Mesh Refinement

Ostatnio mnożą się alerty o podatnościach bezpieczeństwa związanych z pośrednimi atakami typu prompt injection. Główny wniosek brzmi: LLM-y są łatwowierne i nikt nie wie, jak uczynić je całkowicie odpornymi. W związku z tym żaden system AI nie jest bezpieczny.

To oczywiście całkowita prawda i uwaga, jaką przyciągają te ataki, jest jak najbardziej pożądana, ale główne pytanie pozostaje bez odpowiedzi: co z tym właściwie zrobić?

Puryści forsowaliby zakaz wszelkich zewnętrznych danych wejściowych, które mogłyby prowadzić do prompt injection, ale szczerze mówiąc, nie byłbym aż tak pryncypialny. Wiele naprawdę użytecznych aplikacji opiera się na zewnętrznym wejściu, więc obawiam się, że musimy się cofnąć do ostatniej linii obrony: dyscypliny inżynierskiej.

Istnieją różne schematy wykorzystujące sprytną interakcję kilku modeli, żeby zminimalizować ich ekspozycję na ataki (zob. na przykład artykuł o CaMeL). Uważam jednak, że za mało uwagi poświęcamy zwykłej sanityzacji danych wejściowych.

Wiele takich ataków opiera się na tekście ukrytym przed człowiekiem, lecz widocznym dla maszyny. Wykrywanie i usuwanie takiego tekstu jest stosunkowo trywialne (w sensie programistycznym), choć wymaga pracy na poziomie kontenera, a nie samego tekstu. Ta technika (nazywana swoją drogą Content Disarm & Reconstruction) istnieje już od dłuższego czasu. Szczerze mówiąc, dziwi mnie, że nie jest wdrożona wszędzie. Nie powstrzymałaby wszystkich ataków, ale utrudniłaby życie mało wyrafinowanemu napastnikowi.

A tym, którzy upierają się, że 99% w bezpieczeństwie to ocena niedostateczna, chciałbym przypomnieć fundamentalną zasadę bezpieczeństwa: żaden system nie jest w 100% bezpieczny. Rolą bezpieczeństwa jest sprawić, żeby atak kosztował więcej niż potencjalna korzyść z niego płynąca (zob. model Gordona–Loeba).

Z tym paradygmatem w głowie możemy budować niezawodne i bezpieczne systemy AI, nawet z niebezpiecznych pojedynczych komponentów.

Kilka rzeczy, które warto wiedzieć o najnowszej premierze GPT-5, a o których ewangeliści nie mówią:

1. GPT-5 nie jest jednym modelem. To, co poza kontekstem API nazywa się GPT-5, jest routerem, który przekazuje twoje zapytanie do modelu mającego, jego zdaniem, obsłużyć je najefektywniej. W tym świetle trzeba patrzeć na obietnicę OpenAI o dostępie dla wszystkich. Dają dostęp do routera, a ty nie znasz konkretnej konfiguracji, którą ci przydzielono, ani tego, czy faktycznie uda ci się przetestować najpotężniejszy model. To bez wątpienia sprawi, że doświadczenia różnych użytkowników będą zupełnie różne.

2. GPT-5 nie jest doktorem nauk. To całkiem zdolny model (a przynajmniej jeden z nich jest), który błyszczy w niektórych zadaniach. Można oczekiwać poprawy w:

   • zdolnościach kodowania (robią wrażenie według części vibe testów, ale według benchmarku SWE-bench Verified przewaga nad Claude Opus 4.1 jest minimalna);
   • wywoływaniu narzędzi, co ma największe znaczenie dla obciążeń agentowych;
   • innych zadaniach, w których OpenAI miało dostęp do natychmiastowego feedbacku.

   To ważne usprawnienia dla wielu dziedzin, ale nie czynią one z modelu doktora nauk. Halucynacja o profilu skrzydła podczas demo doskonale pokazuje, że model wciąż internalizuje przekonanie najpowszechniejsze, a nie najbardziej aktualne. To bardzo trudny problem do rozwiązania i w gruncie rzeczy poważna przeszkoda na drodze do AGI.

3. Mniej halucynacji to broń obosieczna. Z jednej strony im mniej model halucynuje, tym lepiej, bo można mu bardziej ufać. Z drugiej strony im bardziej ufasz modelowi, tym łatwiej przegapisz faktyczne halucynacje. W realnym świecie najlepszy jest model, który nie halucynuje nigdy. Model halucynujący w 0,01% przypadków może być groźniejszy od takiego, który halucynuje w 10% przypadków.

Moje osobiste wrażenie jak dotąd jest takie, że ma on wciąż tę samą przypadłość co poprzednie modele OpenAI: bez starannego promptowania jest naprawdę powierzchowny. Serwuje najpłytszą analizę, jaka mu ujdzie na sucho, i maskuje ten fakt bardzo dobrze ustrukturyzowanymi odpowiedziami.

Google Opal

Google uruchomił publiczny preview swojego nowego narzędzia do graficznego tworzenia wieloetapowych workflow AI. Choć nie nadaje się ono do zastosowań produkcyjnych, świetnie pomaga w budowaniu osobistych narzędzi (a każdy powinien budować osobiste narzędzia, serio, to teraz największy wyróżnik).

Działa na platformie Gemini z modelami Gemini (a jakże) i jako narzędzie w wersji preview jest na razie darmowe. W przyszłości najpewniej będzie korzystać z planu Gemini, jeśli użytkownik go ma. Nie jestem pewien co do własnych kluczy API, bo wygląda to na narzędzie dla szerokiej publiczności, ale zobaczymy.

Na razie jest dostępne wyłącznie w USA.

Na X aż huczy od nowego modelu Horizon Alpha, który w pojedynkę bije wszystkie dotychczasowe modele w rozmaitych vibe testach (czytaj: jednorożce na rowerach i tym podobne). Model ma okno kontekstu 256k, co jest solidną, choć nie najbardziej imponującą liczbą.

Najprawdopodobniej to nowy model OpenAI (GPT-5?), bo tę sztuczkę robili już wcześniej. Można go wypróbować na openrouter.ai zupełnie za darmo, ale pamiętajcie, żeby nie podawać mu żadnych prywatnych danych, bo są one zbierane i wykorzystywane do ulepszania modelu.

Subagenty w Claude Code

Anthropic dodał do Claude Code możliwość tworzenia i używania wyspecjalizowanych subagentów. Subagenty korzystają z osobnego okna kontekstu, co pozwala wykonywać odrębne zadania bez zaśmiecania głównego kontekstu i ogranicza efekt context rot. Utworzone subagenty można uruchamiać ręcznie albo pozwolić Claude Code decydować, kiedy ich użyć.

Co nadaje się na dobrego subagenta? Wszystko, co ma być ekspertem w swojej dziedzinie, nie musi współdzielić kontekstu z głównym agentem, może dostać dedykowane narzędzia i da się zaprojektować do wykonywania samowystarczalnych zadań. Żeby dać przedsmak tego, co można zamienić w subagenta, oto kilka przykładów:

1. Subagent gitowy, na który można zrzucić rozmaite operacje związane z gitem. Ponieważ wystarczy mu lokalny stan gita i nie potrzebuje dostępu do globalnego kontekstu, dobrze sprawdzi się jako narzędzie z własnym oknem kontekstu.
2. Subagent do pisania książek (wiem, wiem, ale tworzę książkopodobne dokumenty w określonym stylu do samokształcenia). Dostaje wysokopoziomowy plan, zestaw materiałów i jedną czy dwie sekcje jako przykłady, a potem pracuje nad swoją sekcją niezależnie od innych subagentów.

Drugi przykład naprawdę zyskałby na możliwości uruchamiania kilku subagentów równolegle, ale wygląda na to, że proszę o zbyt wiele.

Cytując Arvinda Narayanana:

Gdybyśmy porównywali możliwości AI z ludźmi pozbawionymi dostępu do narzędzi, takich jak internet, prawdopodobnie okazałoby się, że AI już teraz przewyższa ludzi w wielu, jeśli nie w większości zadań poznawczych wykonywanych przez nas w pracy. Ale to oczywiście mało pomocne porównanie i niewiele mówi o ekonomicznym wpływie AI. Bez naszych narzędzi jesteśmy niczym.

Modele rozumienia wideo TwelveLabs są już dostępne w Amazon Bedrock

AWS dodaje do Amazon Bedrock natywne embeddingi wideo oraz modele rozumienia wideo. Otwiera to mnóstwo potencjalnych zastosowań, do których wcześniej sięgałem po modele Gemini. Przykładem takiego zastosowania jest system edukacyjny, który obserwuje, jak uczeń wykonuje zadanie, i udziela informacji zwrotnej na podstawie materiałów szkoleniowych.

Bedrock miał już workflow do rozumienia wideo, ale to było dokładnie to: workflow, żadne natywne modele. Możecie sobie wyobrazić, jak to wyglądało—weź wideo, potnij na klatki, wrzuć klatki do VLM, spróbuj utrzymać spójność czasową, popadnij w rozpacz, pogódź się z wydajnością systemu i jedź na urlop.

Teraz jednak mamy nie jeden, a dwa różne natywne modele wideo:

1. TwelveLabs Marengo, do tworzenia embeddingów wideo;
2. TwelveLabs Pegasus, do generowania tekstu na podstawie wideo.

Cennik modeli zależy od tego, czy wideo ma ścieżkę audio, ale trzeba się liczyć z $2.5-$3 za godzinę wideo w przypadku Marengo i $1.8 za godzinę w przypadku Pegasusa.

Jedną z form context rot jest coś, co nazywam samowzmacniającą się strukturą. Kiedy akceptujesz długą odpowiedź modelu, sygnalizujesz, że taka struktura jest w porządku, więc model próbuje generować kolejne odpowiedzi w podobny sposób. Dla każdej dłuższej pracy twórczej może to być destrukcyjne.

Jedyną realną obroną jest zadbanie o to, żeby historia, którą dostaje model, nie zawierała takich odpowiedzi. Trzeba więc albo zapobiec temu wcześnie, albo naprawić to później, podając zamiast faktycznej historii podsumowanie dotychczasowej rozmowy.

Przedstawiamy agenta ChatGPT: pomost między badaniem a działaniem

OpenAI wypuściło agenta, który potrafi sterować twoim komputerem. Wykorzystuje on swoje zaawansowane zdolności rozumowania do planowania i rozwiązywania zadań w aplikacjach takich jak Excel czy PowerPoint.

Podczas gdy Sam Altman „czuje AGI”, patrząc na działanie tego systemu, ja uważam je za niesamowicie toporne. Zamiast skupić się na dostarczaniu modelom natywnych narzędzi (MCP to dobry krok naprzód, choć nie bez własnych problemów), próbuje się emulować dla nich ręce i oczy, żeby modele mogły robić to samo co my, tylko wolno i niezgrabnie.

Uznałbym więc ten typ agenta za tymczasowe obejście, dopóki nie opracujemy lepszych mechanizmów komunikacji maszyna-maszyna. Później będzie on obsługiwał coraz dłuższy ogon systemów legacy, które nigdy nie doczekają się interfejsów zdatnych do użytku maszynowego.

P.S. Gemini podsunął punkt widzenia, którego nie wziąłem pod uwagę: takie systemy mogą zbierać dane potrzebne do trenowania lepszej ucieleśnionej inteligencji, czyli takiej, która potrafi działać w świecie rzeczywistym. To całkowicie słuszna uwaga i nie należy jej zostawiać bez echa.

Raport AI Index 2025 Uniwersytetu Stanforda

Stanford opublikował swój doroczny raport. To dość ważna publikacja, bo oddziela spekulacje od twardych liczb. Obok rzeczy oczywistych (AI staje się lepsze, tańsze i powszechniejsze, a jakże) znajdziemy tam kilka bardzo ciekawych faktów:

1. Choć AI używa już prawie każda organizacja (78% w 2024 roku, choć dla większości z nich bez wątpienia sprowadza się to do pisania maili chatbotem), faktyczne rezultaty są dość skromne. Wzrost produktywności jest rzędu 10% (szczerze mówiąc, taki skok w jeden rok jest w sumie bezprecedensowy), ale wzrost przychodów w większości branż to zaledwie około 5%. Dlaczego? Bo jak w przypadku każdej technologii ogólnego przeznaczenia, pełne wykorzystanie korzyści wymagałoby całkowitej przebudowy struktur organizacyjnych i procesów. Problem w tym, że nikt nie wie, jak te nowe procesy miałyby wyglądać, i będziemy musieli uczyć się na własnych błędach.

2. Może to już nie nowość, ale AI daje większą dźwignię mniej doświadczonym pracownikom. Wielki wyrównywacz naszych czasów. To znów oznacza, że musimy przeformułować podejście do kompletowania zespołów. Dodałbym tylko, że pomaga to wyłącznie wtedy, gdy masz choć mgliste pojęcie o tym, co robisz, więc kandydaci na stanowiska juniorskie: odróbcie porządnie pracę domową.

3. Liczba incydentów związanych z AI wciąż rośnie. W 2024 roku widzimy dwukrotny wzrost względem 2023, a to jeszcze przed gorączkową adopcją agentów i MCP, którą obserwujemy w 2025. Musimy więc zacisnąć zęby i szykować się na coraz więcej wycieków danych i naruszeń integralności.

Raport zawiera znacznie więcej smaczków, ale ma prawie 500 stron, więc gorąco polecam użyć AI do wydobycia tego, co was interesuje.