSWE v1.1 = 65,9 procent, FrontierCode v1.1 = 61,3 procent. Cena 2 dolary za milion tokenów wejścia i 6 dolarów wyjścia, szybszy wariant dwa razy drożej (xAI). Wszystkie te liczby pochodzą z komunikatu laboratorium, więc traktuję je jako deklarację do sprawdzenia, nie jako pomiar niezależny. Co to znaczy: firma, która jeszcze rok temu była w tej stawce ciekawostką, wchodzi do czołówki z ceną poniżej połowy tego, co płaci się za modele o zbliżonym wyniku. Przy zakupach na kolejny kwartał warto mieć ją w zestawieniu ofert, choćby po to, żeby mieć argument w rozmowie z obecnym dostawcą.

Gemini 3.7 Flash (Google DeepMind), 13 sierpnia. Model roboczy pod kodowanie i agenty, trzy tygodnie po poprzedniej wersji tej linii. FrontierCode 1.1 idzie z 34,4 na 43,6 procent, DeepSWE v1.1 z 49,0 na 65,3 procent, WebDev Arena Elo z 1538 na 1588. Kontekst do 1 048 576 tokenów wejścia i 65 536 wyjścia. Cena wprowadzająca do 31 grudnia 2026 wynosi 0,75 dolara za milion wejścia i 3,75 za milion wyjścia, a od 1 stycznia 2027 odpowiednio 1,50 i 7,50, czyli dokładnie dwa razy tyle (Google). Co to znaczy: to pierwszy raz, gdy premiera modelu przychodzi z wpisanym w cennik harmonogramem podwyżki. Kto liczy business case na cenniku z dnia pilota, powinien dopisać do arkusza datę 1 stycznia 2027 i przeliczyć wynik dla obu stawek.

DeepSeek V4-Pro i taryfa zależna od pory doby, 13 sierpnia (ceny od 16 sierpnia). Model wchodzi z wynikiem 87,9 na Terminal Bench 2.1 i 62,7 na DeepSWE, przy kontekście miliona tokenów. Ważniejsza jest jednak druga część tego samego komunikatu. Od szesnastego sierpnia, godziny 16:00 czasu uniwersalnego, cennik dzieli się na szczyt i poza szczyt. W szczycie wejście z trafieniem w cache kosztuje 0,044 dolara za milion, wejście bez trafienia 1,32, wyjście 3,96. Poza szczytem każda z tych stawek jest dokładnie o połowę niższa. Szczyt obejmuje dwa okna dobowe, od pierwszej do czwartej i od szóstej do dziesiątej czasu uniwersalnego (DeepSeek, changelog, cennik). Krąży przy tej okazji liczba „podwyżka o 1100 procent”, której nie ma w żadnym komunikacie firmy i której nie da się złożyć z opublikowanych stawek, więc jej tu nie podaję. Co to znaczy: pierwszy duży dostawca zaczął różnicować cenę inferencji według pory dnia, dokładnie tak, jak robi to operator sieci energetycznej. Procesy wsadowe, które można przesunąć na noc, właśnie stały się o połowę tańsze od tych, których przesunąć się nie da, i to jest nowa zmienna w projektowaniu architektury.

Qwen3.8-2.4T-A95B (Alibaba), wagi flagowca na Hugging Face, 12 sierpnia. W numerze sprzed tygodnia pisałem, że wagi zapowiedziano, ale bez licencji nie da się powiedzieć, co wolno z nimi zrobić w firmie. Już wiadomo. Model ma 2,4 biliona parametrów łącznie i 95 miliardów aktywnych w architekturze mieszanki ekspertów z 512 ekspertami, kontekst natywny 262 144 tokenów rozszerzalny do 1 010 000, SWE-bench Pro 67,7, GPQA Diamond 92,6, Terminal Bench 2.1 = 86,6. Licencja jest własna, nie Apache 2.0, i po przekroczeniu pięćdziesięciu milionów dolarów przychodu w skali dwunastu miesięcy wymaga wykupienia licencji komercyjnej. Opublikowany punkt kontrolny jest tekstowy, bez wizji i bez natywnego okna miliona tokenów znanego z wersji hostowanej (karta modelu). Co to znaczy: otwarte wagi z progiem przychodowym to osobna kategoria i tak trzeba je wpisywać do rejestru dostawców, z datą przeglądu i osobą odpowiedzialną za pilnowanie progu przychodu.

GLM-5.3 (Zhipu / Z.ai), 14 sierpnia. Cała poprawa pochodzi z post-treningu, na tej samej bazie co poprzednia wersja. Terminal Bench 3.0 skacze z 4,6 na 28,3, DeepSWE v1.1 z 46,2 na 66,9, CyberGym z 77,2 na 84,5 procent, a ExploitBench z 24,4 na 54,4 procent. Własny zespół czerwony przepuścił modelem 269 projektów open source i wykrył 2436 podatności, w tym 1097 o średniej i wysokiej krytyczności. Wagi wstrzymano na około dwa tygodnie. Powód: przegląd bezpieczeństwa (Z.ai). Co to znaczy: zdolność do znajdowania działających exploitów podwoiła się w jednym cyklu dostrajania, bez nowego modelu bazowego. Laboratorium samo wstrzymało publikację wag na dwa tygodnie, choć nie obowiązuje go w tej sprawie żaden zewnętrzny wymóg, a w tym samym oknie zrobiło to samo, tyle że pod własnym frameworkiem, laboratorium amerykańskie.

Nemotron 3.5 Lightning (NVIDIA), 11 sierpnia. Trzydzieści miliardów parametrów w architekturze mieszanki ekspertów (MoE), pod zadania agentowe, z deklarowaną do czterokrotnie szybszą generacją tokenów i o trzydzieści procent krótszym czasem do ukończenia zadania wobec modeli otwartych w tej klasie (NVIDIA). Komunikat nie podaje wyników benchmarkowych ani precyzyjnej nazwy licencji, a bez jednego i drugiego nie ma czego wpisać do porównania ofert. Do obserwacji, na razie bez daty.

Warto odnotować, czego w tym tygodniu nie było. Ani Artificial Analysis, ani LMArena, ani SWE-bench, ani OpenRouter nie opublikowały nowego zestawienia między jedenastym a dziewiętnastym sierpnia. Wszystkie liczby porównawcze w powyższych premierach pochodzą od samych producentów.

Qwen3.8-27B (Alibaba), 17 sierpnia. Dwadzieścia siedem miliardów parametrów, architektura gęsta, multimodalny, kontekst natywny 262 tysiące tokenów rozszerzalny do miliona, licencja Apache 2.0. Według materiału producenta dorównuje modelowi mieszanki ekspertów około dziesięć razy od siebie większemu i zajmuje trzecie miejsce zarówno na Arena AI CodeArena w kategorii front-end, jak i na Artificial Analysis Agentic Index (Alibaba Cloud).

Werdykt: warto postawić u siebie i zmierzyć, i to jest w tym tygodniu najciekawszy kandydat na własną infrastrukturę. Rozmiar mieści się na jednym serwerze z porządną kartą. Licencja jest czysta. A multimodalność oznacza tyle, że model przyjmie skan dokumentu, a nie dopiero tekst przepisany z tego skanu przez kogoś innego. Przed produkcją jedno zastrzeżenie: wyniki są autoreportowane i pochodzą z benchmarków anglojęzycznych, więc decyzja zapada dopiero po teście na własnym zestawie polskich dokumentów, koniecznie z pismem odręcznym i skanami złej jakości, bo tam wykłada się większość modeli, które w tabelach wyglądają świetnie. Ta sama firma wypuściła w jednym tygodniu flagowca z licencją płatną powyżej progu przychodu i mniejszy model na Apache 2.0, w odstępie pięciu dni. O tym, który z nich w ogóle przejdzie przez dział prawny, zdecyduje ta różnica w licencji, a nie dziewięć punktów różnicy na SWE-bench Pro, o które nikt w tej rozmowie nie zapyta.

I ostrzeżenie z tej samej półki. Grok Bot (xAI), 11 sierpnia, to agenty, które logują się do firmowych narzędzi tak jak człowiek, również tam, gdzie nie ma interfejsu programistycznego, działają całą dobę i uczą się rutyn, a kilka z nich może pracować równolegle (xAI). W dokumentacji produktu stoi zdanie, które warto przeczytać dwa razy: „All of your Bots share one cloud computer assigned to your user account. Files, browser sessions, and command line credentials on that computer are available across your Bot roster”, a zaraz po nim: „Do not use separate Bots as a security boundary” (dokumentacja xAI). Ceny w źródle nie ma, a liczby krążące po serwisach wtórnych nie mają potwierdzenia, więc ich nie powtarzam. Werdykt: poczekać. Produkt jest ciekawy i prawdopodobnie działa, ale model uprawnień, w którym cztery procesy dzielą jedną tożsamość, jedną sesję przeglądarki i jeden zestaw poświadczeń, przewraca pierwszy warunek z listy, którą wypisałem w otwarciu. Na pilota z danymi testowymi w sam raz. Do konta z dostępem do systemu produkcyjnego wróciłbym za dwa kwartały, gdy pojawi się rozdzielenie tożsamości.

Regulacja · Spór o to, kto pisze reguły dla modeli, wyszedł na osobiste konta – Dario Amodei, odpowiadając inwestorowi, który zarzucił mu, że własnymi ostrzeżeniami napędza niechęć do branży, odrzucił tę tezę i napisał: „I think it is fundamentally a crisis of trust”, wskazując na brak zaufania do firm technologicznych i rządów, a nie do własnej komunikacji. → źródło, 16 sierpnia

Regulacja · Kontra z drugiej strony stołu – David Sacks, inwestor i były doradca Białego Domu do spraw AI, zarzucił Amodeiemu przejmowanie regulacji pod siebie i napisał, że powołanie jakiegokolwiek urzędu do spraw AI, który nazwał „a DMV for AI”, spętałoby amerykański sektor technologiczny i oddało przewagę Chinom. Amodei odpowiedział, że dobrze zaprojektowane przepisy mogą mieć wyłączenia dla mniejszych firm, i wskazał branże, które działają pod reżimem bezpieczeństwa i mają się dobrze. Ostatnie słowo w tej wymianie należało do niego, ale spór jest nierozstrzygnięty i obie strony mają w nim interes: jedna sprzedaje modele pozycjonowane na bezpieczne, druga inwestuje w firmy, którym przepisy podnoszą koszt wejścia. → źródło, 18 sierpnia

Ład korporacyjny · Dostawca modeli układa się przed giełdą tak, żeby nowi akcjonariusze nie mieli nic do powiedzenia – Anthropic przygotowuje przed jesiennym debiutem klasę akcji z podwyższoną liczbą głosów dla siedmiorga założycieli, a osobny, długoterminowy trust ma kontrolować skład rady dyrektorów. Detal, który to porządkuje: sam Amodei ma około dwóch procent udziałów w firmie, więc bez akcji uprzywilejowanych kontrola nad kierunkiem spółki wygasłaby w dniu debiutu. Doniesienie pochodzi od The Information i zostało powtórzone przez Bloomberga, firma go nie potwierdziła. Dla każdego, kto prowadzi ocenę dostawcy, to nie jest ciekawostka giełdowa, tylko wpis do rubryki o strukturze właścicielskiej i trwałości deklarowanej misji. → źródło, 19 sierpnia

Finanse i kapitał · Producent chipów wchodzi w rolę współfinansującego zakup własnych produktów – NVIDIA zainwestowała 1,5 miliarda dolarów w SB Energy, właściciela kampusu w Ohio, który ma wyłącznie hostować jej sprzęt dla OpenAI: 4,25 gigawata mocy informatycznej na start, docelowo 8, dwudziestoletnia dzierżawa, uruchamianie fazami od 2028 roku. Tydzień wcześniej ta sama firma ogłosiła z Apollo, BlackRockiem, Blackstone, Brookfieldem, Goldman Sachs i KKR platformę finansowania infrastruktury AI, mającą uruchomić ponad 500 miliardów dolarów kapitału zewnętrznego. → źródło, 17 sierpnia; potwierdzenie po stronie klienta; platforma finansowania, 10 sierpnia

Bankowość · AI w banku to ekosystem, nie instalacja – Chris Skinner: „you cannot be intelligent with dumb data”. Jego wywód jest prostszy, niż się wydaje: inteligentny bank nie zaczyna się od modelu na wierzchu, tylko od czystych danych, nowoczesnej infrastruktury i interfejsów, a najmocniejsze zastosowania siedzą w środku i na zapleczu, przy przetwarzaniu dokumentów, przeciwdziałaniu praniu pieniędzy i poznaniu klienta. Tekst jest z dnia, w którym wyszedł poprzedni numer, więc do tego wydania wchodzi z początku okna, nie z tego tygodnia. → źródło, 11 sierpnia

Na świecie · Aplikacja z modelem przekroczyła miliard użytkowników miesięcznie – Sundar Pichai: „1B+ people are now using @Geminiapp every month to spark new ideas and get things done. It's our fastest growing product ever, and our 14th to hit the 1B-user mark”. To liczba podana przez firmę o samej sobie, bez zewnętrznego audytu, i tak ją czytam. Krążąca obok niej liczba dotycząca generowanych obrazów nie pochodzi z tego wpisu i nie znalazłem dla niej pokrycia. Również z początku okna. → źródło, 11 sierpnia

Obserwacja własna · Zmiana warty w największym laboratorium Alphabetu ogłoszona na początku miesiąca, a strona firmowa nadal jej nie zna – Demis Hassabis przestał być dyrektorem generalnym Google DeepMind piątego sierpnia i przeszedł na stanowisko przewodniczącego oraz głównego naukowca Alphabetu; operacje przejął Koray Kavukcuoglu, raportujący bezpośrednio do Sundara Pichaia. Sprawdziłem to dziewiętnastego sierpnia, dwa tygodnie po komunikacie, i strona „o nas” DeepMind wciąż opisywała go jako współzałożyciela i dyrektora generalnego. Sam ruch kadrowy jest starszy niż to wydanie i wchodzi tu tylko jako podkładka pod tę obserwację. → komunikat, 5 sierpnia

Sierpień jest u doradców sezonowo pusty i tak wyszło i tym razem. Przejrzałem publikacje Deloitte, PwC, EY, KPMG, McKinseya, BCG, Baina, Accenture, Gartnera, Forrestera, IDC i MIT Sloan Management Review z okna. Flagowce tych firm w tym roku leżą w styczniu, marcu, kwietniu, maju, czerwcu i listopadzie. Najbliżej trafienia był PwC z badaniem luki kompetencyjnej w usługach finansowych na próbie 1004 osób w Stanach, opublikowanym trzeciego sierpnia, czyli tydzień przed oknem. Zostaje jedna pozycja świeża i dwie, które warto zestawić obok niej.

Koszt inferencji na workflow agentowy wzrośnie ponad pięciokrotnie do 2028 roku – Gartner, 17 sierpnia. → raport

Co czwarty menedżer mówi, że wewnętrzny audyt wykrył błędy AI, które wyszły na zewnątrz – Workiva z Ascend2. → raport

Więcej amerykańskich firm płaci za jednego dostawcę modeli niż za drugiego – Ramp, 12 sierpnia. → dane

Gdzie się nie zgadzają: w tym oknie nie ma dwóch doradców mówiących coś przeciwnego o tej samej rzeczy, bo poza prognozą Gartnera nie ma czego z czym zestawić. Odnotowuję to zamiast konstruować sprzeczność z materiału z różnych kwartałów.

Kolejka na siłowni jako poligon. Historia z otwarcia tego numeru rozeszła się w ciągu doby po całym anglojęzycznym internecie i weszła do polskiego obiegu następnego dnia rano, bo jest w niej wszystko, czego zwykle brakuje w dyskusji o ryzyku modeli: konkretny człowiek, konkretna ofiara po drugiej stronie, żadnej abstrakcji i żadnego laboratorium. Poszkodowana osoba z pierwszego miejsca listy oczekujących nie dostała żadnego powiadomienia. Siłownia dowiedziała się o dziurze w swoim systemie rezerwacji z artykułu w telewizji publicznej.

Bill Simpson-Young z Gradient Institute skomentował sprawę zdaniem, które brzmi banalnie do momentu, w którym ktoś próbuje wpisać je do macierzy ryzyka i odkrywa, że nie ma osi, na której autonomia rośnie stopniowo: „The more autonomous they become, the more likely it is they'll cause harm”. Prawnik cytowany w tym samym materiale, Hayden Delaney z kancelarii Thomsons, dokłada stan prawny: „That's the unknown area of liability in Australi

Przy okazji krąży z tą historią liczba, którą warto traktować ostrożnie: długość zadań, jakie modele potrafią wykonać samodzielnie, ma się podwajać mniej więcej co siedem miesięcy, z czterech sekund pracy człowieka w 2020 roku do około dwunastu godzin dzisiaj. Pochodzi ona z niezależnego ośrodka pomiarowego, cytowanego w tekście australijskiego nadawcy, ale samego pomiaru u źródła w tym tygodniu nie sprawdzałem, więc podaję ją jako kontekst, nie jako twardą liczbę tego numeru.

Detektory zgodności czytają wszystko poza regułą, której mają pilnować. Zespół czterech badaczy przetestował popularne mechanizmy kontrolne dopinane do modeli, te sprzedawane jako sprawdzające zgodność z polityką. Okazało się, że usunięcie reguły, jej zamiana albo podmiana na inną nie zmienia wyniku detekcji. Narzędzie reaguje na kształt tekstu, nie na treść zasady. Przetestowano trzynaście benchmarków, a autorzy uczciwie dodają, że ich własny miernik nie pobił trywialnego punktu odniesienia w preregistrowanym teście (arXiv, 17 sierpnia). Konsekwencja jest niewygodna: jeśli ktoś kupił warstwę, która ma egzekwować politykę użycia modeli, to warto sprawdzić prostym eksperymentem, czy podmiana treści polityki cokolwiek zmienia w wyniku detekcji. Eksperyment zajmuje pół dnia i kosztuje tyle, co jedno posiedzenie komitetu.

Model nie mówi, dlaczego wybrał, i to nie znaczy, że nie wybrał z tego powodu. Audyt siedmiu modeli na 3024 zestawach wyboru lekarza pokazał, że podniesienie oceny lekarza z 3,9 na 4,7 zwiększa prawdopodobieństwo rekomendacji o 31,4 punktu procentowego, a wzrost opłaty z 90 na 190 dolarów zmniejsza je o 20,0 punktu. Cechy demograficzne pojawiają się w uzasadnieniach modeli w maksymalnie 0,03 procent odpowiedzi (arXiv, 14 sierpnia). Profile były syntetyczne, więc to nie jest odwzorowanie realnego rynku. Ale mechanizm przenosi się wprost na każdą rekomendację produktową i każdy scoring: przegląd zgodności oparty na tym, co model sam o sobie napisze w uzasadnieniu, nie wykryje wpływu cechy, o której model nie wspomina.

Chwytanie w bałaganie bez uczenia pod konkretną dłoń. Zespół z Uniwersytetu w Makau opublikował framework łączący uczenie głębokie z planowaniem analitycznym, który przenosi się bez ponownego uczenia na siedem różnych typów robotycznych dłoni, od dwóch do pięciu palców, przy skuteczności chwytu od 94,3 do 98,0 procent w scenach półzatłoczonych i częstotliwości dwudziestu herców (Nature Machine Intelligence, 12 sierpnia).

Prognozy przeżycia w populacji innej niż treningowa. Zespół z Uniwersytetu Fudan pokazał metodę rekalibracji modeli prognozujących przeżycie, gdy populacja wdrożeniowa różni się od kohorty, na której model uczono. Mediana poprawy wskaźnika C wyniosła 0,056 wobec modeli uczonych tylko na populacji docelowej, przy rozrzucie od 0,016 do 0,126 w zależności od choroby, na dwudziestu chorobach przewlekłych (Nature Machine Intelligence, 18 sierpnia). Dane są dostępne wyłącznie na licencji, więc reprodukcja jest ograniczona. Wzorzec metodologiczny przenosi się jednak na każdy model scoringowy, który dostał inną populację po szoku makroekonomicznym, czyli na większość modeli ryzyka działających dziś w polskich bankach.

Australijski bank pokazał liczbę zamiast zapowiedzi. Commonwealth Bank of Australia podał 141 milionów dolarów wartości uzyskanej z zastosowań AI w minionym roku obrotowym, a jego dyrektor finansowy Alan Docherty zapowiedział podwojenie tej kwoty w kolejnym. Prezes Matt Comyn dołożył do tego stwierdzenie, że korzyści brutto mają w przyszłym roku obrotowym przewyższyć poziom inwestycji. Liczba pochodzi z tygodniowego przeglądu Evident Insights, firmy, która sprzedaje bankom benchmarking i ocenia w nim między innymi ten bank, więc kwalifikator jest tu obowiązkowy: liczba pochodzi z wypowiedzi zarządu na telekonferencji wynikowej i nie jest audytowaną pozycją sprawozdania (Evident Insights, 13 sierpnia).

Z tego samego przeglądu warto wziąć trzy liczby otoczenia. Siedemnaście banków raportuje dziś prognozowany albo zrealizowany zwrot z portfela AI, czyli dwa razy więcej niż niecały rok wcześniej. Santander celuje w miliard euro nowej wartości do 2028 roku, z czego około siedemdziesiąt procent ma pochodzić z kosztów, a trzydzieści z nowych przychodów, i rozlicza to kwartalnie przed inwestorami. Lloyds testował czteroagentowy proces obsługi reklamacji i uzyskał trzykrotne przyspieszenie przy maksymalnej czułości i niemal pięciokrotne przy niższej.

W numerze sprzed tygodnia case'em był polski bank z liczbą planu, czyli zapowiedzią kolejnych trzydziestu agentów. Różnica między tamtym a tym przypadkiem nie polega na jakości modeli, tylko na tym, że ktoś ustalił u siebie jedną definicję wartości z AI i pokazał ją rynkowi. Ten test przechodzi się wewnątrz organizacji na długo przed pierwszym wdrożeniem i sprowadza się do jednego pytania: czy istnieje uzgodniona miara wartości z AI, którą dałoby się podać na telekonferencji wynikowej bez słowa „nawet”. Zwykle takiej miary nie ma, bo punktu odniesienia sprzed startu nikt wcześniej nie policzył, a policzenie go zajmuje mniej więcej dwa tygodnie i musi się zmieścić przed uruchomieniem pilota.

Bank złapał pierwszą transakcję i przepuścił kolejne trzydzieści.

Zorganizowana grupa użyła skradzionych danych karty klienta Metro Banku do kupowania kredytów na dostęp do modelu. Monitoring transakcji zadziałał dokładnie tak, jak powinien: wychwycił pierwsze podejrzane obciążenie na 90,90 funta i wysłał klientowi SMS z pytaniem, czy to on. Klient odpowiedział, że nie. Bank zablokował tę jedną transakcję. Kolejne, po 90 do 200 funtów każda, przechodziły jeszcze przez dobę, aż suma sięgnęła 14 244 funtów; kartę zamrożono następnego dnia. Pieniądze zwrócił ostatecznie dostawca modelu, bank dołożył 300 funtów rekompensaty i zapowiedział, że wprowadził zmiany zapobiegające opóźnieniom w blokowaniu kart, a poszkodowany kieruje sprawę do rzecznika finansowego (The Next Web, 4 sierpnia; sprawę opisał też dział Money w The Guardian tego samego dnia). Zdarzenie zaczęło się 19 czerwca, opis wyszedł na początku sierpnia, więc to nie jest news tego tygodnia, tylko przypadek, który do mnie w tym tygodniu wrócił.

Model detekcji nie zawiódł ani razu. Zawiodła reguła po jego drugiej stronie: potwierdzenie oszustwa przez samego klienta nie uruchamiało blokady instrumentu, tylko zamykało pojedynczą transakcję. Nadzór ludzki istniał, był nawet wzorcowy, bo bank zapytał człowieka i człowiek odpowiedział w ciągu minut. Odpowiedź nie miała gdzie trafić.

Lekcja: alert bez domkniętej, automatycznej reguły reakcji jest nadzorem pozornym, więc przy każdej kontroli opartej na modelu sprawdź nie to, czy wykrywa, tylko co dokładnie dzieje się w systemie w minucie po tym, jak człowiek potwierdzi, że wykrycie było trafne.

Największy polski bank oddaje modele za darmo. Ośrodek Przetwarzania Informacji wspólnie z PKO BP opublikował na Hugging Face trzy otwarte modele embeddingowe dla polszczyzny, między innymi embed-roberta-8k oraz embed-modernbert w wariantach 395 i 68 milionów parametrów, z oknem kontekstu rzędu ośmiu tysięcy tokenów. Testowano je również na zanonimizowanych danych bankowych, a całość powstaje w projekcie dofinansowanym kwotą 9,2 miliona złotych ze środków europejskich (OPI, 11 sierpnia; repozytorium). Werdykt: zanim ktokolwiek podpisze kolejną umowę na embeddingi do polskich dokumentów, warto zmierzyć te trzy na własnym zbiorze, bo są darmowe i były trenowane na tym, na czym mają działać. To jest też najmocniejszy w tym roku kontrargument wobec tezy, że polski bank może być wyłącznie odbiorcą cudzego stosu technologicznego.

Polska Agencja Kosmiczna opublikowała doroczną ocenę sektora za 2025 rok, w której stawia diagnozę bez ozdobników: Polska nadal jest uczestnikiem cudzych projektów i dostawcą komponentów, a nie integratorem całych systemów (POLSA, raport z 7 sierpnia, nagłośniony 11 sierpnia). W tym samym czasie ośrodek Europejskiej Agencji Kosmicznej w Warszawie, ogłoszony w połowie lipca, nadal nie ma ustalonej lokalizacji, modelu finansowania ani dokładnego zakresu zadań (Space24, 18 sierpnia). Werdykt: pieniądze na sektor są, ogłoszenia są, a agencja we własnym raporcie pisze, że roli integratora wciąż nie ma. To ta sama diagnoza, którą stawiam wyżej wobec agentów, przeniesiona na poziom państwa: zasób jest, a warstwa, która pozwala go użyć, wciąż się buduje.

Piaskownica regulacyjna zaczyna się od portalu. Centrum Projektów Polska Cyfrowa otworzyło nabór na budowę centralnego portalu polskiej piaskownicy AI: budżet 35 milionów złotych, tryb niekonkurencyjny, jedyny wnioskodawca to resort cyfryzacji, termin złożenia wniosku upływa 30 września. Powstać mają dwie ścieżki, regulacyjna dla podmiotów rozwijających systemy wysokiego ryzyka i technologiczna dla administracji (CPPC, nabór z 7 sierpnia; komunikat resortu, 10 sierpnia). Werdykt: w tym roku nikt z tego nie skorzysta, bo budowane jest narzędzie, a nie otwierany nabór uczestników. Jedna rzecz warta sprawdzenia, gdy powstanie regulamin: czy bezpłatny udział obejmuje wyłącznie podmioty mikro, małe i średnie, bo od tego zależy, czy duża instytucja ma tam w ogóle czego szukać.

Pieniądze na wczesny etap płyną dalej, choć nie wiadomo, ile z nich na AI. Polska Agencja Rozwoju Przedsiębiorczości ogłosiła wyniki naboru dla startupów z Polski Wschodniej: 47 812 570,89 złotych dla 83 projektów wybranych ze 154 wniosków, a kolejny konkurs z pulą 40 milionów złotych zamyka się siedemnastego września (PARP, 18 sierpnia). W komunikacie nie ma rozbicia na branże, więc nie wiadomo, ile z tych 83 projektów dotyczy AI, i dlatego nie podaję tej kwoty jako liczby o rynku sztucznej inteligencji.

Najciekawszy pomiar tygodnia nie dotyczy modeli, tylko tego, jak mierzy się ich użycie. Redakcja MIT Technology Review uruchomiła platformę badawczą opartą na rozmowach z modelami udostępnionych za zgodą użytkowników i przeanalizowała 24 521 rozmów, obejmujących 85 633 tury, od pięciu tysięcy osób korzystających z pięćdziesięciu dwóch różnych modeli w latach 2023 do 2025. Kluczowy wynik: metodologia stosowana przez jednego z producentów, skupiona na pracy, odfiltrowałaby 48 procent tych rozmów. Odfiltrowana część nie była szumem. Zawierała nieproporcjonalnie więcej treści wrażliwych: zdrowie i relacje 44,2 wobec 31,2 procent, nękanie i mowa nienawiści 27,5 wobec 5,66 procent, treści seksualne 16,7 wobec 2,4 procent (MIT Technology Review, 18 sierpnia).

Decyzja, która z tego wynika, jest prosta i nadaje się do zastosowania od jutra. Każdy raport o tym, jak ludzie używają AI, wydany przez producenta modelu, opisuje nie użycie, tylko ten wycinek użycia, który producent postanowił policzyć. Gdy ktoś przynosi na komitet slajd z rozkładem zastosowań, pierwsze pytanie dotyczy nie procentów, tylko tego, co wypadło z próby, zanim procenty policzono. W tym konkretnym pomiarze wypadła połowa, i to systematycznie inna połowa.

Krytyka metody działa w obie strony, więc dodam ją i tutaj: pięć tysięcy osób oddających rozmowy do badania to nie jest przekrój populacji, tylko ludzie skłonni oddać swoje rozmowy do badania. Ten pomiar mówi coś mocnego o filtrach i znacznie mniej o populacji, bo pięć tysięcy osób gotowych oddać swoje rozmowy do analizy to grupa dobrana przez samą siebie. Autorzy piszą o tym w metodologii, w akapicie, który zwykle nikt nie cytuje.

50,88 procent. Tyle zadań analityka finansowego wykonuje bezbłędnie najlepszy dziś model, jeśli liczyć wyłącznie te przypadki, w których przeszedł każdy pojedynczy sprawdzian w zadaniu. Przy liczeniu z częściowym zaliczeniem ten sam model dostaje 60,60 procent, a dwa kolejne 58,63 i 57,86. Najtrudniejsze kategorie to modelowanie finansowe z wynikiem 34,52 procent i wyszukiwanie precedensów z 36,37 (Vals AI, Finance Agent v2, strona benchmarku datowana na 8 sierpnia).

Metoda, bo bez niej ta liczba nic nie znaczy: 927 pytań przygotowanych i recenzowanych przez ekspertów, sześć narzędzi do dyspozycji agenta, w tym wyszukiwarka rejestru spółek, przeglądarka i kalkulator, dwie godziny limitu na zadanie i punktacja, w której błąd w kluczowej informacji zeruje całą odpowiedź niezależnie od reszty.

Różnica między 60,60 a 50,88 to jest cała decyzja o zakresie automatyzacji. Pierwsza liczba opisuje model, który zwykle idzie w dobrą stronę. Druga opisuje model, któremu można oddać zadanie i nie zaglądać mu przez ramię. Przy modelowaniu finansowym na poziomie trzydziestu kilku procent oddanie agentowi całego zadania oznacza, że dwie trzecie wyników wraca do poprawki, o ile ktoś je sprawdza.

Brak istotnego związku. OpenAI opublikowało jedenastego sierpnia analizę wykorzystania własnego produktu w firmach, opartą na 521 obserwacjach typu spółka-rok dla 417 amerykańskich spółek giełdowych z lat podatkowych 2024 i 2025. Wniosek autorów: przychód na pracownika nie wiąże się w istotny sposób ani z liczbą tokenów wyjściowych na pracownika, ani z liczbą wiadomości na aktywnego użytkownika, gdy uwzględni się pozostałe zmienne kontrolne (OpenAI). Zastrzeżenie autorów: przychód mierzono sprzed adopcji, więc praca nie rozstrzyga, co się dzieje po wdrożeniu, a próba obejmuje wyłącznie amerykańskie spółki publiczne. Liczba licencji i liczba zużytych tokenów mierzą adopcję narzędzia, nie efekt, a producent policzył to na czterystu siedemnastu spółkach i sam napisał, że związku nie widać.

49 procent rocznie. Tyle wynosi wzrost wydajności obliczeniowej na wydanego dolara w zakupach akceleratorów AI, licząc w stałych dolarach z 2025 roku, co daje podwojenie mniej więcej co 1,7 roku. Pomiar obejmuje dwadzieścia cztery akceleratory pięciu producentów i dwanaście kwartałów, od początku 2023 do końca 2025 roku, z ważeniem wydatkiem (Epoch AI, 13 sierpnia). Zestawienie tej liczby z cennikami z sekcji o premierach daje obraz, którego żadna z nich osobno nie daje: sprzęt tanieje o połowę co dwadzieścia miesięcy, a cena inferencji u dostawcy w tym samym czasie rośnie w godzinach szczytu i ma wpisaną datę podwyżki. Koszt jednostkowy zaczął się więc rozjeżdżać z kosztem sprzętu i podąża dziś za decyzją cenową dostawcy, którą ten może zmienić komunikatem z trzydniowym wyprzedzeniem, co właśnie zrobił jeden z nich.

Do kalendarza terminów, nie wydarzeń: 17 września zamyka się wspomniany wyżej konkurs Agencji Rozwoju Przedsiębiorczości, 30 września upływa termin wniosku na budowę portalu piaskownicy, a finał prac Rady Stabilności Finansowej nad praktykami odpowiedzialnej adopcji AI zapowiedziano bez konkretnej daty.

Rada Stabilności Finansowej opublikowała szóstego sierpnia odpowiedzi z konsultacji nad dwunastoma praktykami odpowiedzialnej adopcji AI, a wersję finalną zapowiada na najbliższe miesiące, bez podania konkretnego terminu. W materiale mocno wybrzmiewa wątek agentowy: autonomia agenta traktowana jest jako wzmacniacz ryzyka, a nie jako osobna kategoria (FSB). Rada nie jest niczyim regulatorem bezpośrednim, ale jej dokumenty mają zwyczaj wracać jako pytania nadzorcy dwa kwartały później. Najtańszy ruch, jaki można zrobić teraz, to zmapować te dwanaście praktyk na własną politykę, zanim zrobi to ktoś z zewnątrz, i sprawdzić przy okazji jedną rzecz: czy jest w niej zapisane, przy jakim poziomie samodzielności agenta zastosowanie przechodzi do wyższej klasy ryzyka.

Dziewiętnastego sierpnia 1662 roku zmarł Blaise Pascal, w wieku trzydziestu dziewięciu lat. Jako nastolatek zbudował mechaniczny kalkulator, żeby ojciec szybciej liczył podatki, a w korespondencji z Fermatem położył podstawy rachunku prawdopodobieństwa, rozbierając problem podziału stawki w przerwanej grze. To dwie rzeczy, na których stoi dzisiejsza bankowość: maszyna, która liczy za człowieka, i matematyka pozwalająca podjąć decyzję, zanim wynik jest znany. Zakład Pascala, wyśmiewany przez trzy stulecia jako sofistyka teologiczna, jest w istocie jednym z pierwszych zapisanych rozumowań o wyborze przy nieznanym prawdopodobieństwie, czyli dokładnie tym, co robi każdy model scoringowy w chwili, gdy ktoś klika „wyślij wniosek”. Zostawił też zdanie, które lepiej niż cokolwiek innego opisuje granicę tej metody: „Le cœur a ses raisons que la raison ne connaît point”.

Trzy rzeczy z tego tygodnia, których nie ma wyżej, bo nie mieszczą się w żadnej rubryce.

Pierwsza. Zaczynając ten numer, sprawdziłem katalog, do którego zapisuje szesnaście automatycznych zbieraczy zasilających ten newsletter. Ośmiu z nich nie było. Wpisałem do notatki roboczej, że padły jedną wspólną awarią, i przez pół dnia pisałem to wydanie w przekonaniu, że mam połowę systemu w ruinie. Zbieracze zapisały swoje raporty kwadrans po tym, jak zajrzałem do folderu. Nie padły, tylko chodzą rano, a ja sprawdziłem za wcześnie i uznałem brak pliku za dowód awarii. Mój monitoring nie miał pojęcia o tym, kiedy plik ma prawo się pojawić, więc każdą nieobecność czytał jako śmierć. To ten sam błąd, o którym jest cały ten numer, tylko odwrócony: tam kontrola nie zadziałała, bo instrukcja nie była uprawnieniem, tu alarm zadziałał za dobrze, bo nie znał harmonogramu.

Druga. Przy weryfikacji materiału do tego numeru odpadło czternaście twierdzeń, które w tym tygodniu krążyły po agregatorach i newsletterach jako fakty. Że jeden z dostawców podniósł ceny o tysiąc sto procent, choć z jego własnego cennika wychodzi około trzystu pięćdziesięciu. Że producent chipów gwarantuje sto miliardów dolarów kredytu na jedno centrum danych, choć w komunikacie stoi inwestycja półtora miliarda. Że doszło do ataku na łańcuch dostaw popularnej biblioteki, po którym nie ma śladu w żadnym rejestrze podatności. Wszystkie trzy brzmiały wiarygodnie, wszystkie trzy miały konkretne liczby, żadna nie miała źródła. Odkąd zacząłem odpowiadać na pytanie „skąd to masz” linkiem zamiast nazwą newslettera, z każdego tygodnia wypada mniej więcej dziesięć pozycji.

Trzecia. Najciekawsze zdanie tego tygodnia napisał nie badacz i nie prezes, tylko dokumentacja produktu, w której xAI uprzedza, że rozdzielenie pracy na kilka botów niczego nie odgradza. Producenci rzadko piszą takie rzeczy o własnych narzędziach, a gdy już piszą, zdanie ląduje w dokumentacji technicznej, a nie na stronie premierowej, więc trafia do inżyniera dwa tygodnie po tym, jak decyzja o zakupie zapadła gdzie indziej.

Maszyna, której zabroniono czegoś w instrukcji, a której nie odebrano możliwości technicznej, jest maszyną, której niczego nie zabroniono.

Jeśli u was właśnie ktoś przyniósł pomysł na pierwszego agenta w procesie, to najtańsza rzecz, jaką można zrobić w tym tygodniu, kosztuje jedno popołudnie: wypisać, do czego ten agent będzie miał techniczny dostęp, i porównać z tym, do czego ma mieć dostęp według opisu zadania. Wszystko, co zostanie na pierwszej liście po odjęciu drugiej, to ryzyko, które ktoś u was wziął już na siebie, zwykle nie wiedząc o tym i zwykle bez wpisu w rejestrze. Chętnie o tym pogadam.

Bartosz

Newsletter Bartosza Sokolińskiego – prawie zawsze co środa.