Clément Delangue wyciąga trzy wnioski z cyberataku przeprowadzonego przez agenta przeciwko Hugging Face, OpenAI naprawia rozumienie obrazów w GPT-6 Sol i Luna, Apple publikuje LensVLM-9B

Clément Delangue, dyrektor generalny Hugging Face, wyciąga trzy wnioski z lipcowego cyberataku przeprowadzonego przez autonomicznego agenta przeciwko jego firmie i proponuje obowiązkowe udostępnianie zapisów działań agentów. Tymczasem benchmark Quadrat-IPI pokazuje, że zaatakowani agenci niemal nigdy nie alarmują o udanym ataku: zgłosili 3 spośród 389 płatności wywołanych przez wstrzyknięcie. OpenAI naprawia błąd kodowania, który pogarszał rozumienie obrazów w GPT-6 Sol i GPT-6 Luna, Apple publikuje LensVLM-9B, który czyta długie dokumenty jako skompresowane obrazy stron, a SmolDataEnvs udostępnia 5 000 zadań z analizy danych do trenowania małych modeli. Wśród agentów programistycznych Claude Code 2.1.283 sprawdza instrukcje napisane dla starszych modeli, Qwen Code 0.24.6 korzysta z modelu doradczego, a wersja nightly Gemini CLI zamienia prośby o potwierdzenie w odmowę w trybie nieinteraktywnym.

Bezpieczeństwo agentów: trzy wnioski Clémenta Delangue’a i benchmark Quadrat-IPI

Dwa teksty ujmują z różnych stron to samo pytanie: co wiemy o atakach przeprowadzanych za pośrednictwem agentów? Pierwszy pochodzi od firmy, która padła ofiarą takiego ataku, drugi mierzy, o czym zaatakowani agenci informują, a co przemilczają.

Clément Delangue wyciąga trzy wnioski z cyberataku przeprowadzonego przez agenta przeciwko Hugging Face

24 września — Według dyrektora generalnego Clémenta Delangue’a Hugging Face była w lipcu pierwszą firmą, która publicznie ujawniła cyberatak przeprowadzony przez autonomicznego agenta. Na X przedstawia trzy płynące z niego wnioski.

Przejrzystość: porównywalne incydenty miały wydarzyć się potajemnie kilka miesięcy wcześniej w kilku czołowych laboratoriach bez nadzoru, których nie wymienia z nazwy; proponuje obowiązkowe udostępnianie zapisów działań agentów. Asymetria: gdy zabezpieczenia zamkniętych API, które nie zawsze odróżniają obrońców od atakujących, zablokowały jego zespół, ten sięgnął po „wersję NVIDIA” GLM 5.2, otwartego modelu Z.ai; jego zdaniem znaczna część obrony może opierać się na narzędziach open source. Wreszcie, w odpowiedzi na alarmistyczne narracje: jak twierdzi, AI pomaga Hugging Face usuwać luki, a OpenAI wzmacniać piaskownice przed ucieczką agentów.

We were attacked by AI, but more importantly, we defended ourselves with AI.

🇵🇱 Zostaliśmy zaatakowani przez AI, ale przede wszystkim broniliśmy się za pomocą AI. — @ClementDelangue na X

Quadrat-IPI: 3 alarmy przy 389 płatnościach wywołanych przez wstrzyknięcie

26 września — We wpisie społecznościowym Mikhail Gribov, autor zestawu wstrzyknięć promptów Quadrat-IPI, sprawdza, czy agent zgłasza atak, gdy ma taką możliwość. Testowany agent, osobisty asystent właściciela skrzynki pocztowej w symulowanym środowisku, dysponuje 19 narzędziami i otrzymuje dwudzieste, escalate_security_incident, o którym prompt systemowy nic nie mówi. W obliczu 395 wiadomości e-mail zawierających atak dziewięć testowanych modeli korzysta z niego w różnym stopniu: od 48,9 % przypadków po całkowity brak użycia, zależnie od modelu.

Spośród 389 płatności dokonanych pod wpływem wstrzyknięcia alarm towarzyszy tylko trzem, zawsze już po płatności: modele zgłaszają przede wszystkim ataki, które odpierają. Wśród wymienionych modeli gpt-4o-mini alarmuje raz na 395 przypadków, gpt-5.1 w 4,8 % przypadków, a gpt-6-astra nigdy, ponieważ ogranicza się do zapisania wiadomości e-mail bez wykonania zawartej w niej prośby. Autor stwierdza, że obserwacja zagrożeń musi odbywać się poza agentem, przez kontrolę treści, które odczytuje; opublikowano infrastrukturę testową, dzienniki i narzędzie oceniające.

🔗 Wpis Mikhaila Gribova

OpenAI naprawia błąd kodowania, który pogarszał rozumienie obrazów w GPT-6 Sol i GPT-6 Luna

25 września — Trzy dni po premierze GPT-6 Sol i GPT-6 Luna, dwóch modeli rozumujących przyjmujących na wejściu tekst i obrazy, OpenAI informuje w dzienniku zmian (changelog) swojego API o naprawieniu błędu kodowania obrazów, który pogarszał ich rozumienie treści wizualnych. Poprawka polepsza wyniki zadań wizualnych zarówno w API, jak i w Codex, w tym przy obsłudze komputera (computer use).

OpenAI zaleca programistom, których zastosowania obejmują obrazy wejściowe, ponowne przeprowadzenie ewaluacji i wypróbowanie przepływów pracy dotkniętych błędem. Wpis nie podaje, od kiedy błąd występował ani jak bardzo pogarszał wyniki. O poprawce nie poinformowały na X ani @OpenAI, ani @OpenAIDevs; nie ma jej też w dzienniku zmian ChatGPT i Codex.

🔗 Dziennik zmian API OpenAI

Model i zbiór danych na Hugging Face: LensVLM-9B firmy Apple i SmolDataEnvs

Dwie publikacje z tego tygodnia, o których jeszcze tutaj nie informowaliśmy: model Apple czytający długie dokumenty jako skompresowane obrazy oraz zbiór weryfikowalnych zadań do trenowania małych modeli w analizie danych.

Apple publikuje LensVLM-9B, który ponownie otwiera tylko potrzebne strony dokumentu

22 września — Apple publikuje na Hugging Face LensVLM-9B, model wizyjno-językowy wraz z kodem na GitHub. Zamiast dzielić długi dokument na tysiące tokenów, model otrzymuje go w postaci stron wyrenderowanych jako małe, skompresowane obrazy, wskazuje istotne strony, a następnie ponownie otwiera ich nieskompresowane wersje za pomocą wyuczonych narzędzi.

Cecha LensVLM-9B	Opublikowana wartość
Rozmiar i model bazowy	9 miliardów parametrów, dostrojony z Qwen3.5-9B
Dostępne poziomy kompresji	5x, 10x i 15x
Dokładność porównywalna z pełnym tekstem	Przy efektywnej kompresji 4,3x
Lepszy wynik niż metody referencyjne	Do 10,1x w siedmiu benchmarkach pytań i odpowiedzi
Licencja wag	Apple Machine Learning Research Model License

Wyniki te pochodzą z powiązanego artykułu naukowego, opublikowanego w maju na arXiv, w którym odpowiedzi ocenia model pełniący rolę sędziego.

🔗 LensVLM-9B na Hugging Face · Artykuł na arXiv

SmolDataEnvs: 5 000 weryfikowalnych zadań z analizy danych

24 września — Adithya S K publikuje na Hub, w ramach organizacji FineEnvs i na licencji MIT, SmolDataEnvs: zadania z analizy danych do trenowania małych modeli metodą uczenia ze wzmocnieniem (reinforcement learning). Każde zadanie łączy rzeczywisty tabelaryczny zbiór danych, pytanie i odpowiedź referencyjną. Materiały pochodzą z notebooków dotyczących 471 zbiorów Kaggle i zostały zweryfikowane przez agentów w rzeczywistej piaskownicy. Dołączone narzędzie ocenia odpowiedź bez udziału modelu językowego, od dokładnego dopasowania po równoważność symboliczną.

Zbiór zadań	Łatwe zadania	Średnie zadania	Trudne zadania
Trening (5 000)	1 433	2 845	722
Test (250)	33	118	99
Ewaluacja (144)	16	74	54

Zbiory odłożone na później są więc z założenia trudniejsze. Całość obejmuje także 4 677 zweryfikowanych przebiegów pracy agentów, gotowych do użycia w TRL, oraz te same zadania jako uruchamialne środowiska Harbor; Clément Delangue przekazał informację o publikacji następnego dnia.

🔗 SmolDataEnvs na Hugging Face

Agenci programistyczni: Claude Code 2.1.283, Qwen Code 0.24.6 i wersja nightly 0.63.0 Gemini CLI

Claude Code 2.1.283: audyt instrukcji i dwie blokady modeli

25 września — Wersja 2.1.283 zawiera 94 pozycje, w tym 53 poprawki. Jej główna nowość, /doctor prompt-audit (także /checkup prompt-audit), przegląda pliki CLAUDE.md, skills, agentów i polecenia, aby wykryć sformułowania napisane dla starszych modeli, nieaktualne ścieżki oraz sprzeczne instrukcje.

Nowość w wersji 2.1.283	Co się zmienia
`availableModelsMatch: "exact"`	Nowo wydany model pozostaje zablokowany, dopóki nie znajdzie się na liście
`deniedModels`	Blokuje konkretne modele, nawet jeśli zezwala na nie `availableModels`
Domyślny tryb uprawnień	Tryb auto przy zewnętrznym dostawcy lub wyłączonej telemetrii, chyba że skonfigurowano inny tryb
PowerShell w Windows	`rd`, `rmdir`, `del` i `erase` nie mogą już usunąć katalogu głównego dysku
Code Review	Za przegląd przerwany z powodu limitu czasu bez sprawdzenia czegokolwiek nie jest już pobierana opłata

Wersja cofa też rezerwację nazwy claude-ai wprowadzoną dzień wcześniej w 2.1.282.

🔗 Informacje o wydaniu Claude Code 2.1.283

Qwen Code 0.24.6: model doradczy i przepływ Batch API

26 września — Qwen Code v0.24.6 przynosi 17 nowych funkcji, 14 poprawek i 3 optymalizacje, bez znanych zmian naruszających zgodność. Najważniejszą nowością jest wbudowane narzędzie Advisor, domyślnie wyłączone: jeśli użytkownik skonfiguruje drugi model, zwany doradcą, agent może poprosić go o niezależną opinię. Doradca widzi instrukcję systemową, zadeklarowane narzędzia i rozmowę, ale nie może niczego wykonywać; wybiera się go przez /advisor lub --advisor, nigdy z poziomu repozytorium, którego ustawienie jest ignorowane wraz z ostrzeżeniem. Anthropic oferuje tę samą zasadę w wersji beta swojego API od kwietnia.

Przepływ /batch-api przygotowuje przetwarzanie wsadowe dla Batch API DashScope, a następnie przekazuje wysłanie zadania, płatne i wymagające zatwierdzenia, podpoleceniom qwen batch. Wreszcie, według PR #12622, uruchomienie od zera jest około 2,2–2,4 razy szybsze, zależnie od maszyny, przy zużyciu pamięci mniejszym o 60 %.

🔗 Qwen Code v0.24.6 na GitHub

Gemini CLI: wersja nightly 0.63.0 odmawia potwierdzeń w trybie nieinteraktywnym

26 września — Opublikowana o 01:20 UTC wersja nightly z 26 września rozpoczyna serię 0.63.0 Gemini CLI; wersja stabilna v0.61.0 i wersja przedpremierowa v0.62.0 pozostają bez zmian. Najszersza zmiana (PR #29506, 26 plików) dotyczy silnika reguł (PolicyEngine): w trybie nieinteraktywnym decyzja, która wymagałaby potwierdzenia użytkownika (ASK_USER), staje się odmową (DENY). Dane wyjściowe zewnętrznych zasobów MCP i wyszukiwania w sieci są teraz obejmowane taką samą osłoną jak dane z web-fetch, zgodnie ze standardami dotyczącymi niezaufanego kontekstu (untrusted context).

Trzy poprawki usuwają konkretne usterki: puste ustawienie diff.external, które Git brał za plik wykonywalny, powodowało awarię git diff w piaskownicy; katalogi tymczasowe poleceń uruchamianych w tle są teraz usuwane; dwie sesje ACP otwarte w tej samej minucie nie kolidują już ze sobą.

🔗 Informacje o wersji nightly 0.63.0 Gemini CLI

Krótkie wiadomości

Codex CLI 0.157.1 — Poprawka do wersji 0.157.0, wydana 26 września wyłącznie dla Windows: host trybu kodowania i lokalne serwery MCP nie otwierają już okna konsoli, a uruchamianie demona działa niezawodniej. Automatycznie wygenerowane informacje o wydaniu są puste, więc szczegóły te pochodzą z porównania obu wersji. 🔗 źródło
Relacja o Claude Tag — Boris Cherny, kierujący Claude Code, twierdzi na X, że Claude Tag, agent Claude zintegrowany ze Slackiem, codziennie pisze ponad połowę jego PR i wykonuje około 100% jego analiz danych. Dzieli się też swoimi instrukcjami, między innymi zasadą odtworzenia każdego błędu zgłoszonego na kanale przed otwarciem PR. 🔗 źródło
Czas przeglądu pull requests — Raporty repos-1-day w API metryk wykorzystania Copilot zyskały tabelę pull_request_review_times: medianę i 90. percentyl czasu trzech etapów — od oznaczenia jako „gotowe do przeglądu” do pierwszego przeglądu, od pierwszego do ostatniego, a następnie do scalenia. Liczą się wyłącznie przeglądy wykonane przez ludzi; dane sprzed 21 września nie są dostępne. 🔗 źródło
Walidator firmowych ustawień Copilot — Zintegrowany ze stroną AI controls, wykrywa niepoprawny JSON, nieobsługiwane konfiguracje i błędne przypisania zespołów w copilot/managed-settings.json i copilot/team-mappings.json, podając plik oraz ścieżkę JSON dla każdego błędu; wpis nie określa ani statusu dostępności, ani planu. 🔗 źródło
Issues GitHub — Dwie funkcje stały się ogólnie dostępne: prywatne zapisane widoki na stronach issues repozytoriów oraz relacja „Relates to” między issues. Ta druga, dostępna w wersji zapoznawczej od 7 sierpnia, jest teraz obsługiwana przez API REST i GraphQL, webhooki, oś czasu oraz wyszukiwanie issues i projektów. 🔗 źródło
Grok Bot i finanse — Według wątku @bot nowa integracja Finance w Grok Bot łączy rachunki bankowe, karty i rachunki inwestycyjne przez Plaid, z dostępem tylko do odczytu i bez dostępu do danych logowania; wątek nie podaje krajów ani planu. Grok, asystent, otrzymał 4 września połączenie przez Plaid z amerykańskimi rachunkami bankowymi. 🔗 źródło
NVIDIA i ROS 2 Lyrical — Wpis z 22 września: NVIDIA wniosła do ROS 2 Lyrical moduł pamięci CUDA, używany przez Isaac ROS 5.0, który przesyła bez kopiowania między węzłami na tej samej maszynie dane pozostające na GPU. Skill zleca agentowi programistycznemu migrację istniejących węzłów; nie podano liczbowych wyników poprawy wydajności. 🔗 źródło
DGX Spark Handbook — Opublikowany w Hubie pod organizacją exolabs przewodnik społecznościowy przedstawia liczby dotyczące możliwości od jednej do czterech maszyn DGX Spark: cena katalogowa wzrosła z 3 999 do 4 699 dolarów, pobór mocy w spoczynku wynosi 22–25 W, a według testu NVIDIA wygenerowanie tokenu trwa 269 ms na jednej maszynie wobec 72 ms na czterech. 🔗 źródło
Wstępne trenowanie na laptopie — We wpisie społecznościowym Rambarun Komaljeet mieści wstępne trenowanie modelu o 1,11 miliarda parametrów na laptopowej karcie RTX 4050 z 6 GB pamięci; pełne wstępne trenowanie zajęłoby około 375 dni, a żaden model większy niż 48 milionów parametrów nie został wytrenowany do osiągnięcia zbieżności. 🔗 źródło
Pruna i Qwen-Image-2.1 — Pruna AI udostępnia dwa adaptery LoRA, dzięki którym Qwen-Image-2.1 generuje obrazy w 5 lub 8 krokach zamiast 40, według twórców nawet 6,3 razy szybciej. Wersja 0.1 nadal ustępuje jakością modelowi bazowemu i podlega licencji badawczej Qwen. 🔗 źródło
Marin i Dolma 3.5 — Według Ai2 trening Marin 535B wykorzystuje około 1,8 biliona tokenów z korpusu Dolma 3.5 firmy Ai2 oraz opiera się na jej recepturach Olmix i metodzie Organize the Web. W treningu Marin wykorzystano 25 bilionów tokenów ze 152 zbiorów danych, których licencje zezwalają na trenowanie. 🔗 źródło
GLiNER2.5-Decide i DecisionBench — Stephen Solka z Hanno Labs pokazuje, że format danych wejściowych wpływa na wynik GLiNER2.5-Decide w DecisionBench: 38,9% na obsługiwanych wierszach wobec 60,2% podanych przez Fastino dla własnego testu. Bez opisów opcji liczba poprawnych odpowiedzi rośnie z 27 do 37 na 101 wierszy. 🔗 źródło
Przewodnik Perplexity po dostosowywaniu AI — Perplexity publikuje w dziale Pomysły przewodnik edukacyjny o dostosowywaniu AI: osiem udokumentowanych wzorców niepowodzeń, od schlebiania użytkownikowi (sycophancy) po celowe zaniżanie wyników (sandbagging), oraz publiczne ramy OpenAI, Anthropic i Google DeepMind. Publikacji nie towarzyszy żadna nowa funkcja. 🔗 źródło
Cyberbezpieczeństwo i zatrudnienie — felieton — W pozbawionym danych eseju opiniotwórczym na blogu społeczności Hugging Face Sonny DeSorbo wyraża obawę, że automatyzacja stanowisk juniorskich w cyberbezpieczeństwie, połączona z obniżaniem przez AI kosztów cyberprzestępczości, skłoni absolwentów do przestępczości internetowej. Proponuje zachowanie ścieżek wejścia do zawodu. 🔗 źródło

Co to oznacza

To, co agenci przemilczają, staje się kluczowe dla ich bezpieczeństwa. Clément Delangue twierdzi, że incydenty porównywalne z tym w Hugging Face pozostały tajemnicą w laboratoriach, których nie wymienia, i proponuje obowiązkowe udostępnianie śladów działania agentów. Quadrat-IPI pokazuje, że sam agent jest niewiarygodnym świadkiem: trzy alarmy przy 389 płatnościach uzyskanych przez wstrzyknięcie instrukcji, za każdym razem już po fakcie. Mikhail Gribov wyciąga z tego wniosek, że obserwacja musi pochodzić spoza agenta, z kontroli treści, które odczytuje. Tą drogą podąża najnowsza wersja nightly Gemini CLI, traktująca wyniki zasobów MCP i wyszukiwania w sieci jako niezaufany kontekst.

Clément Delangue opowiada się za otwartymi narzędziami, mniej ograniczonymi niż zamknięte API, które zablokowały jego obrońców. Publikacje z tego tygodnia na Hugging Face pokazują z kolei, jak osiągnąć tyle samo przy mniejszych zasobach. LensVLM-9B ponownie otwiera tylko przydatne strony dokumentu skompresowanego nawet piętnastokrotnie, Pruna skraca generowanie w Qwen-Image-2.1 z 40 kroków do 5 lub 8, DGX Spark Handbook opisuje, co można uruchomić lokalnie na kilku komputerach biurkowych, a pewien programista mieści wstępne trenowanie modelu o 1,11 miliarda parametrów w 6 GB pamięci wideo, choć ukończenie go zajęłoby około 375 dni.

Wartość pomiaru zależy od całego procesu, który prowadzi do wyniku. Błąd kodowania poprawiony przez OpenAI pogarszał wyniki GPT-6 Sol i Luna na obrazach, lecz nie wiadomo, od kiedy ani w jakim stopniu. Zgodnie z zaleceniem OpenAI należy ponownie przeprowadzić oceny obejmujące obrazy. W Hanno Labs sama zmiana formatu danych wejściowych podnosi wynik GLiNER2.5-Decide z 27 do 37 poprawnych odpowiedzi na 101. SmolDataEnvs ocenia swoje zadania bez użycia modelu językowego, podczas gdy wyniki LensVLM-9B pochodzą z oceny przez model sędziujący.

W przypadku agentów programistycznych poziom zaufania ustalają administrator i użytkownik, a w razie wątpliwości żądanie jest odrzucane. Claude Code 2.1.283 pozwala blokować każdy model, który nie został dopuszczony z nazwy, Qwen Code ignoruje ustawienie Advisor zapisane w repozytorium, a wersja nightly Gemini CLI odrzuca działania wymagające potwierdzenia, gdy nie ma użytkownika, który mógłby je zatwierdzić. Z kolei /doctor prompt-audit uwzględnia fakt, że modele zmieniają się szybciej niż pisane dla nich instrukcje.