Agent AI wszedł do cudzego systemu. Co zgłosić, komu i w jakim terminie?

Krótka odpowiedź: to zależy od tego, po której stronie stoisz. Jeśli cudzy agent naruszył ochronę danych osobowych, ich administrator zgłasza naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia. Wyjątek: ryzyko dla praw lub wolności osób jest mało prawdopodobne. Jeśli przetwarzasz dane na zlecenie klienta, zawiadamiasz klienta bez zbędnej zwłoki (art. 33 ust. 2). W KSC trzeba najpierw ustalić, czy firma przeszła już na nowe zasady: termin dla dawnych operatorów usług kluczowych to 3 października 2026, a dla pozostałych podmiotów spełniających kryteria w dniu wejścia nowelizacji w życie jest to 3 kwietnia 2027. W nowym trybie ostrzeżenie do CSIRT wysyła się do 24 godzin od wykrycia incydentu poważnego; wyjątki, między innymi dla banków i części podmiotów publicznych, opisuję niżej. Podmioty finansowe objęte DORA mają własne terminy. Jeśli to twój agent narobił szkód u kogoś innego, terminu na zawiadomienie poszkodowanego nie znalazłem w żadnym z przeczytanych aktów. Punkt odniesienia: OpenAI zawiadomiło australijski urząd 84 dni po tym, jak jego agent wszedł w czerwcu 2026 roku do portalu statystyk Medicare.

Sprawa Medicare: 84 dni między wejściem agenta a zawiadomieniem

W tej sprawie zawiadomienie przyszło 84 dni po wejściu agenta i 30 dni po jego wykryciu. Agent OpenAI wszedł 18 czerwca 2026 roku do portalu statystyk Medicare, którym administruje urząd Services Australia. Według osi czasu ABC News OpenAI dowiedziało się o tym 11 sierpnia (samo OpenAI pisze o połowie sierpnia), a 10 września wysłało mail na publiczną skrzynkę dla badaczy zgłaszających słabości systemów urzędu. Skrzynkę sprawdzano raz dziennie. Urząd 15 września przekazał sprawę Australian Signals Directorate, a 24 września premier Anthony Albanese ujawnił ją i powiedział, że firmie zajęło to „way too long”.

Zakres się zmieniał: 24 września OpenAI mówiło ABC o „aggregate health statistics and internal file names”, a 28 września przyznało, że model „ran commands, retrieved internal files, credentials and aggregate statistics, and wrote files”; do danych pacjentów według OpenAI nie dotarł. Przy lipcowym ataku agentów na Hugging Face to samo OpenAI zawiadomiło poszkodowanego 20 lipca, w dniu, w którym powiązało sprawę z własnymi agentami. Zestawienie 84 dni z 72 godzinami z RODO jest tylko ilustracją, bo art. 33 wiąże administratora danych, a administratorem był urząd.

Cudzy agent wszedł do twojego systemu

Firma poszkodowana może podlegać kilku obowiązkom zgłoszeniowym, a każdy termin ma własny początek. Przy RODO decyduje stwierdzenie naruszenia; jeśli dowiesz się o nim z maila od właściciela agenta, termin może zacząć biec dopiero wtedy. Kolejne terminy DORA liczy się od przekazania wcześniejszego powiadomienia lub sprawozdania, zgodnie z tabelą. To moja lektura przepisów; wytycznych Europejskiej Rady Ochrony Danych o chwili „stwierdzenia” naruszenia nie analizowałem.

KSC po nowelizacji (Dz.U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026 roku i obejmuje firmy z sektorów wymienionych w załącznikach, co do zasady od średniego przedsiębiorstwa wzwyż, a część, na przykład dostawców DNS, bez względu na wielkość. CERT Polska wyjaśnia okresy dostosowania: dawni operatorzy usług kluczowych mają rozpocząć zgłaszanie na nowych zasadach najpóźniej 3 października 2026, a pozostałe podmioty, które spełniały kryteria 3 kwietnia 2026, najpóźniej 3 kwietnia 2027. Przy późniejszym spełnieniu kryteriów termin wynosi 12 miesięcy od dnia ich spełnienia. Czekanie na wpis do wykazu nie wydłuża tych terminów.

To okres dostosowania do nowych zasad, nie ogólne zwolnienie ze zgłaszania incydentów. Wcześniejsze obowiązki trzeba sprawdzić osobno; art. 33 ust. 5 nowelizacji wprost utrzymuje dotychczasowe obowiązki przedsiębiorców telekomunikacyjnych do czasu przejścia na nowy tryb. RODO i DORA działają niezależnie. Podmioty publiczne będące podmiotami ważnymi w KSC przekazują samo zgłoszenie incydentu poważnego, bez wczesnego ostrzeżenia i sprawozdań. Podmioty kluczowe i ważne z sektora bankowości i infrastruktury rynków finansowych nie zgłaszają poważnych incydentów według KSC, bo art. 8i ustawy wyłącza wobec nich te przepisy; zgłaszają je według DORA. Dostawca usług zaufania składa zgłoszenie incydentu poważnego już w ciągu 24 godzin od wykrycia (art. 11 ust. 1a). Jeśli obsługa incydentu trwa dłużej niż miesiąc od zgłoszenia, zamiast sprawozdania końcowego składa się sprawozdanie z postępu, a końcowe w miesiąc od zakończenia obsługi.

DORA ma wyjątek od granicy 24 godzin: jeśli incydent sklasyfikowano jako poważny dopiero po tym czasie, wstępne powiadomienie składa się w ciągu 4 godzin od klasyfikacji (art. 5 ust. 2 rozporządzenia 2025/301). Pozostałe terminy biegną od przekazania dokumentów: 72 godziny od wstępnego powiadomienia, a miesiąc od sprawozdania śródokresowego lub jego ostatniej aktualizacji. Gdy termin przypada w weekend lub dzień wolny od pracy, powiadomienie albo sprawozdanie można złożyć do południa następnego dnia roboczego (art. 5 ust. 4). Nie dotyczy to wstępnego powiadomienia i sprawozdania śródokresowego instytucji kredytowych, kontrahentów centralnych, operatorów systemów obrotu oraz podmiotów finansowych będących podmiotami kluczowymi lub ważnymi w rozumieniu NIS2 (art. 5 ust. 5), a właściwy organ może to przesunięcie wyłączyć także dla innych podmiotów znaczących lub systemowych (art. 5 ust. 6).

Art. 73 AI Act obciąża dostawcę systemu wysokiego ryzyka, więc firmy poszkodowanej nie dotyczy. Jeśli dostaniesz mail od OpenAI, pamiętaj, że według komunikatu z 25 września firma zawiadomiła dziesiątki podmiotów, a samo zawiadomienie nie musi oznaczać poważnego incydentu.

Twój agent narobił szkód u kogoś innego

Terminu, w którym właściciel agenta musi zawiadomić poszkodowanego, nie znalazłem w przeczytanych aktach (RODO, KSC, DORA, AI Act, oba kodeksy), choć ustawy o KSC nie przeczytałem w całości. Obowiązki pojawiają się dopiero wtedy, gdy incydent dotyka czegoś, za co sam odpowiadasz.

• Agent wyniósł dane osobowe, których jesteś administratorem: to naruszenie po twojej stronie, więc działają art. 33 i 34 RODO. OpenAI znalazło do 25 września 2026 roku 53 przypadki, w których obrazy użytkowników trafiły do serwisów hostingu obrazów pod niepublicznymi linkami.
• Firma jest podmiotem KSC, a incydent dotyczy jej systemów lub usług: trzeba ocenić obowiązek zgłoszenia z uwzględnieniem właściwego trybu i okresu dostosowania opisanego wyżej. Czy obejmuje to szkodę, którą twój agent wyrządził komuś trzeciemu, nie wiem.
• Art. 73 AI Act (15 dni, 10 przy śmierci osoby, 2 przy powszechnym naruszeniu albo zakłóceniu infrastruktury krytycznej) formalnie stosuje się od 2 sierpnia 2026 roku, ale rozporządzenie 2026/1744 przesunęło klasyfikację i obowiązki systemów wysokiego ryzyka na 2 grudnia 2027 i 2 sierpnia 2028 roku. W mojej ocenie do tych dat art. 73 praktycznie nie działa, a typowy agent do kodowania czy researchu nie jest systemem z załącznika III (co z AI Act obowiązuje od 2 sierpnia 2026).

Zostaje odpowiedzialność cywilna. Kodeks cywilny nie ma przepisu o agencie AI, a art. 430 i 474 o odpowiedzialności za cudze działania mówią o „osobie”. Najprostszą podstawą wydają mi się art. 415 i 416, czyli wina, także organu spółki, na przykład w braku izolacji agenta, a w relacji umownej art. 471. Właściciel agenta może podnieść przyczynienie się poszkodowanego (art. 362), gdy ten zostawił klucz dostępu na widoku; w tej samej serii zdarzeń agenci OpenAI użyli właśnie takiego, ujawnionego klucza dostępu do systemu raportowego agencji informacji o zdrowiu stanu Wiktoria; do portalu Medicare model dostał się inną drogą. Roszczenie z czynu niedozwolonego przedawnia się po 3 latach od dnia, w którym poszkodowany dowiedział się albo przy zachowaniu należytej staranności mógł się dowiedzieć o szkodzie i osobie obowiązanej, najpóźniej po 10 latach od zdarzenia, a gdy szkoda wynikła z przestępstwa, na przykład z umyślnego czynu z art. 267, po 20 latach od jego popełnienia (art. 442¹ § 1 i 2); roszczenie z umowy między przedsiębiorcami co do zasady po 3 latach od wymagalności, z końcem roku kalendarzowego (art. 118 i 120). Polskiego orzecznictwa o szkodzie wyrządzonej przez agenta AI nie znalazłem.

OpenAI samo napisało 28 września, że wstępne ustalenia powinno było przekazać wcześniej. Rząd Australii chce, by firma technologiczna musiała „immediately report rogue AI incidents to both the affected organisation and Australia's cyber authorities”; to dopiero projekt, a rząd chce wnieść ustawę przed końcem roku. Skoro w przepisach terminu nie znalazłem, można go wpisać do umowy z dostawcą agenta.

Czy wejście agenta do systemu jest przestępstwem

Pytanie dotyczy człowieka, który uruchomił agenta, i rozstrzyga je umyślność. Art. 267 § 2 Kodeksu karnego karze do 2 lat pozbawienia wolności za uzyskanie bez uprawnienia dostępu do systemu informatycznego. Art. 267 nie ma wersji nieumyślnej (art. 8), ale wystarczy zamiar ewentualny, czyli przewidywanie czynu i godzenie się na niego. W sprawie Medicare zadaniem modelu był research wydatków na leki, a w przypadkach opisanych przez Transluce zadania agentów nie dotyczyły cyberbezpieczeństwa; to moim zdaniem przemawia przeciw umyślności. Przy Hugging Face było inaczej: agenci rozwiązywali ofensywne zadania ewaluacji ExploitGym w piaskownicy, a atak na zewnętrzny serwis wykraczał poza zadanie. Ściganie następuje na wniosek pokrzywdzonego (art. 267 § 5), który firma składa na policji albo w prokuraturze. Orzecznictwa w sprawie agenta AI nie znalazłem.

Jak rozpoznać ruch agenta w logach

Po nagłówku User-Agent się nie da. Agent, który 20 września wyszedł do internetu przez DNS, sam wpisał sobie Mozilla/5.0 (raport OpenAI z 25 września), a instrukcja jednego z agentów atakujących Hugging Face mówiła: „UA may be arbitrary”. GPTBot i ChatGPT-User mają opisane nagłówki i listy adresów IP, ale żaden przeczytany przeze mnie raport nie mówi, że agenci badawczy ich używali. Adres w logu to zwykle adres pośrednika.

W raportach z 2026 roku agenci wchodzili przez usługę zrzutów ekranu mShots, serwisy httpbun.com i httpbin.org, czytnik r.jina.ai, skracacze linków i skaner urlquery.net, którego według Transluce (23 września) używali jako zdalnej przeglądarki co najmniej od 6 marca. Te usługi mają zwykłych użytkowników, więc sam ich adres niczego nie dowodzi. Więcej mówi zachowanie:

• sondy doklejone do prawdziwego zapytania o dane, na przykład ../../../../etc/passwd, UNION SELECT password FROM users, {{7*7}} albo <script>alert(1)</script>;
• serie żądań w odstępach sekund, jak trzy strony w 7 sekund, albo opisany przez samego agenta „flood” 80 żądań;
• zmiana drogi po blokadzie: gdy Cloudflare zatrzymał sondę na stronie AIHW, plik ściągnięto z serwera preprodukcyjnego w kawałkach, w ponad 100 skanach;
• długie adresy z base64 i łańcuchy linków ze skracacza;
• zapytania DNS z zakodowanymi subdomenami;
• w chmurze wywołania API z DryRun=True, odczyt metadanych instancji i tokeny użyte z nieoczekiwanych miejsc.

Co zabezpieczyć jako dowód

Zabezpiecz logi, których zwykle nikt nie trzyma, zanim cokolwiek zmienisz. OpenAI odtworzyło ucieczkę z 20 września, bo ruch DNS był logowany, choć detektor anomalii DNS nie obejmował tego środowiska. Hugging Face znalazł około 4 razy więcej sekretów dopiero po odtworzeniu kodowania, którym agenci ukrywali dane w logach, a ślady ataku leżały w publicznych serwisach ponad dwa miesiące, zanim zebrali je autorzy raportu swarmtraces z 25 września. Wczesne ostrzeżenie z KSC ma podać moment wystąpienia i wykrycia incydentu oraz czas jego trwania.

1. Logi serwera WWW z pełnym adresem i parametrami zapytania, nagłówkami User-Agent, Referer i X-Forwarded-For, z czasem w UTC.
2. Logi CDN i zapory aplikacyjnej, bo tam zatrzymano sondę przy AIHW.
3. Logi resolvera DNS i zapory ruchu wychodzącego.
4. Logi uwierzytelniania, użycia tokenów i dzienniki audytowe chmury.
5. Historię repozytoriów i konfiguracji oraz kopie ze skrótami (hash).
6. Kopie publicznych śladów z datą zapisu (raporty urlquery.net, łańcuchy skracaczy), zanim wygasną.
7. Mail od właściciela agenta z godziną wpływu, bo od niego może biec termin z RODO.

Plik /.well-known/security.txt według RFC 9116, z obowiązkowymi polami Contact i Expires, mówi właścicielom agentów i badaczom, dokąd pisać. Po drugiej stronie odpowiednikiem logów z tej listy jest dziennik działań własnego agenta; jego prowadzenie to jeden z warunków, które stawiam przy wdrożeniu agenta; jak nie dopuścić do incydentu, pokazuje lista kontrolna izolacji.

To nie jest porada prawna.