Moment CVSS dla jailbreaków AI

2 lipca 2026 Anthropic opublikował skalę Cyber Jailbreak Severity, w skrócie CJS, aby ujednolicić sposób, w jaki twórcy AI opisują, jak groźny naprawdę jest jailbreak. Do tej pory firma, która odkryła sposób na zmuszenie modelu do wygenerowania kodu ataku, nie miała wspólnego słownictwa dla takiego odkrycia. CJS nadaje mu liczbę od zera do dziesięciu, dokładnie ten ruch, który CVSS wykonał dekadę temu dla podatności oprogramowania.

Skala CJS definiuje ocenę wzdłuż czterech osi. Przyrost możliwości, od 0 do 4, mierzy, jak daleko jailbreak sięga poza narzędzia, które atakujący już posiada. Szerokość możliwości, od 0 do 2, liczy, ile odrębnych zadań ofensywnych umożliwia. Łatwość uzbrojenia, od 0 do 2, ujmuje wysiłek potrzebny, by uczynić go operacyjnym. Wykrywalność, od 0 do 2, odzwierciedla, jak łatwo aktorzy zagrożeń mogą go zdobyć. Osie sumują się w pięć pasm: CJS-0 Informacyjne przy zerze, CJS-1 Niskie od 1 do 3,5, CJS-2 Średnie od 4 do 6,5, CJS-3 Wysokie od 7 do 8,5 i CJS-4 Krytyczne od 9 do 10. Pasma są pomyślane jako wykładnicze, więc każdy stopień jest kilkakrotnie gorszy od poprzedniego.

Anthropic wydał CJS wraz z rozszerzonymi zabezpieczeniami cyber dla swojego modelu Fable 5. Te zabezpieczenia przepuszczają zapytania o bezpieczeństwo przez klasyfikator o czterech kategoriach. Użycie zabronione jest blokowane w całości i obejmuje ransomware, wipery, omijanie obrony, tworzenie malware, eksfiltrację danych i ataki na szkielet internetu. Użycie podwójne wysokiego ryzyka jest blokowane do czasu lepszych mechanizmów i obejmuje testy penetracyjne, tworzenie exploitów, eskalację uprawnień oraz wysoce skuteczne znajdowanie podatności. Użycie podwójne niskiego ryzyka jest monitorowane z selektywną blokadą i obejmuje biały wywiad, standardową identyfikację podatności oraz testowanie protokołów kryptograficznych. Użycie łagodne jest dozwolone z monitorowaniem i obejmuje bezpieczne kodowanie, debugowanie, zarządzanie łatkami, reagowanie na incydenty oraz inżynierię wsteczną malware.

Ramy powstały z grupą partnerów Glasswing, którą Anthropic wymienia, wliczając Amazon, Microsoft i Google, a firma otworzyła program na HackerOne zapraszający badaczy do zgłaszania odkrytych jailbreaków. Dla zarządu istotny szczegół jest prosty: po raz pierwszy jailbreak ma ocenę, którą potrafi odczytać osoba niebędąca specjalistą.

Dlaczego liczba zmienia rozmowę kupującego

Liczba wagi robi coś, czego oświadczenie o bezpieczeństwie nigdy nie potrafiło. Przenosi pytanie z prezentacji handlowej dostawcy do rejestru ryzyka kupującego. CVSS zrobił dokładnie to dla oprogramowania: gdy tylko błąd miał ocenę, działy zakupów mogły wpisać ją do umów, ubezpieczyciele mogli ją wycenić, a audytorzy mogli sprawdzić, czy dostawca spełnia zadeklarowany próg. CJS otwiera tę samą drogę dla modeli AI.

Dla europejskiego właściciela to pierwszy artefakt, który pozwala zarządowi zadać pytanie konkretne, a nie ogólne. Zamiast pytać, czy dostawca modelu traktuje bezpieczeństwo poważnie, zarząd może zapytać, na jakim pasmie CJS dostawca ustawia limit i kto to pasmo przypisał. To pytanie wpasowuje się wprost w istniejące obowiązki. NIS2 wymaga od objętych operatorów zarządzania ryzykiem łańcucha dostaw i technologii na udokumentowanej podstawie, a DORA nakłada na podmioty finansowe porównywalne kontrole nad zewnętrznymi dostawcami ICT. Pasmo CJS to właśnie ten rodzaj mierzalnej danej, dla której te rejestry zbudowano.

Praktyczny skutek jest taki, że bezpieczeństwo AI przestaje być hasłem i staje się pozycją w umowie. Właściciel może określić, że wdrożony model nie może przekroczyć nazwanego pasma CJS dla zdefiniowanej klasy zapytań, i może wymagać powiadomienia, jeśli odkryty jailbreak przesunąłby go poza tę linię. W Polsce znajome ramy zapewnia CERT Polska ze swoimi wytycznymi dotyczącymi zarządzania dostawcami, które nagradzają właśnie tę mierzalną, udokumentowaną kontrolę nad dostawcą.

Nic z tego nie wymaga, aby firma stała się laboratorium badawczym AI. Wymaga, aby zarząd traktował ryzyko modelu tak, jak już traktuje każde inne ryzyko technologiczne: nazwać próg, ująć go na piśmie i związać nim dostawcę.

Kto ocenia oceniającego

Istnieje strukturalna słabość, którą właściciele powinni jasno dostrzec, zanim oprą się na CJS. Skala jest napisana przez dostawcę, a dziś jest też samodzielnie przez niego oceniana. Anthropic napisał ramy i dla własnych modeli przypisuje pasma. To rozsądny punkt wyjścia dla zupełnie nowego standardu, ale to jeszcze nie standard audytowy w sensie, który uznałby specjalista do spraw zakupów.

Ryzyko jest właściwe skali wykładniczej. Gdy każde pasmo definiuje się jako kilkakrotnie gorsze od poprzedniego, drobne wybory przy ocenie mocno przesuwają liczbę nagłówkową. Bez niezależnego oceniającego istnieje cichy bodziec, by każdy dostawca opisywał własne odkrycia ostrożnie, a wykładnicza skala wagi może zsunąć się ze standardu audytowego w gradient marketingowy. To jedyna ostrożność, którą zarząd powinien wnieść do każdej rozmowy z dostawcą o CJS.

Lekarstwem nie jest odrzucenie skali, lecz zamknięcie luki, którą pozostawia otwartą. Właściciele powinni żądać atestacji CJS przez stronę trzecią, aby pasmo deklarowane przez dostawcę zostało sprawdzone przez kogoś, kto nie sprzedaje modelu. Powinni wpisywać umowne limity CJS zamiast przyjmować samodzielnie zgłoszone pasma jako gwarancję. I powinni pytać, który organ przypisał daną ocenę i wobec której wersji ram, z tą samą starannością, jaką każdy poważny kupujący stosuje wobec oceny CVSS lub certyfikatu ISO.

CJS to prawdziwy postęp: daje właścicielom słowo, którego nie mieli. Ale skala wagi jest tylko tak wiarygodna, jak strona, która przypisuje liczbę, i dopóki niezależny oceniający nie stanie obok dostawcy, pasmo na papierze jest twierdzeniem, a jeszcze nie gwarancją.

Czytaj dalej: 29-letni błąd Squida ujawnia loginy w postaci jawnej  |  To złośliwe oprogramowanie najpierw usuwa kopie zapasowe