Lokalne modele językowe w pracy nad bezpieczeństwem. Które pobrać, do czego i w jakich granicach prawa

Lokalny model AI zamiast publicznego czatu: przegląd kodu, konfiguracji i CVE. Które pobrać, co wolno zadaniom ofensywnym, czym jest CVP Anthropic.

Autor: Paweł Rosół
Data: 19.10.2026
Czytanie: 8 min
Kategoria: Zarządzanie ryzykiem

Stan prawny sprawdzony: 19.10.2026

Spis treści

Dlaczego model lokalny, a nie publiczny czat?
Które modele warto pobrać i przetestować?
Do czego się nadają?
Co z zadaniami ofensywnymi?
Program weryfikacji Anthropic (CVP): dla kogo i po co?
Dodatek: agenci, nie tylko czat

Tak, lokalny model językowy jest dziś praktycznym narzędziem zespołu bezpieczeństwa, pod dwoma warunkami. Pierwszy: trzymam go na własnej infrastrukturze, żeby kod, konfiguracje i opisy podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. moich systemów nie trafiały do cudzej usługi. Drugi: każde zadanie, które dotyka systemu, którego nie jestem właścicielem albo nie mam zgody na jego testowanie, uruchamiam na podstawie umowy i pod nadzorem IT. Dwa modele warte pobrania i przetestowania to rodzina Foundation-sec od Cisco i WhiteRabbitNeo; po co i do czego, opisuję niżej.

Model trzymam u siebie nie dlatego, że publiczny jest gorszy, tylko dlatego, że nie wysyłam poza organizację konfiguracji, kodu i opisów podatności własnych systemów.

Ten tekst jest dla osób, które realizują zadania z art. 8 ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.: informatyków, audytorów i tych, którym kierownik podmiotuKierownik podmiotu Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie. powierzył cyberbezpieczeństwo. Pokazuję, które modele mają sens, do jakich zadań, gdzie przebiega granica prawna przy zadaniach ofensywnych i czym jest program weryfikacyjny Anthropic, o który czasem pytają zespoły.

Dlaczego model lokalny, a nie publiczny czat?

Publiczny czat jest wygodny i w wielu zadaniach lepszy jakościowo. Problem nie leży w jakości, tylko w tym, że pytanie o bezpieczeństwo własnego systemu zawiera to, co ten system chroni: nazwy hostów, wersje oprogramowania, fragmenty konfiguracji, czasem dane osobowe w logach.

Wklejenie tego do zewnętrznej usługi to ten sam mechanizm, który opisałem przy Shadow AI: informacja objęta SZBISystem zarządzania bezpieczeństwem informacji Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów. wychodzi poza środki, które podmiot dla niej wdrożył. Model uruchomiony na serwerze w serwerowni albo na odłączonej od sieci stacji roboczej tego nie robi. Dane zostają w systemie, a ja dokładam narzędzie, nie kolejny kanał wypływu.

Do tego dochodzi RODORODO Rozporządzenie (UE) 2016/679 o ochronie danych osobowych. Tematy RODO omawiam na pawel.rosol.pl; tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych., jeśli w materiale, który podaję modelowi, są dane osobowe, oraz prosty fakt operacyjny: model lokalny działa bez internetu, więc nadaje się do środowisk odciętych, gdzie publicznego czatu i tak bym nie uruchomił.

Które modele warto pobrać i przetestować?

Dwie kategorie. Pierwsza to modele trenowane pod bezpieczeństwo, druga to mocne modele ogólne, które lokalnie też się bronią.

Modele dedykowane bezpieczeństwu:

Cisco Foundation AI, rodzina Foundation-sec-8B. Model o 8 miliardach parametrów zbudowany na Llama 3.1, z otwartymi wagami, dotrenowany na materiałach z obszaru bezpieczeństwa (raporty threat intelligence, bazy podatności). Jest wariant instruktażowy (Foundation-Sec-8B-Instruct) i rozumujący (Foundation-Sec-8B-Reasoning), oba w organizacji fdtn-ai na Hugging Face. Cisco opisuje typowe zastosowania wprost: klasyfikacja alertów, mapowanie obserwabli na taktyki MITRE ATT&CK, rekonstrukcja osi czasu incydentu, przegląd kodu pod kątem OWASPOWASP Open Worldwide Application Security Project, międzynarodowa organizacja non-profit, która udostępnia otwarte materiały o bezpieczeństwie aplikacji. Najbardziej znana z listy OWASP Top 10.. Rozmiar 8B oznacza, że zmieści się na jednej karcie graficznej albo na laptopie z odpowiednią pamięcią.
WhiteRabbitNeo. Rodzina modeli celowo trenowanych tak, by nie odmawiać rozmowy o technikach ofensywnych: warianty 13B, 33B (v1.5) oraz oparte na Llama 3.1 wersje 8B i 70B, wszystkie na Hugging Face. To ten typ modelu, o który pytają zespoły, gdy publiczny czat odmawia pomocy przy legalnym teście. Licencje poszczególnych wersji się różnią (część na licencji w rodzaju Llama, część DeepSeek, z ograniczeniami użycia), więc przeczytaj je przed wdrożeniem.

„Uncensored” znaczy tylko, że model nie odmówi rozmowy o technice ofensywnej. Nie znaczy, że jego odpowiedź jest prawdziwa.

Modele ogólne, które lokalnie dają radę: rodziny Qwen (zwłaszcza warianty kodujące), Mistral Small, Gemma, Llama i Falcon. W publicznych testach do zadań wiedzowych z bezpieczeństwa dobrze wypadają Mistral Small 3.1 i Falcon 3, a do pracy zadaniowej z narzędziami rodzina Qwen. Nie przywiązywałbym się do jednej nazwy z rankingu: modele zmieniają się co kwartał, a liczy się to, który z nich sprawdzi się na twoim sprzęcie i twoich danych. Dobór zacznij od pamięci karty graficznej, a nie od pozycji w zestawieniu.

Do czego się nadają?

Najwięcej wartości widzę w zadaniach, w których model czyta dużo tekstu technicznego i porządkuje go szybciej niż człowiek, a człowiek sprawdza wynik:

przegląd kodu albo różnicy między wersjami pod kątem podatności: miejsca podatne na wstrzyknięcie, błędy uwierzytelniania i autoryzacji, dane uwierzytelniające zapisane w kodzie. Traktuję to jak pierwsze sito przed narzędziem SAST i przed człowiekiem, a nie jak zamiennik żadnego z nich;
przegląd konfiguracji i błędów hardeningu: pliki konfiguracyjne, infrastruktura w kodzie, polityki chmurowe, ustawienia serwerów zestawione z publicznymi punktami odniesienia (CIS Benchmarks, wytyczne producenta), z wypisanymi odstępstwami;
triage i wzbogacanie CVECVE Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń.: model dopasowuje wykryte oprogramowanie i jego wersję do znanych podatności, tłumaczy, na czym polega błąd i czy w danym środowisku jest realnie wykorzystywalny, i pomaga ustawić kolejność łatania. Każde dopasowanie potwierdzam w bazie pierwotnej (NVD, komunikat producenta, CERT), bo tu model najczęściej myli numer albo wersję;
triage alertów i rekonstrukcja osi czasu incydentu: z surowych logów model układa przebieg zdarzenia i przypisuje kroki do taktyk i technik MITRE ATT&CK. To praca SOCCentrum operacji bezpieczeństwa Zespół lub usługa, która całą dobę monitoruje systemy firmy, wykrywa podejrzane zdarzenia i uruchamia reakcję na incydent., którą skraca o godziny;
modelowanie zagrożeń: na podstawie opisu albo diagramu model wypisuje ścieżki ataku i miejsca, w których brakuje kontroli. Punkt wyjścia do rozmowy, nie gotowy wynik;
tłumaczenie ustaleń na język zarządu: raport techniczny na notatkę, którą zrozumie kierownik podmiotu podejmujący decyzję o wydatku. Tu model jest naprawdę dobry, a stawka błędu niska.

We wszystkich tych zadaniach obowiązuje jedna zasada: wynik modelu jest wejściem do mojej pracy, nie jej końcem. Model myli numery CVE, wymyśla nieistniejące ustawienia i bywa zbyt pewny siebie. Sprawdzam każdy fakt, który ma trafić do raportu albo do decyzji.

Co z zadaniami ofensywnymi?

Tu zaczyna się część, której nie wolno pominąć. Zadanie ofensywne to każde, które dotyka systemu, komunikacji albo danych należących do kogoś innego: skanowanie, próba uzyskania dostępu, test phishingowy wobec pracowników, analiza cudzej infrastruktury. Narzędzie jest obojętne. Rozstrzyga to, czy masz do tego tytuł prawny.

Polski Kodeks karny opisuje to w kilku przepisach. Art. 267 § 2 k.k. przewiduje karę dla tego, kto bez uprawnienia uzyskuje dostęp do całości lub części systemu informatycznego. Art. 269a k.k. dotyczy istotnego zakłócenia pracy systemu. Art. 269b § 1 k.k. mówi o wytwarzaniu i udostępnianiu programów przystosowanych do popełnienia tych przestępstw oraz haseł i kodów dostępu.

I właśnie w tym ostatnim przepisie jest zdanie, które przesądza o legalności pracy obronnej. Art. 269b § 1a k.k. stanowi, że nie popełnia przestępstwa z § 1 ten, kto działa wyłącznie w celu zabezpieczenia systemu informatycznego, systemu teleinformatycznego lub sieci teleinformatycznej przed popełnieniem przestępstwa albo opracowania metody takiego zabezpieczenia.

To nie model rozstrzyga, czy test jest legalny, tylko umowa, zakres i zgoda właściciela systemu.

W praktyce oznacza to zestaw rzeczy, które muszą istnieć przed uruchomieniem jakiegokolwiek narzędzia ofensywnego, lokalnego modelu czy innego:

pisemna zgoda właściciela testowanego systemu, z jasno wyznaczonym zakresem (co wolno, czego nie) i oknem czasowym;
nadzór działu IT podmiotu nad przebiegiem testu, tak żeby było wiadomo, co się dzieje i kto może to zatrzymać;
zasady postępowania z danymi, które test ujawni, w tym danymi osobowymi w rozumieniu RODO, bo materiał, który podajesz modelowi, też podlega ochronie.

Program weryfikacji Anthropic (CVP): dla kogo i po co?

Osobny wątek, bo zespoły o to pytają. Domyślne zabezpieczenia modeli Claude blokują część pracy, która wygląda na ofensywną, nawet gdy jest legalna i obronna. Cyber Verification Program (CVP) to bezpłatny program Anthropic, w którym zweryfikowany specjalista albo organizacja dostaje dostęp do modeli ze zdjętą częścią tych blokad, przy zachowaniu zakazu zastosowań niedozwolonych dla wszystkich.

Program ma trzy poziomy dostępu: Defense Access, Red Team Access i Specialized Access, przy czym ten ostatni wymaga pogłębionej weryfikacji prowadzonej we współpracy z rządem USA i jest tylko dla organizacji. Każdy poziom obejmuje najmocniejsze modele dostawcy (Claude Opus 5.5, Claude Sonnet 5.5 i Claude Mythos 5.1) oraz te, które pojawią się później.

Zgłoszenie składa się przez portal weryfikacyjny Anthropic: trzeba podać dane organizacji i osoby do weryfikacji tożsamości, opisać rodzaj pracy i potwierdzić stosowane środki bezpieczeństwa. Anthropic deklaruje decyzję w ciągu siedmiu dni roboczych. Warunkiem jest włączone zatrzymywanie danych, żeby dostawca mógł monitorować nadużycia; dla organizacji z wyjątkiem co do retencji przewidziano osobny tryb.

Dla kogo to ma sens? Dla zespołów, którym przeszkadza nie miejsce przetwarzania, tylko to, że model odmawia legalnej pracy obronnej. CVP nie zastępuje modelu lokalnego: przy pracy przez chmurę dane i tak wychodzą do dostawcy. To rozwiązanie problemu dostępu do możliwości, nie problemu, gdzie leżą dane.

Dodatek: agenci, nie tylko czat

Model w oknie czatu to jedno. Model wpięty w narzędzia, który sam uruchamia skanery, czyta wyniki i decyduje o następnym kroku, to coś innego. Takie podejście (frameworki agentowe) działa w obie strony.

W listopadzie 2025 r. Anthropic opisał kampanię, którą oznaczył GTG-1002 i przypisał z wysokim prawdopodobieństwem grupie sponsorowanej przez państwo. Operatorzy skierowali instancje Claude Code do autonomicznej pracy przeciwko około 30 podmiotom: rozpoznanie, próby wykorzystania podatności, zbieranie danych uwierzytelniających, ruch boczny. Według raportu model wykonał 80 do 90 procent czynności taktycznych, a ludzie decydowali w punktach strategicznych. Zabezpieczenia modelu obchodzono, dzieląc zadanie na niewinnie wyglądające fragmenty i podając się za zespół testujący. Model przy tym regularnie zawyżał ustalenia i podawał dane, które się nie potwierdzały, więc operatorzy musieli wszystko weryfikować.

Dla obrońcy płyną z tego cztery wnioski. Ta sama autonomia, która pomaga atakującemu, przyspiesza pracę twojego zespołu niebieskiego. Atak daje się dziś zautomatyzować tanio i na skalę, więc zakładaj, że druga strona to ma. Wynik agenta sprawdzasz tak samo jak wynik czatu, bo konfabuluje identycznie. I dostęp, który dajesz narzędziu agentowemu (klucze API, zgody OAuth do skrzynki, repozytorium czy chmury), traktujesz jak dostęp uprzywilejowany i tak samo kontrolujesz.

Zanim pobiorę pierwszy model, spisuję dwie rzeczy: jakie dane wolno mu pokazać i kto odpowiada za to, co z jego wynikiem zrobię. Dopóki tych dwóch zdań nie ma w polityce, nie uruchamiam narzędzia.

Pojęcia w tym tekście (10)

Podatność: Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
Ustawa o KSC: Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.
Kierownik podmiotu: Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.
System zarządzania bezpieczeństwem informacji: Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.
RODO: Rozporządzenie (UE) 2016/679 o ochronie danych osobowych. Tematy RODO omawiam na pawel.rosol.pl; tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych.
Incydent: Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
OWASP: Open Worldwide Application Security Project, międzynarodowa organizacja non-profit, która udostępnia otwarte materiały o bezpieczeństwie aplikacji. Najbardziej znana z listy OWASP Top 10.
CVE: Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń.
Centrum operacji bezpieczeństwa: Zespół lub usługa, która całą dobę monitoruje systemy firmy, wykrywa podejrzane zdarzenia i uruchamia reakcję na incydent.
Podmiot kluczowy: Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.

Najczęściej zadawane pytania

Czy mogę pokazać modelowi konfigurację albo kod naszych systemów?

Modelowi uruchomionemu na infrastrukturze podmiotu (na serwerze w serwerowni albo na stacji bez połączenia z internetem) tak, bo dane nie opuszczają systemu objętego SZBI i podlegają tym samym środkom z art. 8 ust. 1 ustawy o KSC co reszta tego systemu. Publicznemu czatowi nie, bo to wyprowadzenie informacji do zewnętrznej usługi ICT, które trzeba najpierw oszacować i objąć kontrolą. Różnica jest w tym, gdzie fizycznie trafiają dane, nie w nazwie modelu.

Czy pobranie modelu „uncensored” jest nielegalne?

Nie. Art. 269b § 1 Kodeksu karnego mówi o programach przystosowanych do popełnienia przestępstwa, ale § 1a wyłącza odpowiedzialność tego, kto działa wyłącznie w celu zabezpieczenia systemu albo opracowania metody takiego zabezpieczenia. O legalności nie rozstrzyga etykieta modelu, tylko to, na czyim systemie i za czyją zgodą go używasz.

Czym program CVP Anthropic różni się od modelu lokalnego?

To odpowiedź na inny problem. Model lokalny rozwiązuje kwestię tego, gdzie są dane, bo zostają u ciebie. CVP (Cyber Verification Program) zdejmuje domyślne blokady modeli Claude dla zweryfikowanych specjalistów, żeby nie odmawiały legalnej pracy obronnej, ale dane przy pracy przez chmurę i tak wychodzą do dostawcy. Jedno dotyczy miejsca przetwarzania, drugie dostępu do możliwości modelu.

Źródła

Stan prawny sprawdzony: 19.10.2026. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).