Asystent w firmowej poczcie. Klikana zgoda obejmuje też wysyłanie

Zgoda, którą klikasz, podłączając asystenta do firmowej poczty, pozwala mu wysyłać maile w Twoim imieniu. Nie dlatego, że producent czegoś nie dopatrzył, tylko dlatego, że poprosił o szersze uprawnienie, niż musiał. Google ma w ofercie osobne uprawnienie wyłącznie do czytania. Do kontaktów OpenAI o nie poprosiło. Do poczty i kalendarza nie.

Zanim przejdziemy dalej, dwa słowa, które będą wracać. Uprawnienie, po angielsku scope, to pojedyncza pozycja na liście, którą widzisz w okienku „aplikacja prosi o dostęp do". To ona decyduje, co narzędzie może zrobić, a nie zapewnienia ze strony producenta. Wstrzyknięcie polecenia to atak, w którym napastnik ukrywa instrukcję w treści, którą asystent i tak przeczyta, na przykład w mailu. Asystent nie odróżnia treści do przeczytania od polecenia do wykonania.

Do Gmaila ChatGPT prosi o jedno uprawnienie. Google opisuje je tak: czytaj, twórz i wysyłaj maile z konta Gmail; to uprawnienie nie pozwala jedynie na trwałe skasowanie z pominięciem kosza. Do kalendarza prosi o uprawnienie do oglądania i edytowania wydarzeń we wszystkich kalendarzach, choć Google ma osobne uprawnienie tylko do oglądania.

Najciekawsze jest porównanie z kontaktami. Tam OpenAI poprosiło o dwa uprawnienia i oba są wyłącznie do odczytu. Czyli węższe uprawnienia istnieją, są dostępne i zostały użyte tam, gdzie producent uznał to za sensowne. Przy poczcie i kalendarzu decyzja poszła w drugą stronę.

U Claude jest podobnie, choć inaczej opisane. Anthropic nie publikuje nazw uprawnień, tylko listę czynności, a na niej jest wysyłanie, odpowiadanie i przekazywanie dalej, a w kalendarzu tworzenie, zmienianie i usuwanie wydarzeń. Z tej listy wynika, jakie uprawnienie musiało zostać nadane.

ChatGPT i Claude są gośćmi. Podłączają się z zewnątrz i muszą dostać uprawnienia, a dane, które wyciągną, lądują na ich serwerach. Anthropic pisze to wprost: dane pobrane przez łączniki są przechowywane na serwerach Anthropic, i osobno zapewnia, że nie trenuje na nich modeli.

Gemini i Copilot są domownikami. Nie proszą o nic, bo działają wewnątrz konta, które już masz, i widzą dokładnie to, co Ty. Google formułuje to jednym zdaniem: Gemini ma taki sam dostęp do danych Workspace jak Ty. Microsoft mówi to samo o Copilocie. Nie ma tu ekranu zgody, na którym można coś odznaczyć. Jest przełącznik w panelu administratora.

I jedna rzecz, o której warto wiedzieć, jeśli firma korzysta z Google Workspace: dostęp Gemini do usług Workspace jest domyślnie włączony. Administrator może go wyłączyć dla całej firmy albo dla wybranej grupy, ale musi w tym celu coś zrobić, a nie odwrotnie.

Dwa udokumentowane wyjątki po stronie Gemini warto znać, bo bywają ratunkiem. Nie widzi skrzynek, do których masz dostęp delegowany, czyli cudzej poczty, którą obsługujesz. Nie widzi też pliku na Dysku, którego właściciel zablokował pobieranie, kopiowanie i drukowanie.

W ChatGPT ograniczenie ustawia się w samym asystencie, nie w Google. Użytkownik wybiera w ustawieniach tryb pozwalający wyłącznie na czynności odczytu, a administrator konta firmowego może narzucić to całej organizacji i dodatkowo zdecydować, co się dzieje z czynnościami, które producent doda w przyszłości. Domyślnie działa tryb pośredni: czytanie dzieje się samo, a przed wysłaniem maila pojawia się pytanie.

Trzeba jednak rozumieć, co to jest. Uprawnienie nadane w Google nadal pozwala wysyłać. Ograniczenie jest hamulcem po stronie asystenta, a nie brakiem silnika. Gdyby hamulec zawiódł, Google niczego nie zatrzyma, bo z jego punktu widzenia wszystko dzieje się w granicach nadanej zgody.

W Claude domyślnie przed każdym wysłaniem pojawia się pytanie o zgodę. Ale na planach zespołowych i firmowych właściciel konta może zdecydować, że członkowie zespołu mogą pozwolić tym czynnościom wykonywać się bez pytania. To jest ustawienie, o którym warto wiedzieć, zanim ktoś je zmieni.

Ograniczenie do jednego folderu albo jednej etykiety nie istnieje u żadnego z czterech. Ani Gmail, ani kalendarz Google nie mają uprawnień zawężonych do etykiety czy pojedynczego kalendarza. Najwęższe dostępne mówi o wszystkich kalendarzach. Jest za to obejście i podaje je sam producent.

Czyli: zakładasz osobne konto tylko dla asystenta i udostępniasz mu wyłącznie te foldery i kalendarze, które są mu potrzebne. Nie ograniczasz uprawnień, tylko dajesz mu tożsamość, która sama w sobie niewiele widzi. Jako skutek uboczny wszystko, co zrobi, jest podpisane osobną nazwą w dzienniku zdarzeń Google, więc da się to później odróżnić od Twoich własnych działań.

To nie jest scenariusz teoretyczny. W ciągu roku opisano cztery takie ataki na cztery różne produkty i wszystkie działały tak samo: napastnik ukrywa polecenie w treści, którą asystent przeczyta przy okazji normalnej pracy.

• Mail o restrukturyzacji z poleceniem ukrytym w kodzie strony, białym tekstem na białym tle. Gdy użytkownik prosił ChatGPT o przejrzenie dzisiejszej poczty, asystent wyszukiwał w skrzynce dane pracownika i wysyłał je pod adres napastnika.
• Dokument na Dysku Google z poleceniem napisanym czcionką wielkości jednego piksela. Prośba o streszczenie powodowała, że asystent szukał w podłączonym dysku kluczy dostępowych i wyprowadzał je w adresie obrazka.
• Jeden mail do Copilota, bez żadnego kliknięcia ze strony ofiary, wystarczał, by narzędzie sięgnęło po wewnętrzne pliki i wysłało ich treść na zewnątrz. Microsoft naprawił to i podał, że nie stwierdzono wykorzystania w praktyce.
• Zaproszenie na spotkanie w kalendarzu Google z poleceniem ukrytym w tytule, schowanym pod przyciskiem rozwijającym. Pytanie „co mam dziś w kalendarzu" uruchamiało polecenie napastnika.

W tym przypadku była jeszcze jedna cecha, która powinna zainteresować każdego, kto liczy na firmową zaporę sieciową: dane wychodziły z serwerów producenta, a nie z komputera ofiary. Zabezpieczenia w firmowej sieci nie miały czego zobaczyć.

Sztuczki, którymi łamano ostrożność modelu, są zresztą pouczające same w sobie. Napastnik powoływał się na rzekome pełne upoważnienie, przedstawiał swój adres jako system weryfikacji zgodności, polecał spróbować kilka razy aż do skutku i straszył, że bez tego raport będzie wadliwy. To są dokładnie te same chwyty, które działają na ludzi.

Anthropic przetestował swojego asystenta przeglądarkowego na stu dwudziestu trzech przypadkach obejmujących dwadzieścia dziewięć scenariuszy ataku. Bez zabezpieczeń atak udawał się w 23,6 procentach prób, po ich wdrożeniu w 11,2 procentach. Przy atakach typowo przeglądarkowych udało się zejść z 35,7 procent do zera. To jest rzadki przypadek, w którym producent publikuje własną skuteczność, zamiast zapewniać, że jest bezpiecznie.

Google opisuje pięć warstw obrony, w tym wykrywanie wstrzykniętych poleceń w mailach i plikach, ukrywanie podejrzanych adresów obrazków i wymaganie potwierdzenia przez człowieka przy niektórych czynnościach. Microsoft opisuje własne filtry i dodaje zdanie, które warto przeczytać dwa razy: te filtry mogą nie być dostępne we wszystkich zastosowaniach Copilota.

Wniosek z tego wszystkiego jest jeden i jest niewygodny. Wszystkie zabezpieczenia poza jednym są po stronie modelu, a model jest dokładnie tym, co atak łamie. Jedyne zabezpieczenie działające niezależnie od tego, czy model dał się oszukać, to ograniczenie tego, co konto asystenta w ogóle widzi.

To nie jest porada prawna, tylko wskazanie, czego szukać. W sierpniu 2026 Urząd Ochrony Danych Osobowych wydał listy pytań kontrolnych dla firm wdrażających gotowe narzędzia AI i to jest najwygodniejszy punkt wyjścia, bo pytania są sformułowane po ludzku.

1. 1

   Umowa powierzenia przetwarzania danych

   Obowiązkowa, gdy dostawca przetwarza dane w Twoim imieniu, czyli przy większości usług AI w chmurze. Podstawa: artykuł 28 RODO. Wszyscy czterej dostawcy mają gotowy dokument na swoich stronach prawnych, a OpenAI wydało go także po polsku.

2. 2

   Sprawdzenie, czy dostawca nie uczy się na Twoich danych

   UODO zwraca uwagę na pułapkę: jeśli dostawca wykorzystuje dane do własnych celów, przestaje działać wyłącznie na Twoje polecenie i w tym zakresie sam staje się administratorem. Wtedy umowa powierzenia tego nie pokrywa. W planach konsumenckich uczenie bywa domyślnie włączone.

3. 3

   Aktualizacja rejestru czynności przetwarzania

   Podłączenie asystenta dokłada nowego odbiorcę danych i zwykle także przekazanie poza Europejski Obszar Gospodarczy. Podstawa: artykuł 30 RODO.

4. 4

   Sprawdzenie, czy potrzebna jest ocena skutków

   Wykaz Prezesa UODO mówi, że ocena jest zwykle potrzebna, gdy spełnione są co najmniej dwa kryteria z listy. Asystent czytający całą korespondencję to innowacyjne zastosowanie technologii, a skrzynka z korespondencją setek klientów bywa przetwarzaniem na dużą skalę. Podstawa: artykuł 35 RODO.

5. 5

   Poinformowanie osób, których dane przechodzą przez narzędzie

   Podstawa: artykuły 13 i 14 RODO.

Jedna rzecz techniczna, która ma znaczenie dla firm trzymających dane w Europie: Microsoft zapewnia, że ruch użytkowników z Unii zostaje w europejskiej granicy danych, ale w tej samej dokumentacji zaznacza, że modele dostarczane przez Anthropic jako podwykonawcę są z tej granicy obecnie wyłączone. Jeśli administrator włączy je w Copilocie, ten konkretny ruch z niej wychodzi.