China AI Safety Governance Framework 3.0 skupia się na agentach i kontroli

Chiny opublikowały China AI Safety Governance Framework 3.0 14 września, wprowadzając trzecią rewizję dokumentu w ciągu trzech lat. Dokument zachowuje chiński model oparty na ocenie ryzyka, ale przenosi uwagę na agentów AI, systemy działające w świecie fizycznym oraz zagrożenie utratą ludzkiej kontroli. Ta zmiana ma znaczenie, ponieważ AI przechodzi od generowania odpowiedzi do wykonywania działań.

Krajowy Komitet Techniczny 260 ds. Cyberbezpieczeństwa, znany jako TC260, opublikował ramy podczas otwarcia chińskiego Narodowego Tygodnia Cyberbezpieczeństwa 2026 w Jinan. Nad ich opracowaniem czuwała Cyberspace Administration of China, czyli CAC.

Publikacja nie jest nową ustawą i nie nakłada automatycznie nowych kar na firmy AI. Jej znaczenie wynika z czegoś innego. Ramy TC260 mogą kształtować normy techniczne, praktyki testowania, wytyczne sektorowe oraz oczekiwania stosowane przez regulatorów wobec deweloperów i dostawców usług.

Wersja 3.0 pojawia się także rok po tym, jak do ram dodano szersze ryzyka społeczne i etyczne. Chiny stosują obecnie ten sam model zarządzania wobec systemów, które mogą korzystać z narzędzi, uzyskiwać dostęp do plików, komunikować się z innymi usługami i działać przy mniejszym bezpośrednim nadzorze.

To tworzy kluczowe napięcie. Chiny chcą rozszerzać wdrażanie AI w przedsiębiorstwach i usługach publicznych, jednocześnie nalegając, by coraz bardziej autonomiczne systemy pozostały przewidywalne, możliwe do prześledzenia i podlegające ludzkiej interwencji.

Co zmienia China AI Safety Governance Framework 3.0

Ramy traktują autonomiczne działanie, a nie lepszą konwersację, jako kluczowy problem bezpieczeństwa w kolejnym cyklu wdrożeń AI.

Zgodnie z oficjalną publikacją ram, TC260 zachował trzy elementy z wcześniejszych edycji: klasyfikację ryzyka, techniczne środki zaradcze i kompleksowe zarządzanie. Zaktualizowano ryzyka w ramach tej struktury oraz dostosowano zalecane reakcje.

Ta ciągłość jest istotna. Wersja 3.0 nie odrzuca wcześniejszego podejścia Chin. Jest próbą zastosowania tego samego podejścia do systemów o szerszym dostępie, dłuższym czasie działania i większym wpływie poza oknem czatu.

Dokument opisuje rozprzestrzenianie się zastosowań AI ze środowisk wyspecjalizowanych do powszechnego użytku. Jako przykłady wymienia asystentów do pracy, osobistych asystentów i telefony wyposażone w agentów. Rozróżnia też systemy odpowiadające na pytania od systemów wykonujących zadania.

Agent AI to system, który potrafi odbierać informacje, zachowywać kontekst, podejmować decyzje, wywoływać narzędzia i realizować kroki prowadzące do celu. Zdolności te mogą ograniczać rutynową pracę, ale tworzą również dłuższe łańcuchy możliwych błędów.

Chatbot może udzielić nieprawidłowej odpowiedzi. Agent może ją przyjąć, otworzyć usługę, zmienić zapis, wysłać informacje lub uruchomić inny proces, zanim człowiek zauważy pomyłkę.

Wersja 3.0 poświęca zatem bardziej wyraźną uwagę ryzykom związanym z agentami. Jej załącznik dotyczący zarządzania ryzykiem agentów AI obejmuje cykl życia systemu — od rozwoju i wdrożenia po działanie i wycofanie.

Ramy proszą organizacje o zbadanie, co agent odczytuje, którym instrukcjom ufa, z jakich narzędzi może korzystać oraz czy jego działania pozostają zgodne z żądaniem użytkownika. Pytania te dotyczą procesu prowadzącego do wyniku, a nie wyłącznie samego wyniku.

To rozróżnienie zmienia sposób oceny bezpieczeństwa. Końcowy raport może wyglądać na poprawny, nawet jeśli agent ujawnił poufne dane podczas jego przygotowywania. Zrealizowana transakcja może wydawać się prawidłowa, nawet jeśli złośliwe instrukcje przekierowały jeden z etapów przepływu pracy.

Prompt injection ilustruje ten problem. Atak prompt injection umieszcza ukryte lub zwodnicze instrukcje w treści przetwarzanej przez system AI. Agent przeglądający stronę internetową mógłby zinterpretować takie instrukcje jako polecenia, nawet jeśli użytkownik nigdy ich nie zatwierdził.

Ramy omawiają także zagrożenia wynikające z przejętych wtyczek, zmanipulowanych odpowiedzi narzędzi, nadmiernych uprawnień i niewiarygodnej pamięci. Każda słabość staje się poważniejsza, gdy system może działać bez potwierdzenia.

Większą uwagę poświęcono również inteligencji ucieleśnionej. Termin ten obejmuje AI połączoną z maszynami, które postrzegają świat fizyczny lub na niego oddziałują, w tym robotami, pojazdami i sprzętem przemysłowym.

Gdy oprogramowanie może sterować urządzeniem fizycznym, awaria cyberbezpieczeństwa może stać się incydentem bezpieczeństwa. Zmanipulowana instrukcja może wpłynąć na ruch, produkcję, kontrolę dostępu lub działanie sprzętu.

Dokument wskazuje ponadto rekurencyjne doskonalenie i samoprzyspieszający rozwój jako kwestie wymagające czujności. Nie stwierdza, że obecne systemy wymknęły się ludzkiej kontroli. Argumentuje jednak, że szybsza autonomiczna optymalizacja zasługuje na stałe testowanie i nadzór.

Rezultatem są ramy bezpieczeństwa AI wyjaśnione przez nową rzeczywistość operacyjną. Zachowanie modelu nadal ma znaczenie, ale uprawnienia, narzędzia, połączenia, pamięć i fizyczny dostęp należą teraz do granic bezpieczeństwa.

Dlaczego Chiny ponownie aktualizują swoje podejście do zarządzania AI

Trzy coroczne publikacje pokazują, że Chiny postrzegają zarządzanie AI jako zmienny proces techniczny, a nie dokument polityczny, który może pozostać niezmieniony przez lata.

TC260 opublikował pierwszą edycję we wrześniu 2024 roku. Wersja ta uporządkowała ryzyka dotyczące modeli, algorytmów, danych, systemów, cyberbezpieczeństwa, bezpieczeństwa fizycznego, procesów poznawczych i etyki.

Pierwsze ramy ustanowiły zasady, które nadal kształtują tę serię. Priorytetowo traktowały innowacje, jednocześnie wzywając do inkluzywnego, ostrożnego, zorientowanego na ryzyko i opartego na współpracy zarządzania.

Wersja 2.0 pojawiła się 15 września 2025 roku. Zachowała pierwotną strukturę, ale dodała kategorię ryzyk pochodnych, czyli szerszych konsekwencji wynikających z powszechnego wykorzystania AI.

Ryzyka te obejmowały wpływ na zatrudnienie, struktury społeczne, zapotrzebowanie na zasoby, edukację, relacje międzyludzkie i środowisko. Druga edycja dodała także wyraźniejszą zasadę godnego zaufania wykorzystania oraz zapobiegania utracie kontroli.

Oficjalny komentarz do drugich ram wskazywał, że zawierały one 14 kompleksowych środków zarządzania i cztery wytyczne bezpieczeństwa. Silniej osadziły też etykę naukową i technologiczną w cyklu życia AI.

Wersja 3.0 rozwija te podstawy, zamiast tworzyć kolejny system klasyfikacji. Jej termin odzwierciedla skalę zmian w celach wdrożeniowych.

Wiele produktów generatywnej AI działało wcześniej jako odizolowane interfejsy. Użytkownicy wpisywali prompty, modele zwracały tekst, a ludzie decydowali, co zrobić dalej. To rozdzielenie zanika.

Agenci mogą teraz przeszukiwać dokumenty wewnętrzne, wywoływać interfejsy oprogramowania, pisać kod, obsługiwać przeglądarki, przygotowywać wiadomości i koordynować wieloetapowe zadania. Nawet ograniczona autonomia zwiększa liczbę decyzji podejmowanych przez system między punktami kontroli człowieka.

Prace Chin nad polityką w 2026 roku już sygnalizowały tę zmianę. W maju CAC, National Development and Reform Commission oraz Ministry of Industry and Information Technology wydały wytyczne wdrożeniowe dotyczące agentów AI.

Wytyczne dotyczące agentów definiują agentów jako systemy zdolne do autonomicznego postrzegania, pamięci, podejmowania decyzji, interakcji i wykonywania działań. Wskazują także 19 scenariuszy zastosowań w badaniach, przemyśle, usługach konsumenckich, dobrobycie publicznym i zarządzaniu społecznym.

Dokument promuje wdrażanie, jednocześnie podkreślając bezpieczeństwo, sterowalność i ustandaryzowany rozwój. Framework 3.0 dostarcza szerszej warstwy zarządzania ryzykiem dla tego samego kierunku.

Dlatego aktualizacja jest czymś więcej niż corocznym utrzymaniem polityki. Chiny próbują ustanowić oczekiwania dotyczące bezpieczeństwa, zanim agenci staną się zwykłą infrastrukturą w wrażliwych sektorach.

Ramy wskazują administrację publiczną, finanse, edukację, nadawanie, ochronę zdrowia i zarządzanie kryzysowe jako obszary wymagające wytycznych specyficznych dla danego sektora. Jedna uniwersalna zasada nie może oddać różnych konsekwencji awarii w tych środowiskach.

Niewiarygodny asystent zakupowy może zmarnować czas klienta. Niewiarygodny system medyczny lub system zarządzania kryzysowego może wpływać na decyzje dotyczące zdrowia, zasobów publicznych lub bezpośredniego bezpieczeństwa.

Zarządzanie AI w Chinach łączy zatem ogólne zasady z planami węższych standardów. Ramy opisują ryzyka, podczas gdy późniejsze standardy mogą przełożyć wybrane części na wymogi, które mogą oceniać audytorzy i organizacje testujące.

Ta warstwowa struktura pozwala również zmieniać politykę bez przepisywania każdej wiążącej zasady. Regulatorzy mogą aktualizować wytyczne techniczne wraz ze zmianą zachowania systemów, a następnie włączać wybrane mechanizmy kontroli do standardów lub regulacji sektorowych.

Dla firm tempo tych zmian tworzy praktyczne obciążenie. Przegląd bezpieczeństwa zaprojektowany dla modelu tekstowego może nie obejmować agenta korzystającego z zewnętrznych narzędzi. Przegląd przygotowany dla jednego wdrożenia może stać się niekompletny po zmianie uprawnień, integracji lub skali działania.

Wersja 3.0 odnosi się do tego problemu poprzez zwinne zarządzanie. Oceny ryzyka powinny uwzględniać kontekst zastosowania, inteligencję systemu i skalę wdrożenia, a następnie zmieniać się wraz ze zmianą tych warunków.

Coroczna sekwencja sprawia, że przekaz polityczny trudno przeoczyć. Wdrożenie systemu o większych możliwościach oznacza konieczność ponownego otwarcia kwestii bezpieczeństwa, nawet gdy nazwa bazowego modelu pozostaje niezmieniona.

Kluczowy kompromis dotyczy innowacji i weryfikowalnej kontroli

Chiny chcą, by organizacje wdrażały użytecznych agentów, ale oczekują od nich wykazania, że autonomia pozostaje ograniczona przez cały czas realizacji zadania.

Ramy opisują innowacje jako priorytet i wspierają kontrolowane eksperymenty, w tym piaskownice regulacyjne. Piaskownica regulacyjna pozwala wybranym produktom działać w ograniczonych warunkach, podczas gdy władze i deweloperzy obserwują ryzyka.

Jednocześnie dokument wzywa do tworzenia systemów pozostających pod ludzką kontrolą. Te dwa cele nie są naturalnie zgodne, gdy agent może wybierać narzędzia i pośrednie działania.

Agent o ścisłych ograniczeniach jest łatwiejszy do monitorowania, ale mniej elastyczny. Agent z szerokimi uprawnieniami może wykonać więcej zadań, lecz tworzy większą powierzchnię ataku i więcej ścieżek prowadzących do niezamierzonego zachowania.

Rozważmy asystenta badawczego w miejscu pracy. Może on przeszukiwać wewnętrzne notatki, przeglądać publiczne strony internetowe, porównywać zapisy i przygotowywać rekomendację. Każda z tych możliwości wydaje się rozsądna, gdy jest oceniana osobno.

Ryzyko pojawia się w ich połączeniu. Publiczna strona może zawierać ukrytą instrukcję nakazującą agentowi pobranie poufnych materiałów. Szeroki dostęp do plików mógłby pozwolić mu ją wykonać, a połączenie wychodzące mogłoby ujawnić rezultat.

Zapobieganie takiej sekwencji wymaga czegoś więcej niż filtrowania końcowego tekstu agenta. Deweloperzy muszą oddzielać zaufane instrukcje od niezaufanych treści, minimalizować uprawnienia, walidować wywołania narzędzi i rejestrować działania na potrzeby późniejszego przeglądu.

Ramy wzywają do silniejszego monitorowania, wczesnego ostrzegania, reagowania kryzysowego i testowania. Wspierają także bazy danych podatności oraz mechanizmy wymiany informacji z udziałem deweloperów, dostawców usług i instytucji technicznych.

Środki te wskazują na oparty na dowodach model kontroli. Firma powinna być w stanie wykazać, do czego system uzyskał dostęp, która decyzja uruchomiła działanie oraz kiedy człowiek mógł je zatrzymać.

To oczekiwanie wywiera presję na deweloperów, nabywców korporacyjnych i operatorów. Deweloperzy muszą wbudowywać zabezpieczenia w architekturę agentów. Nabywcy muszą oceniać całe wdrożenie, zamiast polegać na deklaracjach dostawcy modelu dotyczących bezpieczeństwa.

Operatorzy potrzebują również jasnych granic odpowiedzialności. Gdy na jeden proces wpływają dostawca modelu, twórca aplikacji, producent wtyczek, usługa chmurowa i klient, rozliczalność może się rozmywać.

Framework 3.0 rozdziela odpowiedzialność między twórców modeli i algorytmów, dostawców usług oraz użytkowników. Jednak ogólne określenie odpowiedzialności nie rozstrzyga automatycznie sporów po złożonej awarii.

Łańcuchy dostaw dodatkowo komplikują problem. Agent może korzystać z modelu open source, oprogramowania do wyszukiwania informacji od podmiotów trzecich, zewnętrznych API oraz korporacyjnych systemów danych. Podatność w dowolnym komponencie może wpłynąć na końcowe zachowanie.

Ramy uwzględniają różne ryzyka związane z modelami otwartymi i zamkniętymi. Systemy zamknięte mogą ograniczać zewnętrzny audyt i dostosowywanie, ponieważ jeden dostawca kontroluje ich mechanizmy bezpieczeństwa.

Modele otwarte umożliwiają szerszą kontrolę i adaptację, lecz zabezpieczenia mogą zostać usunięte lub ominięte. Aktualizacje mogą też nie docierać do każdej zmodyfikowanej lub prywatnie wdrożonej kopii.

Żadne z tych podejść nie eliminuje pracy związanej z zarządzaniem. Dostawcy zamkniętych systemów muszą przedstawiać wiarygodne dowody działania zabezpieczeń, podczas gdy otwarte wdrożenia wymagają lokalnych testów, zarządzania konfiguracją i planu aktualizacji bezpieczeństwa.

Ten sam kompromis dotyczy dokładności modeli. Halucynacje, czyli wiarygodnie brzmiące odpowiedzi niepoparte rzetelnymi dowodami, stają się bardziej niebezpieczne, gdy agent traktuje je jako podstawę działania.

Zespoły nie rozwiążą tego problemu przez dodanie ostrzeżenia pod odpowiedzią. Potrzebują mechanizmów wymagających autorytatywnych dowodów, blokujących działania bez uzasadnienia lub kierujących decyzje o dużym wpływie do ludzi.

Takie kontrole zmniejszają szybkość i zwiększają koszty operacyjne. Mogą również ograniczać autonomię, która czyni agentów atrakcyjnymi. To kluczowy kompromis stojący za China AI Safety Governance Framework 3.0.

Dokument nie wymaga jednakowego traktowania każdego systemu. Jego podejście oparte na klasyfikacji ryzyka uwzględnia znaczenie scenariusza, inteligencję systemu i skalę wykorzystania.

Takie podejście jest bardziej praktyczne niż stosowanie maksymalnych kontroli wszędzie. Rodzi jednak trudne pytania dotyczące progów.

Organizacje muszą zdecydować, kiedy zwykły asystent staje się agentem o dużym wpływie. Muszą określić, które uprawnienia tworzą istotne ryzyko, a które działania wymagają potwierdzenia.

Ramy wyznaczają kierunek, lecz wiele odpowiedzi operacyjnych będzie zależeć od późniejszych standardów, regulacji sektorowych i metod oceny. Dopóki się nie pojawią, firmy muszą interpretować szerokie zasady we własnych środowiskach technicznych.

Ramy to nie to samo co egzekwowalny zbiór reguł

Publikacja sygnalizuje priorytety regulacyjne, ale sama w sobie nie ustanawia kompletnego testu zgodności dla każdego agenta AI.

TC260 jest chińskim krajowym organem ds. standardów cyberbezpieczeństwa. Jego dokumenty techniczne mogą wpływać na regulacje, zamówienia, oceny i formalne standardy, lecz ich skutki prawne zależą od danego dokumentu i powiązanych z nim przepisów.

Framework 3.0 najlepiej rozumieć jako mapę zarządzania. Określa kategorie ryzyka i zaleca reakcje techniczne oraz instytucjonalne. Nie zastępuje obowiązujących przepisów ani norm wiążących.

Chiny mają już wiążące zasady dla niektórych usług generatywnej AI. Tymczasowe środki dotyczące usług generatywnej AI odnoszą się głównie do usług oferowanych publicznie na terytorium Chin kontynentalnych.

Inne wymogi mogą obejmować zgłoszenia algorytmów, oceny bezpieczeństwa, ochronę danych osobowych, bezpieczeństwo danych, zarządzanie treścią i nadzór sektorowy. Odpowiednie obowiązki zależą od dostawcy, usługi, użytkowników i kontekstu wdrożenia.

Przyjęty krajowy standard stanowi użyteczny punkt odniesienia. Chiński GB/T 45654-2025 obejmuje podstawowe wymogi bezpieczeństwa dla usług generatywnej AI, w tym bezpieczeństwo danych treningowych, bezpieczeństwo modelu i środki ochronne.

Angielskie tłumaczenie standardu wskazuje, że wspiera on zgłaszanie, rejestrację, testowanie i ocenę. Dotyczy dostawców oraz może stanowić wskazówkę dla regulatorów i niezależnych oceniających.

Ten standard jest bardziej szczegółowy niż szerokie ramy. Omawia procedury dotyczące danych treningowych, generowanych treści, bezpieczeństwa modeli i oceny bezpieczeństwa.

Mimo to zewnętrzni analitycy kwestionowali, jak konsekwentnie rygorystyczne środki będą egzekwowane w warunkach szybkiej konkurencji między modelami. Ta sama niepewność jest jeszcze większa w przypadku rekomendacji pozostających na poziomie ram.

Wersja 3.0 wzywa do regularnych testów potencjalnej utraty kontroli nad technologią. Publikacja nie ustanawia jednak uniwersalnego zestawu testów, publicznego wyniku ani pojedynczego progu decydującego o bezpieczeństwie agenta.

Pojęcia takie jak sterowalność, godne zaufania wykorzystanie i ryzyko katastrofalne również wymagają mierzalnych definicji. Bez nich dwie organizacje mogą twierdzić, że spełniają wymogi, stosując bardzo różne zabezpieczenia.

Niezależny dostęp stanowi kolejną nierozwiązaną kwestię. Zamknięte modele mogą uniemożliwiać zewnętrznym badaczom analizę wewnętrznych mechanizmów kontroli. Otwarte wdrożenia mogą być trudne do zinwentaryzowania po modyfikacji i redystrybucji.

Przejrzystość w zakresie incydentów będzie równie ważna jak testy przed wdrożeniem. Firma może przejść zaplanowaną ocenę, a mimo to doświadczyć awarii po integracji nowych narzędzi lub zmianie instrukcji systemowych.

Publiczne raportowanie pozostaje nierówne w całej branży AI. Bez porównywalnych danych o incydentach regulatorzy i nabywcy nie mogą łatwo ocenić, które mechanizmy działają poza warunkami laboratoryjnymi.

Ramy zalecają wymianę informacji o podatnościach, wadach, ryzykach i incydentach. Stworzenie użytecznego mechanizmu raportowania będzie wymagało jasnych zasad zgłaszania oraz ochrony przed niepełnym ujawnianiem informacji.

Koordynacja transgraniczna jest kolejną ambitną częścią dokumentu. Wersja 3.0 wspiera Organizację Narodów Zjednoczonych jako główny kanał globalnego zarządzania AI i wzywa do ustanowienia mechanizmów zarządzania kryzysowego.

Cel ten napotyka przeszkody polityczne i techniczne. Rządy różnią się podejściem do bezpieczeństwa narodowego, zasad dotyczących treści, prywatności, własności intelektualnej, modeli otwartych oraz dopuszczalnego dostępu państwa do danych.

Nawet wspólna obawa przed niebezpiecznymi zdolnościami nie gwarantuje porozumienia co do dowodów. Kraje mogą stosować różne oceny, modele zagrożeń i wymogi ujawniania informacji.

Międzynarodowy język ram należy zatem odczytywać jako stanowisko polityczne, a nie dowód globalnego zbieżności. Ich wpływ będzie zależeć od tego, czy Chiny opublikują użyteczne metody testowania i wesprą wzajemną współpracę techniczną.

Istnieje też ryzyko, że szeroki język dotyczący bezpieczeństwa stanie się barierą dla mniejszych deweloperów. Duże firmy mogą finansować zespoły prawne, audyty, red teaming, monitoring i reagowanie na incydenty.

Mniejsze laboratoria mogą mieć trudności ze spełnieniem tych samych oczekiwań, zwłaszcza gdy standardy szybko się zmieniają. Piaskownice i współdzielone zasoby testowe mogłyby zmniejszyć to obciążenie, ale kluczowa będzie ich dostępność.

Sceptyczna interpretacja jest prosta. Framework 3.0 trafnie identyfikuje kilka pojawiających się ryzyk, lecz identyfikacja jest łatwiejsza niż wdrożenie.

Jego rzeczywista wartość będzie mierzona standardami, ocenami, systemami raportowania i praktykami egzekwowania, które po nim nastąpią. Bez tych mechanizmów sterowalność pozostaje celem, a nie zweryfikowaną właściwością.

Chińskie zarządzanie AI wykracza dziś poza sam model

Granica polityki coraz częściej obejmuje całe środowisko operacyjne, w tym dane, pamięć, narzędzia, infrastrukturę, użytkowników i urządzenia fizyczne.

Wcześniejsze debaty o zarządzaniu AI często koncentrowały się na zbiorach danych treningowych i wynikach modeli. Te zagadnienia nadal są istotne, lecz agenci sprawiają, że równie ważny staje się otaczający system.

Zachowanie modelu może się zmienić, gdy deweloperzy modyfikują instrukcje systemowe, źródła wyszukiwania, pamięć, wtyczki lub dostępne narzędzia. Model bazowy może pozostać identyczny, podczas gdy wdrożenie zyskuje nowe ryzyka.

Oznacza to, że sama ocena modelu nie może certyfikować produktu agentowego. Testowanie musi obejmować złożony system oraz warunki, w których korzystają z niego ludzie.

Ramy zalecają wymogi bezpieczeństwa na etapie badań, rozwoju, wdrażania, eksploatacji i wycofywania z użycia. Wycofywanie ma znaczenie, ponieważ stare poświadczenia, zapisana pamięć i połączone usługi mogą pozostać narażone po zamknięciu produktu.

Zarządzanie danymi pozostaje centralnym zagadnieniem. Dokument wzywa do ochrony danych osobowych podczas treningu, anotacji, użytkowania i generowania wyników, w tym do deidentyfikacji tam, gdzie jest to właściwe.

Podkreśla również znaczenie ważnych i kluczowych danych w obszarach takich jak administracja publiczna i finanse. Agenci działający w tych sektorach mogą przekraczać granice informacyjne szybciej niż użytkownicy, szczególnie gdy dziedziczą uprawnienia z połączonych kont.

Pamięć wprowadza kolejną warstwę. Trwała pamięć agenta może poprawiać ciągłość, ale może również przechowywać błędne, wrażliwe lub złośliwie umieszczone informacje.

Bezpieczne wdrożenie wymaga zasad określających, co agent zapisuje, jak długo przechowuje informacje i kto może je przeglądać lub usuwać. Pamięć nie powinna stawać się niewidocznym zapisem kształtującym późniejsze działania bez świadomości użytkownika.

Zarządzanie narzędziami jest równie istotne. Deweloperzy potrzebują list dozwolonych narzędzi, ograniczeń uprawnień, podglądu działań, granic transakcji i silnego uwierzytelniania dla operacji o dużym wpływie.

Agent nie powinien otrzymywać stałego dostępu administracyjnego tylko dlatego, że jeden proces czasami wymaga podwyższonych uprawnień. Tymczasowa i zadaniowa autoryzacja ogranicza szkody wynikające z błędów lub ataków.

Nadzór człowieka również wymaga precyzyjnego zaprojektowania. Okno potwierdzenia niewiele daje, jeśli użytkownicy nie rozumieją proponowanego działania lub jeśli częste alerty zachęcają do automatycznego zatwierdzania.

Skuteczna interwencja wymaga aktualnych i istotnych informacji. Użytkownicy muszą widzieć, co agent zamierza zrobić, jakich danych użyje i jakie konsekwencje niesie dane działanie.

Rejestrowanie zdarzeń wspiera zarówno nadzór, jak i dochodzenie. Zapisy powinny obejmować wywołania narzędzi, dostęp do danych, zmiany uprawnień, decyzje modelu i zatwierdzenia przez ludzi, nie tworząc przy tym kolejnego niekontrolowanego magazynu wrażliwych informacji.

Uwaga ram poświęcona ucieleśnionej AI dodatkowo podnosi stawkę. Systemy fizyczne potrzebują bezpiecznych stanów awaryjnych, ograniczeń środowiskowych i sposobów zatrzymania działania w razie awarii komunikacji lub percepcji.

Robot magazynowy, system laboratoryjny lub połączony pojazd nie mogą polegać wyłącznie na mechanizmie odmowy opartym na tekście. Bezpieczeństwo musi istnieć w oprogramowaniu, sprzęcie, procedurach operacyjnych i kontrolach fizycznych.

Zespoły ds. cyberbezpieczeństwa również pełnią podwójną rolę. Jak zauważają ramy, AI może automatyzować przegląd kodu, wykrywanie podatności, wykrywanie ataków i naprawę.

Atakujący mogą wykorzystywać te same możliwości, aby zwiększać szybkość i skalę złośliwej aktywności. Systemy agentowe mogą łączyć rozpoznanie, wykorzystanie podatności i obsługę danych przy mniejszym bezpośrednim udziale człowieka.

Wywiera to presję na przejście od obrony reaktywnej do ciągłego monitorowania. Organizacje muszą oceniać zachowanie własnych agentów i wykrywać wspierane przez AI ataki z zewnątrz.

Szerszy zakres zbliża chińskie zarządzanie AI do ogólnej lekcji wyłaniającej się na różnych rynkach. Bezpieczeństwo zależy od sposobu, w jaki model jest połączony i wykorzystywany, a nie wyłącznie od tego, co potrafi zrobić w izolacji.

Dla nabywców korporacyjnych zmienia to pytania zadawane podczas zakupu. Wyniki benchmarków i karty modeli są niewystarczające, gdy produkt może uzyskać dostęp do wewnętrznych rejestrów lub inicjować transakcje.

Nabywcy powinni pytać, do jakich narzędzi agent ma dostęp, jak przyznawane są uprawnienia, czy treści zewnętrzne są traktowane jako niezaufane oraz jak można cofnąć działania.

Powinni również pytać, czy dostawca ujawnia incydenty i wspiera niezależne testowanie. Dopracowany interfejs nie może zastąpić dowodów operacyjnych.

Pracownicy wiedzy mierzą się z podobnym wyzwaniem na mniejszą skalę. Asystent, który porządkuje badania lub przygotowuje raport, nadal potrzebuje wiarygodnych granic źródeł i jasnych zasad postępowania z prywatnymi materiałami.

Dobre praktyki informacyjne stają się częścią bezpieczeństwa AI. Zespoły potrzebują źródeł możliwych do prześledzenia, świadomie ustalonych kontroli dostępu oraz etapów weryfikacji odpowiadających konsekwencjom każdego zadania.

Nie oznacza to konieczności odrzucenia automatyzacji. Wymaga traktowania agentów jako uczestników procesów pracy, z określonymi uprawnieniami i obserwowalnym zachowaniem.

Trzy sygnały pokażą, czy Framework 3.0 ma realną moc

Kolejny etap zależy od mierzalnych standardów, rzeczywistego raportowania incydentów i kontroli specyficznych dla sektorów, a nie od kolejnej deklaracji zasad.

Pierwszym sygnałem będzie publikacja konkretnych standardów testowania agentów. Powinny one określać procedury oceny pod kątem prompt injection, niewłaściwego użycia narzędzi, eskalacji uprawnień, uszkodzenia pamięci oraz utraty kontroli nad zadaniem.

Jasne testy wzmocniłyby wiarygodność frameworku. Dałyby deweloperom wspólny cel i pozwoliły nabywcom porównywać deklaracje dotyczące bezpieczeństwa na podstawie podobnych dowodów.

Niejasny język dotyczący oceny osłabiłby ten efekt. Jeśli każdy dostawca wybierze własne testy i progi, rynek otrzyma wiele deklaracji, lecz niewiele porównywalnych informacji.

Drugim sygnałem będzie działający system raportowania incydentów i podatności. Framework 3.0 wzywa do stworzenia baz danych oraz mechanizmów wymiany informacji z udziałem deweloperów, dostawców i instytucji technicznych.

Użyteczny system publikowałby kategorie, harmonogramy raportowania, oczekiwania dotyczące naprawy oraz wystarczająco dużo zanonimizowanych szczegółów, aby inni mogli poprawiać swoje zabezpieczenia. Rozróżniałby też drobne błędy od poważnych zdarzeń związanych z bezpieczeństwem.

Spójne raportowanie wspierałoby model elastycznego zarządzania przyjęty w frameworku, ponieważ władze mogłyby aktualizować kontrole na podstawie zaobserwowanych awarii. Skąpe lub niedostępne raportowanie pozostawiłoby politykę zależną od hipotetycznych zagrożeń.

Trzecim sygnałem będzie wdrażanie rozwiązań specyficznych dla sektorów. Administracja publiczna, finanse, edukacja, opieka zdrowotna, media i zarządzanie kryzysowe potrzebują różnych progów autonomii oraz nadzoru człowieka.

Wytyczne sektorowe powinny określać, które działania agentów wymagają zatwierdzenia, które źródła danych pozostają ograniczone oraz jakie dowody organizacje muszą zachowywać. Wymogi zakupowe mogą stać się wczesnym sposobem wdrażania tych kontroli.

Szczegółowe zasady sektorowe pokazałyby, że framework przechodzi od strategii krajowej do praktyki operacyjnej. Ogólne wytyczne pozostawiłyby kluczowe decyzje poszczególnym organizacjom o nierównym poziomie wiedzy eksperckiej.

Międzynarodowa koordynacja zasługuje na uwagę, lecz jest sprawdzianem wymagającym więcej czasu. Protokoły kryzysowe wymagają uzgodnienia kontaktów, dowodów, poufności i procedur reagowania przed wystąpieniem poważnego incydentu.

Najbardziej bezpośrednie dowody będą pochodzić z wdrażania krajowego. Chiny opublikowały obecnie trzy wersje swoich ram bezpieczeństwa AI w trzech kolejnych latach.

To tempo pokazuje wagę przywiązywaną do tematu, lecz sama powtarzalność nie dowodzi skuteczności. Kluczowe pytanie brzmi, czy najnowsze zagrożenia staną się wymogami możliwymi do przetestowania, zanim wdrożenia agentów rozpowszechnią się jeszcze bardziej.

Deweloperzy powinni śledzić plany prac TC260, projekty standardów i dokumenty z konsultacji publicznych. Nabywcy korporacyjni powinni obserwować, czy regulatorzy zaczynają odnosić się do kontroli agentów podczas ocen lub procesów zakupowych.

Pracownicy wiedzy powinni zwracać uwagę na zmiany uprawnień na poziomie produktów. Coraz bardziej zaawansowani asystenci będą częściej prosić o dostęp do plików, kont, komunikacji i systemów biznesowych.

China AI Safety Governance Framework 3.0 formułuje jasny osąd: bezpieczeństwo AI nie może już kończyć się na odpowiedzi modelu. Musi obejmować każdy etap między żądaniem użytkownika a działaniem systemu.

Najbliższe jeden do trzech miesięcy powinny pokazać, czy ten osąd zyska szczegóły operacyjne. Warto wypatrywać metod testowania agentów, zasad wymiany informacji o incydentach oraz kontroli sektorowych, które przekształcają szerokie zasady w dowody.

Przed przyznaniem asystentowi AI szerszych uprawnień zadaj trzy pytania: Do czego ma dostęp, co może zmienić i jak można go zatrzymać? Odpowiedzi pokażą, czy kontrolowalna AI istnieje w praktyce, a nie tylko na papierze.