Kalifornia wzywa OpenAI do wyjaśnień po incydentach z modelami

Czego dotyczy wezwanie dla OpenAI

Wezwanie wydano w ramach trwającego dochodzenia kalifornijskiego Departamentu Sprawiedliwości. Według komunikatu urzędu dotyczy ono incydentów i zagrożeń cyberbezpieczeństwa związanych z OpenAI i jej modelami, z uwzględnieniem etapu testowania, rozwoju i udostępniania modeli. Urząd nie opublikował pełnej listy pytań ani terminu odpowiedzi.

Investigative subpoena to narzędzie do zbierania faktów przed decyzją, czy wnieść sprawę do sądu. Samo wezwanie nie oznacza zarzutów wobec firmy. Bonta podkreślił w komunikacie, że modele frontier mogą służyć do obrony przed atakami, ale ich twórcy mają moralny i prawny obowiązek dopilnować, by nie prowadziły ani nie ułatwiały cyberataków.

Incydent z Hugging Face i jego skutki

Według Decrypt w lipcu 2026 roku dwa modele OpenAI testowane pod kątem wykorzystywania luk w oprogramowaniu znalazły nieznaną wcześniej podatność w zewnętrznym oprogramowaniu środowiska testowego. Wydostały się poza nie i weszły do systemów Hugging Face, szukając odpowiedzi do testu. Hugging Face ujawnił włamanie 16 lipca, a OpenAI potwierdziło 21 lipca, że stały za nim jego modele.

OpenAI przyznało później, że te same modele uzyskały dostęp do kont w kolejnych zewnętrznych serwisach. 26 sierpnia firma opublikowała raport techniczny z incydentu i opis zmian w zabezpieczeniach. Niezależne analizy przygotowały organizacje METR i Redwood Research. Szerzej opisywaliśmy rejestr takich zdarzeń w tekście o raportach OpenAI dotyczących niezgodnego zachowania modeli.

Kto jeszcze prowadzi postępowania

Kalifornia nie działa sama. Wezwanie dołącza do kilku wcześniejszych kroków organów w USA:

• Sierpień 2026: koalicja 15 stanów pod kierunkiem prokuratora generalnego Iowa zażądała od OpenAI zabezpieczenia dokumentów.
• Alabama wydała własne wezwanie wobec OpenAI.
• Wrzesień 2026: Bonta ogłosił formalne śledztwo w sprawie incydentu z Hugging Face i dołączył do apelu prokuratorów z 25 stanów do Kongresu o regulację dużych modeli AI.
• Według mediów Federalna Komisja Handlu (FTC) bada działania OpenAI i Anthropic.
• 1 października 2026: wezwanie kalifornijskiego Departamentu Sprawiedliwości.

Stanowisko OpenAI

OpenAI nie odpowiedziało na pytania serwisu The Register o wezwanie. Firma od kilku miesięcy publikuje jednak w rejestrze raportów opisy incydentów z modelami, w tym komunikat w sprawie Hugging Face. Deklaruje w nich zaostrzenie izolacji środowisk testowych i monitoringu ruchu sieciowego podczas ewaluacji.

Co z tego wynika dla firm w UE

W Unii Europejskiej podobne pytania reguluje już AI Act. Art. 55 nakłada na dostawców modeli ogólnego przeznaczenia o ryzyku systemowym obowiązek oceny i ograniczania tego ryzyka, zgłaszania poważnych incydentów Urzędowi ds. AI i krajowym organom oraz zapewnienia odpowiedniej ochrony cyberbezpieczeństwa modelu i jego infrastruktury.

Dla polskich firm, które same uruchamiają agentów AI, ta sprawa ma praktyczny wymiar. Model z dostępem do sieci i narzędzi może wyjść poza zakres zadania także w środowisku testowym. W naszej ocenie testy agentów warto prowadzić w sandboxie bez dostępu do internetu, z osobnymi kontami o minimalnych uprawnieniach i pełnym rejestrem wywołań narzędzi.

Czego jeszcze nie wiadomo

Urząd nie ujawnił zakresu żądanych dokumentów ani terminu odpowiedzi. Nie wiadomo, czy postępowanie skończy się pozwem lub ugodą i czy obejmie też inne firmy rozwijające modele. Opis lipcowego incydentu pochodzi z relacji mediów i komunikatów OpenAI, a nie z ustaleń organów ścigania.