23 października 2026 OpenAI ogłosiło współpracę z NASK – Państwowym Instytutem Badawczym w zakresie bezpieczeństwa AI, cyberbezpieczeństwa i badań technicznych. Po polskiej stronie umowę realizuje Ośrodek Badań nad Bezpieczeństwem AI w NASK, który pełni rolę polskiego AI Safety Institute.
Od razu uczciwie: w ogłoszeniu nie ma budżetu, harmonogramu, listy projektów ani niczego skierowanego do małych i średnich firm. Szczegółów operacyjnych nie podano.
Czy to znaczy, że temat Cię nie dotyczy? Nie do końca. Ta sama para, NASK i modele OpenAI, już raz miała realny wpływ na firmowy sprzęt w Polsce. Chodzi o routery MikroTik. Poniżej rozdzielamy trzy rzeczy: co podpisano teraz, co działa od lipca i co możesz zrobić sam, za darmo, w tym tygodniu.
Co dokładnie ogłoszono
Według relacji Reutersa i Unite.AI współpraca ma dotyczyć wspólnych badań: jak oceniać coraz bardziej zaawansowane systemy AI, jak wykrywać ich podatności i jak wzmacniać zabezpieczenia.
Dyrektor NASK Radosław Nielek nazwał porozumienie naturalnym krokiem. Wymienił obszary, którymi zajmuje się ośrodek: zabezpieczenia przed nowymi ryzykami, wykrywanie treści generowanych przez AI, złośliwe użycia AI i to, jak te problemy wyglądają w różnych językach. Jego zdaniem bezpieczeństwa AI nie da się zbudować w pojedynkę, potrzebna jest współpraca instytutów publicznych z twórcami najbardziej zaawansowanych modeli.
Tom Duff Gordon, wiceprezes OpenAI odpowiedzialny za politykę w regionie EMEA, zwrócił uwagę na polskich naukowców, w tym takich, którzy współtworzyli badania OpenAI. Jak podaje OpenAI w komunikacie cytowanym przez Unite.AI, im bardziej zdolne są systemy AI, tym bardziej potrzebna jest zewnętrzna ekspertyza, która zakwestionuje założenia i przetestuje modele.
OpenAI wpisuje tę umowę w swój postulat międzynarodowych standardów technicznych dla najbardziej zaawansowanych modeli, opartych na instytutach bezpieczeństwa AI. Podobnie współpracuje już z instytucjami w USA i z brytyjskim AI Security Institute.
Reuters zwraca uwagę na tło: rośnie liczba incydentów z agentami AI, które robią więcej, niż powinny. Wcześniej OpenAI samo opisało, jak jego agenci wydostali się z izolacji i włamali do Hugging Face. Pisaliśmy o tym w tekście AI uciekło z sandboxa.
Uwaga na źródła: oryginalny komunikat OpenAI nie był dla nas dostępny, a na moment pisania nie znaleźliśmy też komunikatu NASK ani polskich relacji. Wypowiedzi znamy z drugiej ręki, dlatego je parafrazujemy.
To nie pierwszy krok: GPT-5.5 Cyber w CERT Polska od lipca
Umowa z 23 października to osobna sprawa od tej z lata. Nie mieszajmy ich.
2 lipca 2026 NASK ogłosił, że Polska jako trzeci kraj w Europie dostała dostęp do GPT-5.5 Cyber, modelu OpenAI do wykrywania i analizy cyberzagrożeń. Korzysta z niego CERT Polska, zespół działający w NASK.
Kilka faktów, które warto znać:
- Model jest udostępniany wyłącznie zaufanym partnerom w programie Government Trusted Access for Cyber, przeznaczonym dla jednostek rządowych.
- Powstał w ramach inicjatywy OpenAI Daybreak.
- Nie jest dostępny komercyjnie. Twoja firma go nie kupi i nie dostanie.
Według Nielka (wypowiedź dla „Rzeczpospolitej”, za TVN24) NASK używa modelu między innymi do skanowania systemów, z których korzysta administracja publiczna i firmy w Polsce, oraz do testowania własnych rozwiązań. Celem jest szybsze wykrywanie i łatanie luk. Nielek podkreśla też, że takie narzędzia działają dobrze tylko w rękach człowieka: to człowiek weryfikuje wynik analizy modelu.
Jak to wygląda w praktyce: sześć luk w routerach MikroTik
Tu kończą się deklaracje, a zaczyna coś, co może stać w Twojej szafce z siecią.
5 września 2026 CERT Polska poinformował, że zidentyfikował i skoordynował ujawnienie sześciu podatności w MikroTik RouterOS. Dwie z nich są krytyczne. Co gorsza, były aktywnie wykorzystywane do przejmowania urządzeń, które mają SSH dostępne z internetu.
Dwie z tych luk połączone w łańcuch, nazwany MikroTrick, dają atakującemu pełne uprawnienia administratora bez hasła i bez klucza SSH. 10 września dwie z tych podatności trafiły do amerykańskiego katalogu CISA KEV, czyli listy luk aktywnie wykorzystywanych, z trzydniowym terminem na usunięcie.
Skąd w tym wszystkim AI? Luki znalazł Sławomir Rozbicki z CERT Polska, korzystając z modeli GPT-5.5-cyber i GPT-5.6-sol (w programie GTAC OpenAI). Pracował w agentowym środowisku badawczym, a badacze pilnowali zakresu działań. Laboratorium liczyło 40 maszyn i 24 wydania RouterOS. CERT używa też lokalnie modeli otwartych, między innymi PLLuM.
Najważniejszy wniosek CERT jest niewygodny: AI skraca analizę poprawek do kilkudziesięciu godzin. Atakujący też to potrafią. Ale AI nie skraca czasu, którego Ty potrzebujesz na aktualizację.
Masz MikroTika? Sprawdź to dziś
Zalecenia na podstawie komunikatów CERT Polska z 5 i 22 września:
- Sprawdź wersję RouterOS. Poprawki MikroTik wydał 3 września 2026 w wersjach 7.25beta3, 7.24.2, 7.23.4 i 6.49.21.
- Jeśli masz 7.24.2 albo 7.23.4, to jeszcze nie koniec. Według CERT te wersje miały niepełną poprawkę jednej z luk, więc takie urządzenie trzeba zaktualizować ponownie. Aktualne zalecenia znajdziesz na cert.pl.
- Zajrzyj na listę użytkowników. Obecność uprzywilejowanego konta „ops” to według CERT wskaźnik, że urządzenie zostało przejęte.
- Nie wystawiaj SSH na świat. Ataki dotyczyły urządzeń z SSH dostępnym z internetu.
Nie wiesz, jaki router masz w biurze? To też odpowiedź. Zapytaj osobę, która go montowała.
Co to zmienia dla małej firmy (a co nie)
Wprost: umowa z 23 października nie daje firmom nowych usług, szkoleń ani dofinansowań. Przynajmniej nic takiego nie ogłoszono. Jeśli ktoś w najbliższych tygodniach zaoferuje Ci „certyfikowane szkolenie w ramach programu OpenAI i NASK”, dopytaj o źródło.
Pośrednio zmienia się jedno. Instytucje publiczne z dostępem do najmocniejszych modeli szybciej znajdują luki w popularnym sprzęcie i oprogramowaniu. Dla Ciebie oznacza to więcej pilnych aktualizacji i krótszy czas na reakcję. AI przyspiesza obrońców i atakujących w tym samym tempie.
Czyli realny ruch jest po Twojej stronie: aktualizacje, przegląd tego, co masz wystawione do internetu, i korzystanie z bezpłatnych narzędzi, które już istnieją.
3 rzeczy do zrobienia w tym tygodniu
Ważne rozróżnienie: poniższe usługi CERT Polska działają niezależnie od umowy z OpenAI. Nie są jej efektem. Są bezpłatne i możesz z nich skorzystać od razu.
1. Załóż konto na moje.cert.pl
moje.cert.pl to bezpłatne narzędzia CERT Polska dla osób i firm. Po założeniu konta dostajesz:
- skanowanie bezpieczeństwa Twojej domeny skanerem Artemis,
- powiadomienia o wyciekach haseł z kont w Twojej domenie,
- informacje o zdarzeniach sieciowych, na przykład infekcjach.
Masz firmową domenę i skrzynki w niej? To jest dla Ciebie.
2. Zapisz sobie incydent.cert.pl
incydent.cert.pl to formularz zgłaszania incydentu do CERT Polska. Dodaj go do zakładek albo do firmowej instrukcji na wypadek problemów. W stresie nikt nie szuka adresów w Google.
3. Przejrzyj aktualizacje sprzętu sieciowego
Router, firewall, punkt dostępowy Wi-Fi. Sprawdź, kiedy ostatnio były aktualizowane i czy panel administracyjny albo SSH są dostępne z internetu. Jeśli masz MikroTika, wróć do listy wyżej.
Szersze spojrzenie na ochronę danych w firmie znajdziesz w tekście Bezpieczeństwo danych: na co zwrócić uwagę.
FAQ
Co to jest NASK?
NASK – Państwowy Instytut Badawczy to państwowy instytut, w którym działają CERT Polska oraz Ośrodek Badań nad Bezpieczeństwem AI. Ten drugi pełni rolę polskiego AI Safety Institute i to on jest stroną współpracy z OpenAI.
Czym zajmuje się CERT Polska?
CERT Polska to zespół działający w NASK. Przyjmuje zgłoszenia incydentów i publikuje ostrzeżenia oraz analizy na cert.pl. Przykład: we wrześniu 2026 skoordynował ujawnienie sześciu luk w MikroTik RouterOS. Udostępnia też bezpłatne narzędzia moje.cert.pl i formularz incydent.cert.pl.
Czy moja firma może korzystać z GPT-5.5 Cyber?
Nie. Model jest dostępny wyłącznie dla zaufanych partnerów w programie Government Trusted Access for Cyber, przeznaczonym dla jednostek rządowych. Nie jest sprzedawany komercyjnie.
Czy moje.cert.pl jest płatne?
Nie, narzędzia są bezpłatne. Trzeba tylko założyć konto.
Czy umowa OpenAI i NASK daje coś firmom?
Na dziś nic bezpośrednio. W ogłoszeniu z 23 października 2026 nie podano budżetu, harmonogramu, projektów ani oferty dla firm.
Co dalej
Umowa OpenAI i NASK to na razie ramy, bez konkretów. Konkrety już są gdzie indziej: łatki do routerów, darmowy skaner domeny i formularz zgłoszenia incydentu. To one chronią Twoją firmę dziś.
Używasz AI w firmie i nie wiesz, gdzie masz dziury? Napisz do nas. Zrobimy przegląd Twoich narzędzi i automatyzacji pod kątem bezpieczeństwa.
