W czacie zła odpowiedź jest wstydem. W agencie z dostępem do skrzynki ta sama odpowiedź jest wysłanym mailem. Różnicę zna każdy, kto kiedyś kliknął „wyślij” o sekundę za wcześnie. 🙂 Tyle że agent klika szybciej niż Ty.
Dlaczego OWASP wsadził to na podium
Excessive Agency, czyli nadmiar sprawczości, awansował w edycji 2026 listy OWASP dla aplikacji LLM z 6. na 3. miejsce. Prompt injection zostaje pierwszy, wyciek danych wrażliwych drugi. Po raz pierwszy ranking zestawiono z tysiącami rzeczywistych incydentów, a nie tylko z opinią ekspertów.
Dla porządku z kalendarzem: listę opublikowano na początku sierpnia 2026 r., a 1-2 września OWASP ogłosił ją oficjalnie razem z Agent Control Standard. Według komunikatu pobrano ją ponad 10 tys. razy w pierwszych 48 godzinach.
Michael Bargury, współzałożyciel i CTO firmy Zenity (która wspiera projekt OWASP, więc to głos z branży), ujął to tak: to ryzyko, w którym osąd ekspertów i zapis incydentów zgadzają się najmocniej. Daj agentowi prawdziwe narzędzia i prawdziwe uprawnienia, a błąd widać w tym, co zrobi. Robota polega więc na ograniczeniu tego, do czego może sięgnąć oszukany agent, zanim zadziała.
Lenistwo poznawcze jest paliwem tego ryzyka
Model pisze gładko, a mózg czyta płynność jako kompetencję. Im bardziej ufasz narzędziu, tym rzadziej sprawdzasz. To nie metafora z poradnika. W ankiecie Microsoft Research i Carnegie Mellon (CHI 2025, DOI) wyższe zaufanie do generatywnej AI szedło w parze z mniejszym wysiłkiem krytycznym, a wyższa pewność siebie w zadaniu z większym. Szczegóły tego badania opisujemy w osobnym tekście. Tu liczy się skutek operacyjny: osoba, która „już nie czyta”, podpisuje brudnopis.
Sześć scenariuszy, nie sześć newsów
Poniższe sytuacje to scenariusze redakcji. Pokazują mechanizm i nie są raportem z nazwanej firmy.
Umowa. Streszczenie pomija jedno zdanie o karze. Człowiek czyta nagłówki, bo „model zrobił robotę”. Podpis idzie. Strata wychodzi przy pierwszym opóźnieniu, nie przy generowaniu.
Anonimizacja. Zostaje fragment PESEL w stopce skanu. Plik leci do zewnętrznego API, bo agent miał „ułatwić współpracę”. To już nie halucynacja, tylko dane osobowe poza miejscem, w którym miały zostać. Konsekwencja jest z RODO: obowiązek oceny, czasem zgłoszenia, zawsze tłumaczenia, dlaczego narzędzie miało ten plik.
Poczta. Agent odpowiada klientowi A treścią przygotowaną dla klienta B. Etykieta była prawie dobra, a prawie wystarczy, żeby wyciekła cena albo reklamacja. Wygoda polegała na tym, że nikt nie zatwierdzał wysyłki.
Dysk. Polecenie „posprzątaj stare wersje” trafia do agenta z prawem kasowania. Model uznaje katalog roboczy za duplikat. Kopii nie ma, bo backup był „do zrobienia w przyszłym tygodniu”. Utrata danych nie wymaga złośliwego modelu. Wystarczy zbyt szerokie uprawnienie i leniwy czasownik w poleceniu.
Płatności. Agent z dostępem do bramki „zamyka” reklamację zwrotem, bo w podobnych wątkach zwrot był najczęstszą odpowiedzią. Statystyka treningu nie jest polityką Twojej firmy. Konsekwencja jest księgowa i trudna do cofnięcia, jeśli zwrot już wyszedł.
Przepisy. Wyszukiwanie zwraca sygnaturę, której nie ma, albo jest, ale mówi coś przeciwnego. W czacie sprawdzisz to w 30 sekund. W piśmie do urzędu, które ktoś wkleił bez otwarcia źródła, sprawdzisz to po wezwaniu do uzupełnienia. Sprawa stoi, a zespół traci zaufanie do narzędzia i wraca do ręcznej roboty. To też koszt, tylko niewidoczny na fakturze za tokeny.
Co odcina szkodę, zanim odetniesz wygodę
Nie trzeba rezygnować z agenta. Trzeba odciąć trzy rzeczy, które OWASP we wcześniejszych edycjach listy wiązał z nadmiarem sprawczości: za dużo funkcji, za dużo uprawnień, za dużo autonomii.
Funkcja: agent do statusu zamówienia nie dostaje kasowania plików. Uprawnienie: odczyt bazy tak, wysyłka i płatność nie. Autonomia: poniżej progu, który sam ustawisz, akcja czeka na człowieka. Próg da się zapisać w jednym zdaniu: pieniądze, dane osobowe, wiadomość do klienta i skasowanie pliku nie idą same.
Druga bariera jest poznawcza i tańsza niż nowy model. Nie czytaj całego elaboratu. Sprawdź trzy pola, które bolą: kwota, data, odbiorca. Jeśli któregoś nie ma w źródle, odpowiedź jest zła, niezależnie od tonu.
Trzecia to log: kto wywołał narzędzie, na jakich danych, czy człowiek zatwierdził. Bez logu po incydencie zostaje spór, czyja to wina. Z logiem zostaje procedura do poprawy.
Praktyczny wniosek: halucynacja jest cechą modelu, który przewiduje ciąg, a nie sprawdza rejestr. Szkodę robi dopiero połączenie tej cechy z Twoim skrótem myślowym i z kluczem API, który umie działać. To nie Twoja wina, że narzędzie pisze gładko. Ale to Ty decydujesz, co wolno mu kliknąć.
Wygodę zostaw przy szkicu, a sprawczość przy sobie. Klucz API ma być narzędziem, nie sterem. Ave!
Czytaj dalej: 9 na 10 kroków agenta nie potrzebuje frontieru (jak podzielić pracę między modele), Oddajesz szkic, zanim pomyślisz, Agent, którego nie widać (METR), Sąd nie oddał wyroku modelowi (kto zatwierdza).
Źródła: OWASP GenAI Security Project, komunikat z 1-2.09.2026, Lee i in., CHI 2025.