Uber otworzył swój system ochrony agentów AI, ale część, która blokuje, zostawił u siebie

Agent kodujący w firmie to nie to samo co podpowiadacz w edytorze. Cursor, Claude Code czy Codex nie zatrzymują się na sugerowaniu linijek: same wywołują narzędzia, czytają i zapisują pliki, uruchamiają polecenia w terminalu, sięgają do zewnętrznych usług. Ta samodzielność jest jednocześnie problemem. Jeśli ktoś podrzuci agentowi spreparowaną instrukcję, na przykład ukrytą w treści, którą model akurat czyta, agent potrafi posłusznie zrobić coś, czego nikt mu nie zlecił: wyciągnąć klucze dostępowe, zajrzeć do repozytorium, do którego nie powinien mieć wglądu, albo puścić groźną komendę. W żargonie bezpieczeństwa to atak przez wstrzyknięcie promptu, a agent z dostępem do narzędzi jest na niego dużo bardziej podatny niż zwykły czat.

Uber udostępnił jako open-source system, który ma ten problem ogarniać. Nazywa się ADR i nie jest tylko slajdem z konferencji: firma pisze, że działa u niej na produkcji, a towarzyszący mu artykuł został przyjęty na MLSys 2026, jedną z poważniejszych konferencji o systemach uczenia maszynowego. Recenzja naukowa i wdrożenie w dużej firmie to więcej, niż zwykle stoi za świeżym repozytorium.

Jest jednak problem, i to taki, który zmienia całą lekturę. ADR składa się z czterech części, a tej jednej, która naprawdę zatrzymuje niebezpieczne akcje, w wydaniu open-source zabrakło. Nazywa się Prevention i Uber kwituje ją obietnicą, że pojawi się wkrótce. To znaczy, że narzędzie reklamowane jako coś, co monitoruje i blokuje zagrożenia, w wersji, którą można dziś pobrać, monitoruje i wykrywa, ale nie blokuje. Blokadę trzeba sobie dopisać samemu albo na nią poczekać.