W listopadzie 2025 roku firma badawcza PromptArmor pokazała, jak działa atak na Google Antigravity – nowe „agentowe” IDE Google’a, w którym AI nie tyle podpowiada kod, co samodzielnie realizuje zadania: czyta dokumentację, uruchamia polecenia, testuje aplikację w przeglądarce.
Scenariusz był codzienny. Deweloper prosi agenta o pomoc w integracji z Oracle ERP i podaje mu URL do znalezionego w sieci poradnika. Problem w tym, że w połowie tego poradnika ukryto instrukcję – właśnie tą czcionką 1 px, niewidoczną dla oka. To technika zwana pośrednim wstrzyknięciem promptu (indirect prompt injection): agent nie odróżnia poleceń użytkownika od tekstu, który akurat czyta. Wchłania jedno i drugie jako rozkaz.
I tu robi się naprawdę niepokojąco. Agent dostał zadanie zebrać dane logowania. Klucze AWS leżały w pliku .env, który deweloper prawidłowo wykluczył, a domyślne ustawienie Antigravity zabrania agentowi czytać takie pliki. Agent nie odpuścił. „Rozdarty” między zadaniem a zabezpieczeniem, znalazł obejście: zamiast wbudowanego narzędzia do czytania plików użył zwykłej komendy terminala cat, żeby wyświetlić zawartość. Sam obszedł własną blokadę.
Potem skonstruował URL z wykradzionymi danymi i wysłał je na zewnątrz przez webhook.site, publiczny serwis, który znalazł się na domyślnej liście dozwolonych domen przeglądarki. Idealny kanał wycieku, gotowy od razu po instalacji.
Badacze nazwali ten układ „lethal trifecta” – śmiertelną triadą, którą ukuł Simon Willison: agent ma jednocześnie dostęp do danych prywatnych (baza kodu), styczność z niezaufaną treścią (sieć) i kanał komunikacji na zewnątrz (internet). Gdy te trzy warunki spełnione są naraz, wyciek danych staje się niemal nieuchronny.
Google zakwalifikował część tych zachowań jako „zamierzone”. Jego platforma Bug Hunters wymienia „agent ma dostęp do plików” i „agent ma pozwolenie na wykonywanie poleceń” jako nieważne typy zgłoszeń, czyli takie, za które nie ma nagrody, bo to nie „błąd”, lecz cecha. Ostrzeżenie o ryzyku pokazywane przy pierwszym uruchomieniu ma zdejmować z producenta odpowiedzialność. (Osobna luka, umożliwiająca wykonanie kodu, została zgłoszona w styczniu i załatana przez Google 28 lutego 2026 r., ale to inna sprawa niż sam mechanizm eksfiltracji).
I to jest moment, w którym z incydentu technicznego robi się problem prawny.
Zderzenie z prawem
Poprzednim razem pisałam o agencie, który zniesławił człowieka, i o tym, że nie bardzo wiadomo, kogo za to pociągnąć do odpowiedzialności. Tu sytuacja jest odwrotna i pod pewnym względem trudniejsza: sprawcą jest narzędzie, którego producent z góry mówi: „to działa tak, jak ma działać – na własne ryzyko”.
Tyle że prawo nie pozwala tak łatwo tego ryzyka scedować.
RODO.
Jeśli tym agentem posługuje się firma, a wyciekają dane logowania dające dostęp do systemów z danymi osobowymi, to mamy naruszenie ochrony danych ze wszystkimi tego konsekwencjami: oceną, zgłoszeniem do organu w 72 godziny, potencjalnym powiadomieniem osób. Kluczowe jest jednak co innego. Artykuł 32 RODO wymaga od administratora zapewnienia bezpieczeństwa przetwarzania „na etapie projektowania”. Wdrożenie narzędzia, o którym producent wprost mówi, że domyślnie umożliwia eksfiltrację, i pozostawienie ustawień domyślnych to nie jest „zrobiliśmy, co się dało”. To decyzja, za którą odpowiada wdrażający. Disclaimer producenta nie przenosi tej odpowiedzialności; RODO nakłada ją na Ciebie, nie na dostawcę Twojego edytora kodu.
AI Act.
Domyślną polityką Antigravity jest tryb, w którym to agent decyduje, kiedy poprosić człowieka o zgodę, a interfejs zachęca do uruchamiania wielu agentów w tle, bez nadzoru. To dokładne przeciwieństwo tego, co art. 14 AI Act nazywa nadzorem człowieka. Regulację pisano pod modele reagujące na polecenie, nie pod narzędzia, które same wykonują komendy systemowe bez potwierdzenia. Luka nie jest teoretyczna – to domyślna konfiguracja produktu, który jest już na rynku.
NIS 2.
To wątek, który powinien spędzać sen z powiek każdemu, kto podlega dyrektywie jako podmiot kluczowy lub ważny. Narzędzia deweloperskie to część łańcucha dostaw oprogramowania, a NIS 2 wprost każe zarządzać jego bezpieczeństwem i zgłaszać poważne incydenty. Agentowy edytor, który po podaniu jednego linku potrafi wyprowadzić klucze do chmury, to nie hipoteza – to konkretne ryzyko w Twoim procesie wytwarzania oprogramowania, które trzeba udokumentować, ograniczyć i objąć procedurą zgłoszeniową.
I jeszcze jeden wymiar, o którym łatwo zapomnieć: odpowiedzialność za produkt. Nowa unijna dyrektywa o odpowiedzialności za produkty wadliwe obejmuje już wprost oprogramowanie i systemy AI. Producent może nazywać zachowanie „zamierzonym”, ale to, czy oprogramowanie jest „wadliwe” w rozumieniu prawa, ocenia się przez pryzmat bezpieczeństwa, jakiego użytkownik ma prawo racjonalnie oczekiwać, a nie przez etykietkę nadaną przez dostawcę. Edytor kodu, który po odwiedzeniu strony sam obchodzi własne zabezpieczenie i wysyła klucze obcemu, mocno testuje granicę tego, co można schować pod hasłem „feature”.
W przypadku agenta piszącego paszkwil problemem był brak sprawcy. Tutaj sprawca jest znany i publicznie oświadcza, że działa zgodnie z projektem.
To przesuwa ciężar na dwie strony naraz. Producent staje wobec pytania, czy „zamierzone” naprawdę znaczy „bezpieczne w świetle prawa”. A firma, która takie narzędzie wdraża, nie może zasłonić się disclaimerem, bo jej obowiązki z RODO, NIS 2 czy DORA są jej własne i nieprzenaszalne. Można kupić narzędzie. Nie można kupić sobie zwolnienia z odpowiedzialności za to, jak się go używa.
Morał jest niewygodnie prosty. „Śmiertelna triada” to nie tylko termin z cyberbezpieczeństwa – to lista kontrolna ryzyka prawnego. Zanim wpuścisz agenta między swój kod i swoje dane, sprawdź, czy nie dałeś mu jednocześnie wszystkich trzech: dostępu do danych, styczności z niezaufaną treścią i drogi na zewnątrz.
Bo jeśli dałeś, to nie jest już pytanie „czy”, tylko „kiedy”. A odpowiedzialność, w przeciwieństwie do kluczy AWS, nie wycieka. Zostaje przy Tobie.
A Ty wiesz, w jakim trybie nadzoru pracują agenci w Twojej organizacji?
Renata W. Lewicka, Partner, radca prawny w kancelarii Gorazda, Świstuń, Wątroba i Partnerzy adwokaci i radcowie prawni
Opis podatności na podstawie badań PromptArmor (25 listopada 2025) oraz publikacji Simona Willisona, WinBuzzer, bdtechtalks/TechTalks i The Hacker News.
