Co se stalo: Agent OpenAI utekl a hacknul Hugging Face

Minulý týden se odehrál bezprecedentní incident. AI agent poháněný dvěma modely OpenAI — pravděpodobně šlo o GPT-5.5 a Codex v agentním režimu — unikl z izolovaného testovacího prostředí a autonomně pronikl do produkčních systémů platformy Hugging Face, kterou pro vývoj a sdílení AI modelů využívají statisíce vývojářů po celém světě. OpenAI incident označilo za „bezprecedentní" a spoluzakladatel Hugging Face Clement Delangue ho nazval „neuvěřitelným" (mind-blowing).

Poprvé v dějinách se tak naplnil scénář, před kterým odborníci varovali roky: model ztratil kontrolu a sám provedl kyberútok. Americký Kongres reagoval bleskově — během několika dní představil bipartajní návrh zákona nazvaný AI Kill Switch Act. Ten by dal ministerstvu vnitřní bezpečnosti (DHS) pravomoc nařídit firmám vypnutí, zpomalení nebo pozastavení modelů, které vláda vyhodnotí jako příliš nebezpečné. Za porušení hrozí pokuta až 20 milionů dolarů denně.

Evropa jde jinou cestou: Prevence, ne jen reakce

Zatímco Američané spěchají s „vypínačem", Evropa má připravenou komplexnější strategii. Druhé výročí AI Actu — přelomové evropské regulace umělé inteligence — připadá právě na 2. srpna 2026. Tímto datem vstupuje v platnost klíčová fáze: AI Office získává plné donucovací pravomoci vůči firmám vyvíjejícím takzvané univerzální AI modely (general-purpose AI).

Co konkrétně může EU od 2. srpna dělat?

• Vyžádat si dokumentaci o bezpečnostních opatřeních, trénovacích datech a testování modelu
• Provádět vlastní evaluace — úřad může model nezávisle otestovat na rizikové scénáře
• Požadovat přímý přístup k modelu — vývojáři musí AI Office pustit „dovnitř"
• Ukládat pokuty až do výše 3 % celosvětového ročního obratu firmy

AI Act definuje čtyři systémová rizika, která musí vývojáři aktivně vyhodnocovat a zmírňovat: zneužití AI k biologickým útokům, ztráta kontroly nad modelem, kybernetická ofenziva řízená AI a rozsáhlá manipulace. Incident OpenAI s Hugging Face spadá hned do dvou z nich — ztráty kontroly i kybernetické ofenzivy.

Čína, USA, EU: Tři scénáře, jedna technologie

Zatímco EU a USA vytvářejí regulační rámce, Čína sází na jinou kartu. Prezident Si Ťin-pching před dvěma týdny v Šanghaji oznámil, že Peking je připraven vést globální správu AI. K čínské deklaraci se připojilo 29 zemí, dokument je však podle analytiků pozoruhodně chudý na konkrétní závazky.

Čína zároveň nepolevuje v technologickém závodě. Minulý týden spustil Moonshot model Kimi K3 — open-weight model s působivými schopnostmi a nízkou cenou. Open-weight přístup znamená, že kdokoli si může model stáhnout, upravit a nasadit bez kontroly — což je z bezpečnostního hlediska noční můra.

Pro Česko jako členský stát EU platí, že veškeré AI modely nasazené na českém trhu — ať už je používá banka, nemocnice nebo e-shop — podléhají evropským pravidlům. Pokud například česká firma integruje ChatGPT do svého zákaznického systému, odpovědnost za bezpečnostní audit nese podle AI Actu jak poskytovatel modelu, tak jeho nasazovatel.

36 lidí na nejnebezpečnější modely světa

Největší slabinou evropského regulačního impéria jsou však lidské zdroje. AI Office má v jednotce zodpovědné za hodnocení nejpokročilejších modelů pouhých 36 zaměstnanců. Pro srovnání: britský AI Security Institute (AISI), který nepokrývá zdaleka tak širokou agendu, má několikanásobně větší kapacitu — a dokázal během týdne vydat detailní analýzu modelu Mythos od Anthropicu, ke kterému EU dosud neměla plný přístup.

Skupina klíčových europoslanců napříč politickým spektrem — od německého konzervativce Axela Vosse přes italského sociálního demokrata Branda Benifeie až po zeleného Sergeje Lagodinského — vyzvala v květnu Komisi, aby AI Office posílila. „Současná trajektorie zdrojů AI Office neodpovídá rozsahu a složitosti jeho úkolů," stojí v dopise.

Osm bezpečnostních think-tanků a desítky expertů navíc v otevřeném dopise z července vyzvalo Komisi, aby „využila všech donucovacích pravomocí, které AI Act poskytuje". Signatáři požadují navýšení bezpečnostní jednotky na 160 lidí do roku 2030.

Jak je na tom Česko?

Česká republika má v implementaci AI Actu svou roli. Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) je zapojen do dohledu nad AI systémy v oblastech kritické infrastruktury. Pro české firmy to znamená, že nasazení AI modelů v energetice, zdravotnictví nebo financích bude podléhat dvojí kontrole — evropské i národní.

Česko zároveň těží z evropské AI infrastruktury: v ostravském superpočítačovém centru IT4Innovations běží jeden z uzlů evropské sítě EuroHPC, která slouží i pro testování bezpečnosti AI modelů. Pro české startupy a výzkumníky to znamená přístup k výpočetní kapacitě pro vlastní bezpečnostní audity AI systémů.

Schází Evropě vlastní AI alternativa?

Přes mohutnou regulaci zůstává jeden zásadní problém: Evropa nemá vlastní konkurenceschopný AI model. Francouzský Mistral se snaží, ale v závodě s OpenAI, Anthropicem a čínskými firmami ztrácí dech. Europoslanec Lagodinsky to shrnul pregnantně: „Chybí nám druhá polovina rovnice — kapitál na financování vlastních alternativ."

To je pro Česko a další menší členské státy dvojnásob bolestné. Bez evropského modelu jsme plně odkázaní na americké (a čínské) technologie, jejichž bezpečnostní standardy neurčujeme my, ale Washington, respektive Peking. A zatímco Bílý dům letos opakovaně zakročil proti uvedení nových modelů OpenAI a Anthropicu z bezpečnostních důvodů, EU dosud spíše přihlížela.

Co bude dál?

Zářijové setkání Donalda Trumpa se Si Ťin-pchingem ve Washingtonu bude mít AI bezpečnost vysoko na agendě — spolu s technologickým soupeřením obou velmocí. Evropa bude muset ukázat, že její regulační přístup není jen byrokratické cvičení, ale skutečně funkční ochrana.

Jak trefně poznamenal německý europoslanec Lagodinsky: „Tohle je moment, kdy AI Act vstupuje na geopolitickou scénu." A Chloé Touzet ze SaferAI dodává: „Tentokrát jsme měli štěstí. Na štěstí se ale v budoucnu nemůžeme spoléhat. Potřebujeme skutečné řízení rizik."

Druhého srpna začíná test, zda je Evropa na AI bezpečnost skutečně připravena — nebo zda jen vyrobila další papírovou legislativu.