NASK dostaje od OpenAI GPT-5.5 Cyber. Polska dołącza do wąskiego grona „zweryfikowanych obrońców"

CERT Polska, zespół reagowania na incydenty komputerowe działający w ramach NASK, uzyskał dostęp do GPT-5.5 Cyber — modelu OpenAI stworzonego specjalnie pod zadania z cyberbezpieczeństwa: wyszukiwanie podatności w kodzie, analizę ścieżek ataku i generowanie poprawek. Instytut podaje, że Polska jest trzecim krajem w Europie i jednym z niewielu na świecie z takim dostępem. Do tej liczby warto wrócić za moment, bo wymaga doprecyzowania.

Zacznijmy od tego, czym ten model właściwie jest, bo PR opisuje go dość ogólnie. GPT-5.5 Cyber to najbardziej zaawansowany wariant cyberbezpieczeństwa w rodzinie OpenAI, udostępniany wyłącznie przez program Trusted Access for Cyber — a więc nie w publicznym ChatGPT ani przez zwykłe API. Jest częścią szerszej inicjatywy OpenAI o nazwie Daybreak, o której pisaliśmy już przy okazji wejścia Check Pointa do jej programu partnerskiego. Sensem Daybreak jest danie „obrońcom" przewagi nad atakującymi w wyścigu, w którym obie strony sięgają po AI.

Co potrafi ten model? Zgodnie z danymi OpenAI radzi sobie z przeszukiwaniem wielkich baz kodu, śledzeniem, czy podatny fragment jest w ogóle osiągalny dla atakującego, walidowaniem luk w kontrolowanym środowisku oraz tworzeniem i testowaniem łatek. W benchmarku CyberGym, mierzącym zdolność odtworzenia znanych podatności, GPT-5.5 Cyber osiąga według producenta 85,6 proc. wobec 81,8 proc. dla zwykłego GPT-5.5. To rzeczywiście narzędzie, które adresuje realne wąskie gardło: znajdowanie poważnych luk wymagało dotąd rzadkiej wiedzy i mnóstwa czasu, na co zwracają uwagę eksperci CERT Polska.

Jest tu jednak istotny wątek, który w komunikacie NASK nie pada, a który dla czytelnika ma znaczenie. GPT-5.5 Cyber to model o podwójnym zastosowaniu (dual-use). OpenAI projektowało go tak, by był bardziej „permisywny" — czyli rzadziej odmawiał — przy zadaniach z pogranicza ofensywy: red teamingu, testach penetracyjnych, walidacji exploitów. Dokładnie dlatego dostęp jest reglamentowany i obwarowany weryfikacją tożsamości oraz obowiązkiem silnego, odpornego na phishing uwierzytelniania. To nie jest zwykły chatbot z lepszą wiedzą o bezpieczeństwie, tylko narzędzie, które w niepowołanych rękach mogłoby posłużyć także do atakowania — i stąd cała maszyneria „zaufanego dostępu".

Teraz obiecane doprecyzowanie liczby. Twierdzenie „trzeci kraj w Europie" trzeba czytać ostrożnie, bo zależy od tego, co dokładnie się liczy. Sama OpenAI wśród potwierdzonych partnerów Trusted Access for Cyber wymieniała już wcześniej m.in. Francję, Niemcy oraz instytucje unijne, w tym agencję ENISA. Możliwe więc, że NASK mówi o konkretnym wariancie dostępu — rządowej ścieżce Government Trusted Access for Cyber dla jednostek państwowych, i o pełnym modelu GPT-5.5 Cyber, a nie o jego łagodniejszej wersji. W tej wąskiej kategorii Polska faktycznie może być trzecia. Warto jednak wiedzieć, że „elitarne grono" jest różnie liczone w zależności od poziomu dostępu, i nie brać hasła z nagłówka za twardy, jednoznaczny fakt.

Dyrektor NASK Radosław Nielek tłumaczy ten dostęp renomą instytutu i — co ciekawie ujmuje — „kontaktami osobistymi i zaufaniem". Podkreśla zarazem rzecz, którą warto docenić w czasach entuzjastycznych zapowiedzi: że narzędzie pozostaje narzędziem, a na końcu analizy zawsze stoi człowiek, który weryfikuje to, co zrobił model. To rozsądne postawienie sprawy, spójne zresztą z tym, jak samą technologię opisuje OpenAI — pełna automatyzacja nie jest tu celem, model ma przygotowywać materiał do ludzkiej oceny, nie zastępować analityka.

Po stronie OpenAI wypowiada się Tom Duff-Gordon, odpowiedzialny za politykę w regionie EMEA, wpisując współpracę z Polską w narrację o ochronie infrastruktury krytycznej i „wspieraniu tych, którzy chronią nasze demokracje". To język typowy dla komunikatów firmy, którą trzeba czytać z tą świadomością — dla OpenAI program rządowego dostępu jest też sposobem budowania pozycji wśród państwowych instytucji. Nie unieważnia to wartości samego narzędzia dla CERT Polska, ale pokazuje, że interes jest tu obopólny.

Polecana lektura

"50 idei, które powinieneś znać. AI Sztuczna inteligencja"

To jest link afiliacyjny. Kupując za jego pomocą, wspieracie rozwój bloga, a cena dla Was pozostaje bez zmian.

Sprawdź cenę

Marcin Dudek, kierujący CERT Polska, mówi wprost, że jego zespół potrzebuje takich rozwiązań, by wykrywać i łatać podatności, zanim zrobią to atakujący — i zapowiada dalsze dzielenie się doświadczeniami z użycia dużych modeli językowych na stronie zespołu. To akurat konkret, który warto śledzić: praktyczne wnioski z realnego użycia takiego modelu w państwowym CERT-cie będą ciekawsze niż sam fakt uzyskania dostępu. Bo to, że narzędzie trafiło do Polski, jest dobrą wiadomością. Co CERT Polska z niego realnie wyciśnie, pokażą dopiero kolejne miesiące.

Źródło: materiał prasowy NASK