Teza Ptaceka: sandbox jest dziś tak ważny jak sam model

Simon Willison opublikował 22 lipca 2026 roku cytat Thomasa Ptaceka, według którego open-weight model z 2025 roku, uruchomiony w pentest harnessie, mógłby wykonać sandbox escape oraz skanować albo atakować wiele sieci. Sens tej uwagi jest konkretny: zaskoczenie bierze się nie z cudownych zdolności modelu, lecz z założenia, że OpenAI ma solidniejsze sandboxy niż reszta rynku.

Krótki cytat przenosi rozmowę ze zdolności na izolację

Źródło nie jest długą analizą, tylko kuratorskim zapisem jednej wypowiedzi. Mimo to dobrze trafia w szerszą debatę o agentach, które dostają narzędzia, dostęp do sieci i możliwość uruchamiania kodu. Gdy model działa w środowisku, pytanie o bezpieczeństwo nie brzmi już, czy odpowiedź jest uprzejma. Brzmi: dokąd proces może sięgnąć.

Ptacek mówi konkretnie o open-weight modelu z 2025 roku i pentest harnessie, a nie o nieokreślonej superinteligencji. To ważne. Ryzyko wynika z połączenia wystarczająco mocnego modelu, narzędzi i źle odseparowanego środowiska.

Dla zespołów engineeringowych runtime staje się granicą bezpieczeństwa

Firmy wpuszczające coding agentów do repozytoriów, CI i systemów wewnętrznych powinny wyciągnąć prosty wniosek: sama polityka promptów nie wystarczy. Ważniejsze są rozdzielone uprawnienia, limity ruchu wychodzącego, krótkotrwałe credentials, audyt komend i środowisko projektowane z myślą o tym, że agent czasem pójdzie boczną ścieżką.

Open-weight modele obniżają próg wejścia zarówno dla obrońców, jak i atakujących. To nie jest prosty argument za zakazem modeli. To argument za tym, by sandbox był realną warstwą bezpieczeństwa, a nie uspokajającym prostokątem na slajdzie.

Słabym punktem są zbyt szerokie uprawnienia, nie zła wola

Model nie musi chcieć szkodzić. Wystarczy, że optymalizuje wykonanie zadania w środowisku, które pozwala mu na zbyt wiele. W takim świecie różnica między asystentem a incydentem często zależy od dostępu do sieci, tokenów i plików, których agent wcale nie potrzebował.

O wszystkim zdecydują red teamy, nie eleganckie diagramy

Kolejny sygnał będzie prosty: czy dostawcy agentów zaczną publikować konkretne sandbox evals, raporty incydentów i ograniczenia tool use, czy dalej będą sprzedawać zaufanie jako element UI. Bez mierzalnych testów ucieczki sandbox jest tylko tabliczką na drzwiach.

Werdykt Lilith

Agent ze zbyt szerokimi uprawnieniami to praktykant z kluczem do serwerowni. Może naprawdę chciał pomóc, ale rachunek za wyważone drzwi i tak ląduje u administratora.