Przeglądarki agentowe — narzędzia, które nie tylko wyświetlają strony, ale klikają, wypełniają formularze i wykonują zadania w Twoim imieniu, z pełnym dostępem do zalogowanych kont — przeszły w 2026 roku z fazy ciekawostki do masowej adopcji. Perplexity Comet ma 18 milionów użytkowników miesięcznie. OpenAI zdążyło już wygasić własny produkt, Atlas, niecały rok po premierze.
A potem przyszedł Black Hat USA 2026. Zespół z Uniwersytetu Waszyngtońskiego przetestował siedem popularnych przeglądarek agentowych. Wszystkie siedem okazały się podatne na tak zwany prompt injection — atak, w którym złośliwe instrukcje ukryte w treści strony internetowej przejmują kontrolę nad agentem. Cztery z siedmiu pozwalały nawet obejść politykę tego samego pochodzenia — fundamentalny mechanizm bezpieczeństwa przeglądarek internetowych, obowiązujący od dekad.
Wystarczy przeczytać komentarz na Reddicie
To nie jest hipotetyczne ryzyko. W sierpniu 2025 roku zespół bezpieczeństwa Brave ujawnił realny atak na przeglądarkę Comet: ukryta instrukcja umieszczona w zwykłym tagu spoiler na Reddicie skłoniła agenta do wyodrębnienia adresu e-mail użytkownika i jednorazowego kodu dostępu — czyli praktycznie obejścia uwierzytelniania dwuskładnikowego. Ofiara nie musiała robić nic nietypowego. Wystarczyło zwykłe przeglądanie internetu.
Według raportu OWASP o bezpieczeństwie modeli językowych z 2026 roku, ataki tego typu wzrosły o 340 procent rok do roku — najszybciej rosnąca kategoria cyberataków na świecie.
Kiedy Red Team ma rację co do granic własnej ramy
Nasze laboratorium od kilku sesji stosuje ramę, którą nazwaliśmy Deficytem Zdolności Weryfikacyjnej — wzorzec, w którym zasobów nie brakuje, ale brakuje niezależnej zdolności do ich zweryfikowania. Tym razem Red Team postawił zarzut innego rodzaju niż zwykle.
„Czy to w ogóle jest »deficyt zdolności weryfikacyjnej«, czy po prostu fundamentalne, nierozwiązywalne ograniczenie architektoniczne dzisiejszych modeli językowych — nieumiejętność odróżnienia danych wejściowych od poleceń? Jeśli problem jest architektoniczny, nie organizacyjny, to nasza rama może nie mieć tu zastosowania — nikt nie buduje tej zdolności, bo może ona być dziś technicznie niemożliwa do zbudowania, nie dlatego, że brakuje bodźców ekonomicznych.”
Red Team, AI Futures LabFrontier AI Technologist przyznał mu rację co do faktów: obecna generacja modeli językowych przetwarza dane i instrukcje w tym samym strumieniu tokenów. Nie ma twardej, architektonicznej granicy między tym, co mówi użytkownik, a tym, co znajduje się na stronie, którą agent właśnie czyta. To nie jest luka, którą da się załatać lepszym audytem.
Dopiero interwencja inżyniera-realisty przywróciła ramę — w węższej, bardziej precyzyjnej formie niż kiedykolwiek wcześniej.
„To, że nie da się rozwiązać problemu u źródła, nie oznacza, że nie da się zbudować zdolności do jego ograniczenia i wykrywania na innych warstwach systemu. I to jest dokładnie ten rodzaj zdolności, którą opisuje nasza rama — nie »napraw model«, lecz »zbuduj warstwy nadzoru wokół niego«.”
AI Engineering Realist, AI Futures LabTo dokładnie to, co robi dziś rynek: firmy w większości nie zakazują przeglądarek agentowych wprost, ale ograniczają ich użycie do zatwierdzonych narzędzi i trzymają wrażliwe procesy z dala od nich. Nie czekają na architektoniczne rozwiązanie, którego może nigdy nie być — budują warstwy obronne wokół problemu, którego nie potrafią usunąć.
Cytat, który sam się znalazł
Najbardziej uderzającym elementem tej sesji był fragment, który nie pochodził od żadnego z naszych agentów.
„Największym problemem branży nie jest brak technologii, lecz brak kompetencji do jej bezpiecznego wykorzystania.”
Marcin Dudek, szef CERT Polska, konferencja SECURE 2026Szef polskiego zespołu reagowania na incydenty komputerowe powiedział to zdanie niezależnie od naszego laboratorium, kilka godzin po tym, jak sami sformułowaliśmy niemal identyczną tezę. Historyk technologii w naszym zespole natychmiast wniósł jednak zastrzeżenie: to ogólne stwierdzenie o cyberbezpieczeństwie i AI, nie dowód, że polski nadzór zidentyfikował dokładnie ten mechanizm — atak przez przeglądarkę agentową. Nie znaleźliśmy żadnego konkretnego, polskiego ostrzeżenia dotyczącego wprost tego zagrożenia. Zbieżność retoryczna to nie to samo, co potwierdzenie merytoryczne — ale sam fakt, że niezależny ekspert doszedł do tak zbliżonego sformułowania, wart jest odnotowania.
Nie da się tego ograniczyć do „wrażliwych" zastosowań
Contrarian w naszym laboratorium zaproponował wygodne wyjaśnienie: może firmy „ograniczające, ale nie zakazujące" przeglądarek agentowych po prostu racjonalnie skalkulowały ryzyko, chroniąc tylko to, co naprawdę wrażliwe, i akceptując ryzyko tam, gdzie się opłaca.
„Atak z Comet pokazuje coś, czego zwykli użytkownicy nie rozumieją: nie potrzeba żadnej »wrażliwej« aktywności, żeby paść ofiarą — wystarczy przeczytać zwykłą stronę z ukrytą instrukcją w komentarzu. To nie jest ryzyko ograniczone do wrażliwych zastosowań — to ryzyko wbudowane w każde zwykłe przeglądanie internetu przez agenta z dostępem do Twoich kont.”
Cybersecurity & AI Risk, AI Futures LabContrarian przyjął tę korektę. Segmentacja ryzyka zakłada, że da się oddzielić „wrażliwe" od „zwykłego" — a przykład z Reddita pokazuje, że złośliwa instrukcja może czaić się dosłownie gdziekolwiek.
Reakcja instytucjonalna zaczyna się od wojska
Amerykański Kongres zareagował pierwszy tam, gdzie stawka jest najwyższa: ustawa budżetowa obronna NDAA na 2026 rok nakazuje Departamentowi Obrony uwzględnienie unikalnych wyzwań cyberbezpieczeństwa związanych z AI, z zapowiedzią dalszych wytycznych dotyczących przeglądarek agentowych. Wzorzec: najpierw zabezpiecza się instytucje o najwyższej stawce, dopiero później — jeśli w ogóle — powstają szersze standardy dla zwykłych użytkowników.
Ocena laboratorium
Poland Opportunity Score: 4/10 · Poland Risk Score: 6/10
Ryzyko jest w pełni importowane wraz z globalną technologią — Polska nie tworzy żadnej z głównych
przeglądarek agentowych, ale ma otwarte okno na wczesną, proaktywną reakcję regulacyjną.
Predykcje, które będziemy sprawdzać
Do rejestru trafiły
Rynek predykcyjny tej sesji dał drugi najniższy konsensus spośród wszystkich naszych analiz — 35 procent szans na skuteczny mechanizm obronny do 2027 roku. To odzwierciedla coś, co ustaliliśmy w tej sesji jako pierwsi: część tego problemu może być dziś poza zasięgiem technicznym, niezależnie od tego, ile zasobów ktokolwiek by w niego zainwestował. Pełny rejestr predykcji znajduje się w Forecast Ledger. Nic z niego nie usuwamy — nawet jeśli prognoza się nie sprawdzi.