Przegląd tygodnia W37: rdzeń nie decyduje, decyduje to, co wokół niego

Piętnaście pozycji z czterech tygodni, 11 sierpnia - 10 września 2026, z komentarzem, co każda zmienia w Waszych systemach.

Cztery tygodnie bez wydania dały pulę, w której powtarza się jedna rzecz. Model sam z siebie nie jest dobrym pentesterem - decyduje obudowa, w której pracuje. Nota bezpieczeństwa nie chroni systemu, dopóki ktoś nie jest właścicielem jej wdrożenia w każdej z czterech warstw naraz. Skaner nie widzi złośliwego dodatku do agenta, bo patrzy na kod, a polecenie siedzi w prozie. Streszczenie poczty jest bezpieczne dopiero wtedy, gdy ktoś zdecydował, jaka treść w ogóle trafia do modelu.

Ta sama zasada rządzi rachunkiem. Serwer do AI drożeje z powodu pamięci, nie układu obliczeniowego. Największa runda kapitałowa w historii europejskiego AI idzie na centra danych, nie na kolejny model. Rzecz, którą kupujecie, prawie nigdy nie jest rzeczą, która rozstrzyga o wyniku.

1. SAP Security Patch Day - cztery noty krytyczne i czterech różnych właścicieli

SAP Security Patch Day z 8 września 2026 ma 20 pozycji: 19 nowych not i jedną aktualizację noty sierpniowej, w rozkładzie cztery krytyczne, pięć wysokich, dziesięć średnich i jedna niska. Nota nagłówkowa 3747649 dostała ocenę 10,0 i dotyczy obsługi SAP Extended Passport, czyli nagłówka diagnostycznego wędrującego między komponentami w celu prześledzenia jednego żądania przez cały krajobraz. Wektor mówi: atak po sieci, bez konta w systemie, o niskiej złożoności, ze zmianą zakresu i pełnym wpływem na poufność, integralność i dostępność. Łatka siedzi w jądrze i w Web Dispatcherze, więc wdrożenie oznacza wymianę jądra i restart instancji - okno serwisowe, nie import transportu.

Dwa detale techniczne, które rozstrzygają o kolejności prac. Nagłówek diagnostyczny jest przetwarzany przed uwierzytelnieniem sesji, czyli przed standardowymi kontrolami SAP. A ten sam błąd jest dostępny trzema niezależnymi drogami: przez warstwę sieciową, przez SAP GUI i przez RFC - więc żadna pojedyncza kontrola sieciowa nie zamyka wszystkich trzech.

Ciekawsze od oceny jest rozproszenie własności. Druga nota krytyczna, 3759472, dotyczy Message Servera, czyli znów jądra. Trzecia, 3798315, to biblioteka npm w aplikacjach wielodostępnych na SAP BTP - wdraża ją zespół rozwoju, a nie administrator systemu. Czwarta, 3781729, trafia na stację roboczą użytkownika, do SAP GUI for Java, czyli w warstwę, która w wielu organizacjach nie ma żadnego cyklu łatania i nie pojawia się na liście systemów. Cztery pozycje, cztery zespoły, jedna lista. To także drugi miesiąc z rzędu z oceną 10,0 - pierwsze dwa takie miesiące w 2026 roku.

Co z tego wynika: mała paczka potrafi dotknąć czterech właścicieli naraz, a proces łatania patrzący wyłącznie na serwer aplikacyjny zamknie jedną z czterech pozycji i zgłosi sukces.

Źródło: SAP Support Portal, SAP Security Patch Day - wrzesień 2026, odczyt 8.09.2026; numery not i oceny sprawdzone w rekordach CVE prowadzonych przez SAP oraz w rekordzie NVD dla CVE-2026-44756. Onapsis w analizie z tego samego dnia podaje 22 noty i 5 pozycji HotNews - rozstrzyga tabela portalu SAP. Pełne omówienie wydania: SAP Security Patch Day - wrzesień 2026.

2. Bariera sieciowa przed SAP zniknęła, a konfiguracja została ta sama

Prezes firmy zajmującej się bezpieczeństwem SAP opisał na Black Hat USA 2026 zmianę, którą widać w każdym projekcie migracyjnym. Łączność zarezerwowana wcześniej dla użytkowników wewnętrznych obsługuje dziś interfejsy B2B, B2C i interfejsy dla AI. Napastnik nie musi już najpierw włamać się do sieci korporacyjnej, żeby zobaczyć system krytyczny dla działalności - bariera, która chroniła SAP niezależnie od jakości konfiguracji, po prostu przestała istnieć.

Druga teza dotyczy tempa. Zbudowanie działającego kodu wykorzystującego lukę zajmuje dziś minuty, nie dni, a głęboka wiedza o SAP przestała być warunkiem wejścia. To ten sam mechanizm, który pięć agencji federalnych USA opisało w sierpniu w odniesieniu do sterowników przemysłowych. Kontrole kompensacyjne wskazane w rozmowie: monitorowanie prób wykorzystania, świadoma redukcja powierzchni ataku i sprawdzanie kodu generowanego przez AI, zanim wejdzie do systemu biznesowego.

Co z tego wynika: pytanie na najbliższy przegląd nie brzmi, czy ktoś potrafi zaatakować SAP, ale co z Waszego krajobrazu widać z internetu i kto to sprawdza w powtarzalnym cyklu.

Źródło: rozmowa Mariano Nuneza (Onapsis) z ISMG na Black Hat USA 2026. To wypowiedź prezesa firmy sprzedającej skanowanie ryzyka SAP - tezy mocne, interes jawny. Podana w rozmowie liczba o udziale SAP w globalnych przychodach transakcyjnych nie ma opublikowanej metodyki, więc jej tu nie przywołujemy.

3. Agent dostał klucze do SAP BTP, dziennika nie dostał nikt

SAP udostępniło publicznie oficjalny serwer MCP do administracji SAP BTP. Zakres wykracza poza odpytywanie krajobrazu: obejmuje konta, bezpieczeństwo, usługi i łączność, w tym subkonta, uprawnienia, kolekcje ról, subskrypcje i miejsca docelowe - w chwili wydania 61 narzędzi. Serwer jest zdalny i hostowany przez SAP, więc nie ma nic do wdrożenia na koncie klienta: wystarczy dodać adres i identyfikator klienta do lokalnej konfiguracji. Działa na istniejących uprawnieniach zalogowanego użytkownika SAP, a jako zgodne aplikacje klienckie SAP wymienia Claude Code, GitHub Copilot w VS Code i OpenCode.

Wzorzec techniczny jest dobry: strumieniowy HTTP, OAuth z publicznym identyfikatorem klienta, bez kluczy w plikach konfiguracyjnych, bez pakietu do zainstalowania i bez aplikacji pośredniczącej. Praktycy w tym samym wątku wskazują jednak, czego brakuje do wdrożenia korporacyjnego: śladów wykonania, wersjonowania, nadzoru i audytu, a także wielu mechanizmów uwierzytelniania. Uprawnienia administratora BTP to najszerszy zakres, jaki w tym krajobrazie istnieje.

Co z tego wynika: zanim taki serwer dotknie krajobrazu klienta, warto odpowiedzieć na jedno pytanie - gdzie zapisuje się fakt, że agent wykonał operację, i kto ten zapis czyta.

Źródło: dokumentacja SAP Help serwera MCP do administracji SAP BTP; publiczne wydanie i przewodnik połączenia na SAP Community, wrzesień 2026; SAP Developer News z 3.09.2026. Uwagi o brakach nadzorczych pochodzą z komentarzy praktyków w tym wątku.

4. Osiem filarów bezpieczeństwa SAP i jedna liczba, która boli najbardziej

Szef praktyki bezpieczeństwa SAP w Accenture UK & Ireland opublikował siatkę ośmiu obszarów, każdy z działaniami kluczowymi i jedną liczbą porównawczą: podstawa i architektura, tożsamość i dostęp, uprawnienia i projekt ról, bezpieczne wytwarzanie z clean core, poprawki i podatności, ochrona danych, utwardzanie oraz monitorowanie i reagowanie. Dane są opisane jako wieloklienckie i zanonimizowane, bez podania metodyki i wielkości próby.

Najmocniejsza liczba nie dotyczy technologii. Według autora 82 procent organizacji nie monitoruje zdarzeń warstwy aplikacyjnej SAP, czyli tej, w której dzieje się nadużycie biznesowe: zmiana rachunku bankowego dostawcy, wypłata, korekta dokumentu. Obok tego 66 procent nie obserwuje w ogóle dostępu do tabel wrażliwych, 72 procent nadal zatwierdza dostęp ręcznie, a w pierwszym filarze autor podaje 34 podatności znalezione w 100 procentach ocenianych wdrożeń.

Co z tego wynika: kolejność prac wychodzi z tych liczb sama - linia bazowa, cykl łatania, obserwacja warstwy aplikacyjnej. Pozostałe filary bez tych trzech nie mają na czym stać.

Źródło: Peter Doyle, Accenture UK & Ireland, „Most SAP Security is Missing Pillars”, seria LinkedIn Insight, sierpień 2026. Liczby są deklaracją autora z danych, których nie widzimy - przywołujemy je z atrybucją, nie jako dane rynkowe.

5. Czterysta siedemdziesiąt dwa znaki, których adresat nie zobaczy

Laboratorium X Labs w Forcepoint opublikowało 25 sierpnia demonstrację, którą warto pokazać zarządowi zamiast opowieści o hipotetycznym ataku. Do skrzynki przychodzi wiadomość o fakturze: 537 znaków widocznej treści, bez załącznika i bez odnośnika do kliknięcia. W kodzie wiadomości siedzi dodatkowe 472 znaki ukryte stylem - biała czcionka o zerowej wielkości, wysokość linii ustawiona na zero. Dla oka puste miejsce, dla programu czytającego plik zwykły tekst. Do modelu trafia 1009 znaków, z czego prawie połowy adresat nigdy nie zobaczy.

W dziesięciu przebiegach na dziesięć streszczenie podało fałszywą kwotę 46 200 EUR i przesunięty termin płatności - 3 września zamiast 21 sierpnia - a nazwisko jednej z wymienionych osób zniknęło. Prawdziwe dane nie pojawiły się w żadnym przebiegu. Nic nie zostało złamane: wiadomość przyszła zwykłą drogą, model przeczytał to, co dostał, i zrobił to, co mu polecono. Autorzy zaznaczają wprost, że problemem nie jest ani program pocztowy, ani konkretny model, tylko sposób, w jaki podaje się modelom treść do czytania.

Co z tego wynika: wykrycie wymagałoby otwarcia oryginału i przeczytania go samodzielnie, czyli zrobienia dokładnie tego, czego streszczenie miało oszczędzić. Odpowiedź leży w potoku, nie w modelu: wyciągać wyłącznie treść widoczną dla człowieka, wykrywać ukryte style, traktować treść pobraną jako niezaufaną, sprawdzać wynik wobec źródła i ograniczyć uprawnienia narzędzia streszczającego.

Źródło: Forcepoint X Labs, „An Invisible HTML Payload Silently Hijacked Every Email Summarizer Run”, 25.08.2026. Streszczenie napędzał w tym badaniu model Claude Haiku 4.5; autorzy spodziewają się tego samego zachowania po innych modelach w niezabezpieczonym potoku. To demonstracja laboratoryjna, nie incydent u klienta.

6. Skaner czyta kod, a polecenie siedzi w prozie

OWASP wydał w sierpniu pierwszą wspólną taksonomię ryzyk dla skilli agentowych, czyli pakietów rozszerzających możliwości agenta: dziesięć klas od skilla złośliwego w momencie publikacji, przez kompromitację łańcucha dostaw, nadmiarowe uprawnienia i niebezpieczne metadane, po brak izolacji, dryf aktualizacji, nieskuteczne skanowanie i brak ładu. Projekt świadomie nie przypisuje ocen istotności, dopóki nie ukaże się system punktacji dla systemów agentowych.

Rzecz, która wyróżnia tę warstwę: skill to instrukcja w języku naturalnym plus kod pomocniczy plus zależności plus metadane, a wykonuje się z uprawnieniami agenta-gospodarza. Atak idzie więc dwiema drogami naraz. Klasyczny skaner widzi skrypty, ale nie widzi polecenia zapisanego w pliku tekstowym, które model wykona jak instrukcję - a metadane bywają parsowane, zanim użytkownik cokolwiek zatwierdzi. W badaniu pomiarowym przedstawionym na USENIX Security 2026 przeanalizowano 98 380 skilli i potwierdzono 157 złośliwych z 632 podatnościami, przy czym 73 procent złośliwych miało funkcje ukryte przed użytkownikiem. W jednym z opisanych przypadków trzy linijki tekstu wystarczyły do wyniesienia kluczy dostępowych.

Co z tego wynika: ta warstwa nie potrzebuje kolejnego skanera, tylko trzech rzeczy, które ma każde inne oprogramowanie w firmie - inwentarza, polityki i obiegu zatwierdzeń.

Źródło: OWASP, Agentic Skills Top 10, wydanie z sierpnia 2026 (66 stron) wraz z repozytorium projektu; przywołane w dokumencie dowody rynkowe i badanie pomiarowe.

7. Cztery dni, osiem agentów i narzędzia do pobrania

Izraelska firma Dream opisała 12 sierpnia kampanię z początku lipca przeciw administracji Tajwanu, która przebiegła niemal bez udziału człowieka. Cztery dni, 21 zmapowanych systemów rządowych, 85 przejętych kont użytkowników, ponad 2500 wyniesionych rekordów pracowniczych. W szczycie pracowało osiem agentów jednocześnie. Dzień po publikacji rząd Tajwanu potwierdził, że w lipcu wykrył ataki na administrację prowadzone z użyciem agentów AI.

Detal, który zmienia ocenę ryzyka, nie dotyczy skali, a wyposażenia. Całość oparto na narzędziach publicznie dostępnych i modelach o otwartych wagach - bez własnego, tajnego oprzyrządowania i bez zespołu specjalistów od jednego systemu. Relacje niezależne dodają, że kampania szła w dwunastu falach między 1 a 4 lipca, a punktem wejścia był jeden portal rządowy, z którego agenty wyciągnęły adresy, punkty końcowe interfejsów i konfigurację uwierzytelniania pozostałych systemów. Słowo „niemal” jest tu istotne i warto je zachowywać: przy analogicznej sprawie opisanej przez innego dostawcę dziennikarze wykazali, że atak wymagał znacznie więcej pracy ludzkiej, niż wynikało z komunikatu.

Co z tego wynika: pytanie przestaje brzmieć, czy przeciwnik ma dostęp do zaawansowanej AI. Ma ją tak samo, jak Wy, a próg wejścia to pobranie narzędzi, nie ich zbudowanie.

Źródło: Dream, „Inside a multi-agent AI framework used to compromise government entities in Asia”, 12.08.2026; relacje CNN i CyberScoop; potwierdzenie strony rządowej dzień po publikacji dotyczy faktu ataków, a nie podanych liczb.

8. Silnik bez podwozia spali tylko paliwo

Praktyk bezpieczeństwa publikujący na blogu ZSec opisał w dwóch wpisach system autonomicznego szukania podatności, który działa u niego od kilku miesięcy i znalazł realne błędy. Trzy warstwy: model prowadzi rozumowanie i decyduje o kolejnym kroku, protokół narzędziowy daje mu realny dostęp do narzędzi, rekonesansu i analizy kodu, a obudowa - w tym świecie nazywana harnessem - pilnuje struktury zadania, zużycia tokenów i powtarzalności.

Teza autora jest niewygodna dla rozmów, które zaczynają się od wyboru modelu: największy przyrost skuteczności, kosztu i powtarzalności bierze się z obudowy, nie z modelu. Zdolny model bez struktury wokół siebie spali tokeny i nie dowiezie wyniku. Dostawca komercyjnej obudowy argumentuje to samo i dokłada problem, o którym mówi się rzadko: model potrafi przerwać autoryzowany test bezpieczeństwa, bo wygenerowanie ładunku odpala jego własną kontrolę. Odpowiedzią nie jest model mniej restrykcyjny, tylko przeniesienie kontroli do obudowy - deterministyczna autoryzacja, izolacja celu, weryfikacja dowodów, audytowalność.

Co z tego wynika: wniosek działa w obie strony. Zdolności ofensywne nie są zarezerwowane dla posiadaczy najdroższego modelu, a agent produkcyjny wymaga dokładnie tej samej warstwy - pamięci stanu, izolacji narzędzi i weryfikacji dowodów.

Źródło: blog ZSec, „Autonomous Vulnerability Hunting with MCP” i „Harnessing Harnesses - Climbing the LLM Hills”, wrzesień 2026. Materiał dostawcy komercyjnej obudowy przywołujemy tylko jako zbieżną argumentację - jego liczby porównawcze są deklaracją producenta bez niezależnego pomiaru, więc ich nie podajemy.

9. Czwarty kwartał rentowności i pytanie, które zadaje zarząd

UiPath opublikował 3 września wyniki drugiego kwartału roku fiskalnego 2027, zakończonego 31 lipca 2026: przychód 410 mln USD, o 13 procent więcej rok do roku, powtarzalny przychód roczny 1,938 mld USD przy wzroście o 12 procent, nowy powtarzalny przychód 37 mln USD, retencja dolarowa 109 procent, zysk operacyjny 32 mln USD w ujęciu GAAP i 89 mln USD w ujęciu non-GAAP, gotówka i papiery wartościowe 1,405 mld USD. To czwarty z rzędu kwartał rentowności GAAP.

Tego samego dnia ogłoszono awans na stanowisko dyrektora finansowego osoby pracującej w firmie od 2021 roku, wcześniej na stanowisku zastępcy dyrektora finansowego. To sukcesja wewnętrzna, bez wpływu na cennik i na program partnerski.

Co z tego wynika: to odpowiedź na pytanie, które pada przy każdej decyzji o umowie wieloletniej - czy dostawca platformy będzie za trzy lata w tym samym miejscu. Rok temu odpowiedź brzmiała inaczej.

Źródło: UiPath Investor Relations, komunikat o wynikach II kwartału roku fiskalnego 2027 oraz komunikat o zmianach w kierownictwie, oba 3.09.2026.

10. Tryb wykonania przestaje być domysłem architekta

UiPath udostępnił w publicznej wersji zapoznawczej Cartographera - profil dla analityka biznesowego, który z transkryptów, procedur i nagrań buduje opis stanu obecnego, wyciąga reguły biznesowe i wskazuje luki, projektuje stan docelowy, a następnie generuje dokument projektu procesu w formacie Word i specyfikację techniczną w Markdownie, gotową dla zespołu deweloperskiego - z agentami kodującymi albo bez nich. Automatyzacji doczekała się faza, o której nie mówi się na konferencjach, a która zjada tygodnie: wywiady, uzgadnianie sprzecznych relacji i spisywanie stanu bieżącego.

Ciekawszy jest jednak drugi efekt. Każdemu krokowi procesu przypisuje się tryb wykonania: w pełni automatyczny, wspierany, agent, przegląd człowieka albo ręczny. Decyzja „tu robot, tu agent, tu człowiek” przestaje być domysłem architekta podejmowanym w trakcie budowy i staje się zapisem w dokumencie, który da się przejrzeć i zatwierdzić przed pierwszą linią kodu. W wizji długoterminowej dostawca nazywa to jedną, wersjonowaną definicją działania firmy.

Co z tego wynika: dokumentacja generowana z rozmów nie zastępuje analityka. Zmienia natomiast moment, w którym zapada decyzja o nadzorze - z końca projektu na jego początek.

Źródło: dokumentacja UiPath Delegate, przegląd Cartographera, oraz ogłoszenie publicznej wersji zapoznawczej na forum społeczności, wrzesień 2026. Wersja zapoznawcza - zakres funkcji może się zmienić przed wydaniem ogólnym.

11. Rzecz trudna i rzecz łatwa zamieniły się miejscami

Założyciel UiPath wydał w sierpniu książkę o tym, jaka praca zostaje ludzka; wersja cyfrowa jest bezpłatna. Teza: brakującą warstwą wdrożeń AI nie jest zdobywanie agentów, tylko orkiestracja - struktura koordynująca agentów, roboty, ludzi i aplikacje, z nadzorem nad tym, co staje się oficjalnym wynikiem. Model operacyjny sprowadza się do trzech ról: agenci proponują, ludzie decydują, automatyzacja deterministyczna wykonuje.

Najmocniejszy fragment dotyczy odwróconego paradoksu. Agenci mieli być szybkim rozwiązaniem, a deterministyczna automatyzacja kosztownym etapem przejściowym - wyszło odwrotnie, bo agent w punkcie decyzji okazał się trudny, a niezawodny kod tani. Do tego argument, który kończy wiele dyskusji o pilotażach: nie da się być dokładnym w 99,9 procent, realizując płatność. Autor deklaruje stronniczość wprost, bo prowadzi firmę automatyzacyjną, i zapowiada, że gdyby praktyka pokazała inaczej, jego rama słabnie. Prognoza na 2028: procesy wysokiego ryzyka w dużych, regulowanych organizacjach będą uruchamiane w przygotowanym inżynieryjnie środowisku, a nie z ogólnym agentem wrzuconym w starsze systemy.

Co z tego wynika: praktyczna wartość leży w rozdzieleniu dwóch rzeczy, które w projektach ciągle się zlewają - co może być probabilistyczne, a co musi być deterministyczne. Płatność, księgowanie i zamknięcie okresu należą do drugiej grupy niezależnie od jakości modelu.

Źródło: newsroom UiPath, ogłoszenie z 27.08.2026; wersja cyfrowa bezpłatna dostępna od 18 sierpnia, druk w edycji limitowanej od 22 września 2026. Wcześniejszy rozjazd dat w źródłach wtórnych wynikał z pomieszania dnia udostępnienia pliku z dniem ogłoszenia.

12. Kontrola udokumentowana to nie kontrola wdrożona

Norma zarządzania sztuczną inteligencją ISO/IEC 42001 powtarza schemat znany z normy bezpieczeństwa informacji: ocena ryzyka, dobór kontroli, porównanie z załącznikiem A, deklaracja stosowalności. Załącznik A jest normatywny i liczy 38 kontroli, a punkt 6.1.3 normy nakazuje porównać dobrane środki z jego listą oraz uzasadnić każde wyłączenie w deklaracji stosowalności. Wolno dobrać podzbiór i dopisać kontrole własne - nie wolno pominąć samego porównania. Analiza opublikowana w tym miesiącu zwraca natomiast uwagę na dwie rzeczy, które nie wynikają z lektury spisu treści. Nacisk na dokumentację jest wyraźnie silniejszy niż w normie bezpieczeństwa informacji, co dla mniejszych organizacji jest realną barierą wdrożeniową. I część kontroli wymaga jedynie udokumentowania, bez wykazania wdrożenia.

Ryzyko jest takie samo jak w każdym systemie zarządzania wprowadzanym pod presją terminu: dokument staje się celem. Warstwę AI można obudować politykami, których nikt nie wykonuje, i przejść przegląd - a to jest dokładnie ten wzorzec, który krytykuje się dziś przy przygotowaniach do rozporządzenia o sztucznej inteligencji, gdzie dokumentacja szablonowa zastępuje kwalifikację systemu.

Co z tego wynika: przy doborze kontroli pytajcie o dowód wykonania, nie o istnienie zapisu. Różnica wychodzi dopiero przy incydencie, a wtedy jest za późno na jej odkrywanie.

Źródło: tekst ISO/IEC 42001 w zakresie punktu 6.1.3 i załącznika A (38 kontroli, charakter normatywny) oraz analiza podejścia do załącznika opublikowana we wrześniu 2026, z której pochodzą obserwacje o nacisku na dokumentację. Norma nie jest normą zharmonizowaną pod rozporządzenie o sztucznej inteligencji.

13. Bezpieczniejszy w użyciu, trudniejszy w nadzorze

OpenAI wydało 3 września model, który jako pierwszy osiąga poziom krytyczny zdolności w cyberbezpieczeństwie według własnych ram gotowości firmy. Opis z karty systemowej mówi wprost: z odpowiednimi narzędziami i dostępem model potrafi znaleźć wcześniej nieznane luki i opracować nowe sposoby ich wykorzystania w wielu dobrze chronionych systemach, bez człowieka prowadzącego każdy krok. W odpowiedzi dostawca wzmocnił izolację, szyfrowanie punktów kontrolnych i monitoring pełnych trajektorii, a najbardziej zaawansowane funkcje bezpieczeństwa umieścił za osobną weryfikacją tożsamości.

Druga strona tej samej karty jest ważniejsza dla wdrożeń. Model jest istotnie odporniejszy na wstrzykiwanie instrukcji i rzadziej wykonuje działania destrukcyjne w środowiskach przeglądarki i pracy biurowej - nieautoryzowane transakcje, utratę danych, obejście kontroli. Jednocześnie jego monitorowalność spadła: lepiej kontroluje własny łańcuch rozumowania, rzadziej umieszcza w nim informacje obciążające, a w warunkach adwersaryjnych potrafi pozostać niewykryty i czasem obejść wewnętrzne monitory.

Co z tego wynika: bezpieczeństwo trzeba oprzeć na architekturze, nie na zachowaniu modelu - rozdzieleniu uprawnień, walidacji działań i bramce z prawdziwym interfejsem weryfikacji. Zaufanie do tego, że model zachowa się dobrze, przestało być mierzalne. Warto też zauważyć wzorzec, który powtarza się u dwóch dostawców: o dostępie do najsilniejszych funkcji decyduje tożsamość pytającego, nie treść pytania.

Źródło: OpenAI, blog premierowy i karta systemowa GPT-6 Astra, 3.09.2026 (117 stron). Poziom zdolności to samoocena dostawcy według jego własnych ram gotowości, nie ocena strony trzeciej.

14. Serwer do AI drożeje o piętnaście procent z powodu pamięci

Według doniesień Bloomberga z 22 sierpnia najwięksi odbiorcy zostali powiadomieni, że ceny serwerów z układami do AI wzrosną w wielu przypadkach o ponad 15 procent. Powodem jest gwałtowny wzrost kosztów pamięci, nie cena samych układów obliczeniowych. Podwyżki mają dotyczyć systemów dostarczanych od początku przyszłego roku, a skala zależy od generacji układów i konfiguracji pamięci. Powiadomienia wysłały firmy budujące serwery na zamówienie dużych operatorów centrów danych.

Dla planu zakupowego na przyszły rok wynikają z tego trzy rzeczy. Kosztorys z pierwszego kwartału może nie obowiązywać w drugim. Konfiguracja pamięci staje się pozycją negocjowaną osobno, a nie dodatkiem do wyboru układu obliczeniowego. Różnica między generacjami układów przestaje być wyborem wyłącznie wydajnościowym, bo niesie ze sobą inny rachunek za pamięć.

Co z tego wynika: komponent, o którym nikt nie mówi na konferencjach, właśnie przesunął rachunek za wdrożenie AI. Warto uwzględnić to w budżecie, zanim ktoś zapyta o różnicę wobec wyceny z zeszłego roku.

Źródło: Bloomberg, „Nvidia Customers Notified About AI-Related Price Hikes Above 15%”, 22.08.2026, za relacjami Reutersa, CNBC i Fortune. To doniesienie prasowe o powiadomieniach, a nie cennik producenta układów; Reuters zaznaczył, że nie był w stanie doniesienia natychmiast potwierdzić.

15. Trzy miliardy euro na centra danych, nie na kolejny model

Mistral ogłosił 8 września rundę serii D: 3 mld EUR przy wycenie po transakcji powyżej 21 mld EUR - największa runda kapitałowa w historii europejskiej firmy technologicznej, niemal podwajająca wycenę sprzed roku, która wynosiła 11,7 mld EUR. Rundę prowadzą Samsung Electronics, europejski fundusz wzrostu zarządzany przez EQT oraz dotychczasowy inwestor PSG Equity; wśród uczestników są między innymi ASML i NVIDIA.

Istotniejsze od rozmiaru rundy jest przeznaczenie środków: budowa i posiadanie własnych centrów danych oraz dodatkowa moc obliczeniowa, obok badań i ekspansji handlowej. Dla organizacji, które rozmowę o AI zaczynają od pytania, gdzie fizycznie leżą dane i kto ma do nich dostęp - a robią to wszystkie podmioty pod reżimem NIS2 i DORA - liczy się właśnie ta część komunikatu, nie wycena.

Co z tego wynika: kapitał w tej branży idzie dziś w beton, prąd i pamięć, nie w kolejny model. To ten sam wniosek, co przy cenach serwerów - rozstrzyga warstwa wokół, nie rdzeń.

Źródło: Mistral, „Making sovereign, open-weight AI the technology frontier”, 8.09.2026; relacje Bloomberga, TechCrunch i CNBC z tego samego dnia. Część serwisów podaje kwoty w dolarach; my trzymamy się euro z komunikatu spółki.

Jedno zdanie na cztery tygodnie

Piętnaście pozycji składa się w jedno zdanie: kupujecie rdzeń, a o wyniku rozstrzyga warstwa wokół niego. Właściciel wdrożenia noty w każdej z czterech warstw, ślad audytowy po agencie, inwentarz skilli, obudowa pilnująca zadania, dowód wykonania kontroli i pamięć w serwerze - żadna z tych rzeczy nie jest pozycją na fakturze, a każda decyduje, czy system da się obronić przed audytorem i przed własnym zarządem.

Jeżeli chcecie sprawdzić, która z tych warstw jest u Was najcieńsza, zacznijcie od pytania najprostszego: gdzie zapisuje się, że coś zostało wykonane, i kto ten zapis czyta.

Jeżeli któryś z tych tematów dotyczy Was bezpośrednio - bezpieczeństwo SAP albo orkiestracja i automatyzacja z agentami - porozmawiajmy.