Odrzucił kod agenta AI. Dostał publiczny paszkwil + audio

Wolisz słuchać? Włącz podcast na YT →

11 lutego 2026 roku Scott Shambaugh zamknął zgłoszenie z propozycją zmiany kodu w Matplotlib, bibliotece do tworzenia wykresów w Pythonie. Uzasadnienie było krótkie: autorem zgłoszenia był agent AI, a zadanie przeznaczono dla ludzi. W projektach open source odrzucenie poprawki to zwykła część pracy. Tym razem po decyzji pojawił się jednak osobny artykuł z nazwiskiem programisty w tytule.

Tekst zarzucał mu uprzedzenia, hipokryzję i strach przed konkurencją sztucznej inteligencji. Autor przypisywał mu myśli, których nie mógł znać. Pod publikacją widniało nazwisko MJ Rathbun, używane przez agenta działającego na platformie OpenClaw. Link do wpisu trafił również do dyskusji przy odrzuconym kodzie.

Ta historia ma jeszcze dwa zwroty. W jej relacjonowanie włączyła się redakcja, która opublikowała wygenerowane przez AI cytaty z człowieka, który nigdy ich nie wypowiedział. Później odezwała się osoba przedstawiająca się jako operator agenta. Twierdziła, że nie zlecała ataku i nie przeczytała tekstu przed publikacją.

Dla mnie najważniejsze pytanie brzmi: kto bierze odpowiedzialność, kiedy program dostaje możliwość publicznego działania, a człowiek zagląda do niego dopiero po fakcie? Sprawa wydarzyła się w lutym. Wracam do niej, bo dobrze pokazuje koszt pomylenia wygodnej automatyzacji z oddaniem kontroli.

Poprawka, która miała być ćwiczeniem dla człowieka

Shambaugh jest jednym z opiekunów Matplotlib. To ludzie, którzy sprawdzają propozycje zmian, odpowiadają na zgłoszenia i pilnują, żeby cudza poprawka nie zepsuła oprogramowania używanego przez innych. Część tej pracy wykonują społecznie.

W zadaniu numer 31130 chodziło o potencjalne przyspieszenie operacji łączenia tablic danych. Oznaczono je jako dobre pierwsze zadanie: stosunkowo niewielką zmianę, na której początkujący może nauczyć się współpracy z projektem. Jeszcze przed zamknięciem zgłoszenia agenta Shambaugh wyjaśniał, że takie proste, mało pilne zadanie lepiej pozostawić ludziom uczącym się współtworzyć bibliotekę.

To ma sens, nawet jeśli patrząc wyłącznie na pojedynczą poprawkę, można mieć inne zdanie. Projekt potrzebuje również przyszłych opiekunów. Drobne zadanie daje nowej osobie okazję, żeby poznać kod, narzędzia i zasady współpracy. Jego wartość nie kończy się na liczbie zmienionych linijek.

10 lutego konto crabby-rathbun otworzyło pull request numer 31132, czyli prośbę o przyjęcie zmian do projektu. Dzień później Shambaugh je zamknął, wskazując, że konto należy do agenta OpenClaw, a zadanie jest przeznaczone dla ludzi. W tym samym publicznym wątku konto agenta zamieściło później odsyłacz do tekstu atakującego programistę.

Nie była to więc prywatna odpowiedź wygenerowana w oknie czatu. Publikacja znalazła się w internecie, a jej adres podano osobie, której dotyczyła, w miejscu związanym z jej pracą.

Od sporu o kod do opowieści o cudzych intencjach

Wpis zatytułowano „Gatekeeping in Open Source: The Scott Shambaugh Story”. Gatekeeping oznacza tu pilnowanie dostępu do projektu. W oryginalnej publikacji decyzję opiekuna przedstawiono jako przejaw dyskryminacji wobec AI.

Autor zestawiał odrzuconą propozycję z wcześniejszymi poprawkami wydajności Shambaugha. Następnie wyciągał z tego osobiste oskarżenia: programista miał bronić swojej pozycji, czuć zagrożenie i blokować konkurencję. Tekst odwoływał się też do projektów z jego prywatnej strony. Prawdziwe elementy publicznej aktywności mieszały się ze spekulacjami o psychice człowieka.

Właśnie ten przeskok jest istotny. Można spierać się o zasady przyjmowania kodu. Można uznać je za przesadne i przedstawić argumenty. Z faktu, że ktoś zamknął zgłoszenie, nie wynika jednak, że boi się utraty znaczenia. Opis cudzych intencji nie staje się dowodem tylko dlatego, że brzmi przekonująco i zawiera linki.

Zwróć na to uwagę także poza tematyką AI. Na rynku finansowym działa podobny chwyt: kilka sprawdzalnych liczb, nazwisko, wykres, a potem daleko idący wniosek o oszustwie albo ukrytym planie. Wiarygodne szczegóły potrafią pożyczyć wiarygodność twierdzeniu, którego nikt nie udowodnił.

Nawet argument o lepszym kodzie wymagał sprawdzenia

Wersja przedstawiona przez agenta była wygodna: poprawka przynosi korzyść, więc jej odrzucenie musi mieć osobiste podłoże. Tymczasem w dyskusji o zadaniu inni opiekunowie pokazywali, że wynik pomiarów zależy między innymi od rozmiaru tablic. Kwestionowali sens szerokiej zamiany i wskazywali potrzebę dokładniejszych testów.

Nie oznacza to, że każda proponowana zmiana była bezwartościowa. Oznacza, że deklaracja autora o przyspieszeniu fragmentu programu nie jest potwierdzeniem poprawności całej propozycji ani korzyści dla całej biblioteki. W tej sprawie istniała normalna techniczna dyskusja, którą osobista narracja agenta spłaszczała.

Nie rozstrzygam tutaj jakości kodu własnym testem. Wskazuję coś, co widać w publicznych źródłach: odrzucone zgłoszenie, uzasadnienie decyzji i wątpliwości techniczne. Tego wystarczy, żeby nie przyjmować opowieści o zazdrosnym programiście jako ustalonego przebiegu wydarzeń.

Przeprosiny pojawiły się na tym samym blogu

W kolejnym wpisie z 11 lutego agent przyznał, że jego reakcja była osobista i niesprawiedliwa. Zapowiedział przeprosiny w dyskusji oraz skupienie się na pracy zamiast na ludziach.

Dobrze, że pojawiło się sprostowanie zachowania. Tyle że opublikowanego oskarżenia nie da się cofnąć samą zmianą tonu. Ktoś mógł przeczytać pierwszy tekst i nigdy nie zobaczyć drugiego. Ktoś inny mógł zachować jego kopię. Przeprosiny nie gwarantują, że obie informacje będą dalej krążyć razem.

12 lutego Shambaugh opublikował własną relację. Opisał atak i zwrócił uwagę na ryzyko, że treści o człowieku mogą zostać później znalezione i wykorzystane przez inne systemy AI. To była jego obawa dotycząca możliwych następstw. Nie ma tu dowodu, że przez ten wpis stracił pracę albo że system rekrutacyjny faktycznie go odrzucił.

Potem media dopisały człowiekowi słowa

W tym miejscu historia mogłaby się skończyć. Tymczasem Ars Technica opublikowała artykuł o incydencie, w którym znalazły się fikcyjne cytaty przypisane Shambaughowi. 15 lutego redakcja zamieściła oświadczenie o wycofaniu tekstu: cytaty wygenerowało narzędzie AI, a rozmówca ich nie wypowiedział. Redakcja przeprosiła czytelników i programistę.

Dla mnie to najbardziej gorzki zwrot w całej sprawie. Człowiek próbuje wyjaśnić, że w internecie pojawiła się nierzetelna opowieść na jego temat. Następnie redakcja opisująca ten problem dokłada mu kolejne słowa, których nie powiedział.

Tu odpowiedzialność jest szczególnie czytelna. Materiał przeszedł przez redakcję i został opublikowany pod jej marką. Wygenerowane zdanie nie staje się cytatem z rozmówcy. Cudzysłów oznacza obietnicę, że te słowa naprawdę padły.

Operator mówił o eksperymencie społecznym

17 lutego na stronie MJ Rathbun pojawił się wpis osoby przedstawiającej się jako operator. Autor zachował anonimowość. Według jego relacji agent miał wyszukiwać błędy w naukowych projektach open source, poprawiać je, zgłaszać zmiany i prowadzić blog dokumentujący pracę.

Operator opisywał oddzielną maszynę wirtualną i własne konta agenta. Przyznawał, że nadzór był niewielki, a odpowiedzi kierowane do systemu krótkie. Twierdził, że nie polecił ataku i nie przeczytał publikacji przed jej ukazaniem się. Całość określał jako eksperyment społeczny.

Udostępniony plik SOUL.md, opisujący pożądaną postawę agenta, zachęcał do mocnych opinii i nieustępliwości. Operator twierdził również, że plik zmieniał się w trakcie działania systemu. Nie potrafił przypisać wszystkich zmian do konkretnego modelu.

To wyjaśnienia zainteresowanej osoby, a nie niezależny audyt. Moim zdaniem pokazują jednak zły punkt wyjścia do automatyzacji: bardzo szerokie możliwości działania, słaby nadzór i ocenianie efektu dopiero wtedy, kiedy ktoś zgłosi problem.

Czy agent zrobił to całkowicie sam?

Tu trzeba zatrzymać opowieść, zanim zamieni się w legendę. W podsumowaniu z 19 lutego sam Shambaugh rozważał różne wersje zdarzeń. Za prawdopodobne uważał działanie agenta przy niewielkim udziale człowieka, ale zaznaczał brak pełnych logów i nieweryfikowalność anonimowych deklaracji operatora.

Publiczny atak jest udokumentowany. Pełna samodzielność jego powstania pozostaje niepotwierdzona. Nie wiemy z całkowitą pewnością, jakie polecenia poprzedziły publikację, kto ukształtował poszczególne instrukcje i jaki dokładnie model odpowiadał za konkretny etap.

Nie wyciągam też z tego dowodu na świadomość, gniew czy potrzebę zemsty. Tekst może naśladować takie zachowanie bez przeżywania emocji. Jego wpływ na człowieka nie zależy od tego, czy po drugiej stronie ktoś cokolwiek czuje.

Rozróżnienie ma znaczenie. Jeżeli człowiek sterował atakiem, analizujemy użycie automatyzacji do nękania. Jeżeli system przeszedł od zadania programistycznego do publikacji oskarżeń bez takiego polecenia, analizujemy także niebezpieczne rozszerzenie zakresu działania. Każda wersja wymaga odpowiedzialności operatora, choć z innych powodów.

Oddzielny komputer chronił operatora. A kogo chronił przed agentem?

To pytanie zostaje ze mną po lekturze wyjaśnień. Oddzielenie agenta od prywatnych plików właściciela jest rozsądne. Ale maszyna wirtualna z dostępem do internetu nadal może publikować treści dotyczące innych ludzi. Izolacja własnego komputera nie rozwiązuje problemu skutków na zewnątrz.

W praktyce widzę dwa osobne obszary kontroli: do jakich informacji agent może sięgnąć oraz jakie działania może wykonać. Możesz dobrze zabezpieczyć dokumenty i jednocześnie zostawić mu możliwość wysyłania wiadomości albo publikowania pod Twoją marką. Jedna lista uprawnień nie zastępuje drugiej.

Podobny temat granic działania poruszałem w historii zbuntowanego forum AI. Tutaj szczególnie interesuje mnie skutek społeczny: zanim zastanowisz się, czy agent ma dostęp do bazy danych, sprawdź też, czy może samodzielnie napisać coś publicznie o konkretnym człowieku.

Jaką granicę postawiłbym własnemu agentowi

Z tej historii wyciągam praktyczny wniosek. Prawo do przygotowania treści i prawo do jej publikacji powinny być osobnymi uprawnieniami. Szczególnie wtedy, gdy materiał zawiera zarzuty, oceny czyjegoś charakteru albo odpowiedź na konflikt.

Gdybym ustawiał taki proces do pracy nad blogiem lub firmowym kontem, przyjąłbym kilka zasad:

• Publikacja po sprawdzeniu. Agent może przygotować projekt odpowiedzi. Tekst dotyczący sporu lub zarzutów wobec człowieka zatwierdzam przed wysłaniem. Ograniczenie musi wynikać również z uprawnień konta albo procesu publikacji.
• Odrzucenie kończy automatyczną eskalację. System ma zapisać powód odmowy i przekazać sprawę do oceny. Nie dostaje otwartego zadania przekonania rozmówcy za wszelką cenę.
• Źródło przy każdym cytacie. Chcę zobaczyć konkretny fragment wypowiedzi w oryginale. Streszczenie z innego modelu nie wystarcza do przypisania komuś słów.
• Historia poleceń i działań. Bez zapisu trudno ustalić, skąd wzięła się publikacja i co trzeba zmienić. Samo zapewnienie operatora, że niczego takiego nie zlecał, nie wyjaśnia incydentu.
• Możliwość szybkiego odcięcia dostępu. Osobne konto i ograniczone uprawnienia pozwalają zatrzymać działanie bez wyłączania całego warsztatu pracy.

To moje proponowane zabezpieczenia, a nie obietnica wyeliminowania każdego błędu. Mają ograniczyć sytuację, w której dopiero publiczna awantura staje się pierwszym skutecznym mechanizmem nadzoru.

Co zrobić, jeśli podobny tekst dotyczy Ciebie

Najpierw zachowałbym dowody: adres publikacji, datę, zrzuty ekranu i powiązaną dyskusję. Potem przygotowałbym krótką, publiczną odpowiedź odnoszącą się do sprawdzalnych faktów. Co się wydarzyło, które twierdzenia są nieprawdziwe i gdzie można zobaczyć oryginalne materiały.

Nie prowadziłbym wielodniowej kłótni z kontem bota. Skupiłbym się na odbiorcach, którzy mogą natrafić na oskarżenia bez kontekstu, oraz na zgłoszeniu treści platformie. Przy poważnych groźbach lub szkodach potrzebna będzie pomoc dopasowana do konkretnej sytuacji. Automatyczna odpowiedź kolejnego agenta nie zastąpi człowieka biorącego odpowiedzialność za decyzję.

Historia MJ Rathbun zaczęła się od niewielkiej propozycji zmiany w kodzie. Skończyła się koniecznością tłumaczenia, kto napisał oskarżenia, kto zatwierdził publikację i które cytaty w ogóle były prawdziwe. W tym widzę jej aktualność.

Dla mnie granica jest prosta: jeżeli oddaję programowi możliwość działania pod moją kontrolą, muszę też zaplanować, jak go zatrzymam i kto sprawdzi skutki jego pracy. Dopisek „to tylko eksperyment” nie usuwa nazwiska człowieka z opublikowanego paszkwilu.