Zbiorowy apel o cyberobronę: dużo podpisów, żadnych zobowiązań i żadnych mierników weryfikacji

W czwartek 27 sierpnia 2026 roku na stronie OpenAI opublikowano list otwarty zatytułowany „A call for collective action on cyber defense”. Dokument gromadzi bardzo różnorodny front organizacji: dokładna liczba sygnatariuszy zależy od tego, kto liczy — od 116 odnotowanych przez CNBC po blisko 130 wskazywanych przez SecurityWeek. Wśród podpisanych są firmy zajmujące się SI, takie jak OpenAI, Anthropic i Google, dostawcy infrastruktury i bezpieczeństwa (Microsoft, AWS, Cisco, Cloudflare, CrowdStrike, Palo Alto Networks), przedsiębiorstwa z innych branż, jak Visa, Mastercard i General Motors, a także europejskie grupy — SAP i Deutsche Telekom. Inicjatywa pojawia się w momencie dużej uwagi regulacyjnej, kilka tygodni po tym, jak 2 sierpnia 2026 roku zaczęły obowiązywać przepisy europejskiego aktu o SI dotyczące modeli o ryzyku systemowym.

Tekst opiera się na trzech zasadach przewodnich. Pierwsza stwierdza, że obecne zabezpieczenia nie wystarczają, obciążone długiem technicznym przestarzałych systemów, błędnych konfiguracji i nieaktualizowanego oprogramowania. Dwie pozostałe wzywają, by dać obrońcom narzędzia SI i uruchomić skoordynowaną odpowiedź. Od organizacji oczekuje się traktowania obrony jako priorytetu zarządu, naprawiania w pierwszej kolejności podatności o najwyższym ryzyku oraz stosowania kontroli kompensacyjnych tam, gdzie łatka przerwałaby usługi kluczowe. Dostawców bezpieczeństwa prosi się o testowanie własnych systemów wobec modeli frontier; rządy — o finansowanie infrastruktury krytycznej pozbawionej środków. W tym samym kontekście OpenAI ogłosiło trzy własne zobowiązania, w tym dotowany dostęp do linii modeli Daybreak Cyber dla instytucji publicznych, organizacji non profit, opiekunów oprogramowania open source i operatorów infrastruktury krytycznej, wraz z autoryzowanymi programami testowymi służącymi poufnemu zgłaszaniu podatności.

„Mamy ograniczone okno czasowe, by wzmocnić cyberobronę” — czytamy w dokumencie. List poprzestaje jednak na zarysowaniu intencji o charakterze ściśle dobrowolnym. Nie ma w nim terminów operacyjnych, formalnych przydziałów budżetowych ani powtarzalnych mierników pozwalających ocenić skuteczność rozdysponowanych zasobów. Stanowisko firm SI spotkało się z krytyką: ekspert do spraw bezpieczeństwa John Gallagher podsumował dwuznaczność roli dostawców, nazywając ich „podpalaczem, który sprzedaje gaśnice”. Sprzeczność, na którą wskazuje porównanie, jest udokumentowana: te same firmy, które podpisały list, sprzedają modele komercyjne obniżające koszt ataku.

Uznanie, że tradycyjne systemy już nie wystarczają, to punkt wyjścia, którego nie sposób pominąć; zalecanie działań bez ustalenia harmonogramu wdrożenia i kryteriów audytu grozi sprowadzeniem problemu strukturalnego do deklaracji intencji. Rzeczywistą użyteczność inicjatywy da się zmierzyć dopiero wtedy, gdy dane o jej wpływie operacyjnym staną się jawne i weryfikowalne. — Olya