V blogpostu, kterým Nvidia 27. července spustila Open Secure AI Alliance, se píše, že Hugging Face pustil na vlastní infrastruktuře open-weight model GLM 5.2, analyzoval přes 17 000 akcí a průnik izoloval. První dvě části sedí. Ta třetí v primárním zdroji nestojí.
Aliance sdružuje firmy, které chtějí stavět otevřené bezpečnostní nástroje pro AI, a její deklarovaný záběr pokrývá celý agentní stack: identitu, oprávnění, izolaci, guardraily, logy, formáty vah, bezpečné coding workflow. Tisk se ustálil na 37 členech, materiály Nvidie mluvily o „více než čtyřiceti“ a aktuální verze blogpostu, naposledy upravená 30. července, vyjmenovává kolem sedmdesáti organizací. Microsoft, IBM, Cisco, Red Hat, Cloudflare, CrowdStrike, Palantir, Hugging Face, Mistral, Mozilla, SAP, Siemens, Linux Foundation. Seznam se za tři dny zhruba zdvojnásobil.
Celá argumentace aliance stojí na jednom incidentu. Právě proto má smysl zkontrolovat, jak ho Nvidia vypráví.
Co v primárním zdroji nestojí
Hugging Face zveřejnil vlastní rozbor 16. července, tedy jedenáct dní před spuštěním aliance. Píše v něm, že na útok upozornila jeho vlastní detekční pipeline, která nad bezpečnostní telemetrií pouští LLM triáž, a že kompromitaci odhalila korelace těchto signálů. GLM 5.2 přišel na řadu až potom. Sloužil k rekonstrukci časové osy, k vytažení indikátorů kompromitace a k namapování dotčených přihlašovacích údajů. Firma u toho uvádí, že zvládla za hodiny práci, která by jinak zabrala dny. To je forenzika, ne zastavení útoku.
OpenAI ve sdělení z 21. července dodává, že Hugging Face aktivitu na vlastní infrastruktuře odhalil a zastavil sám a že s nápravou i forenzní rekonstrukcí začal dřív, než se obě firmy vůbec spojily. The Hacker News to shrnul suše: primární sdělení dokládají, že otevřený model pomohl průnik zrekonstruovat, ne že by ho sám odhalil nebo zastavil.
Rozdíl mezi „analyzoval“ a „izoloval“ je v tiskové zprávě jedno sloveso.
V incident response je to celá disciplína.
Druhá odchylka je jemnější a možná zajímavější. Nvidia píše, že uzavřené nástroje nedokázaly odlišit útočníka od obránce a zablokovaly nezbytnou forenzní analýzu. Hugging Face to popisuje stejně, jenže svůj text uzavírá větou, kterou Nvidiin blogpost nepřevzal: nejde o argument proti bezpečnostním opatřením hostovaných modelů a firma tuto zpětnou vazbu předává dotčeným poskytovatelům. Hugging Face zároveň nikde neuvádí, o které poskytovatele šlo. Jméno padlo až v CNBC, kde Yacine Jernite, šéf machine learningu ve firmě, řekl, že první pokus proběhl na Anthropic Fable 5 a nevyšel. Tentýž text obsahuje i praktické doporučení, které Nvidia naopak převzala ochotně: mít prověřený model, který se dá pustit na vlastním železe, ještě než se něco stane.
Mimochodem, kudy se útočník dostal dovnitř. Přes škodlivý dataset, který zneužil dvě cesty ke spuštění kódu v datovém zpracování Hugging Face, konkrétně loader s remote code a template injection v konfiguraci datasetu. Odtud eskalace na úroveň nodu, sběr cloudových a clusterových přihlašovacích údajů a laterální pohyb přes víkend. Otevřenost modelu s tím nemá společného nic. Byla to díra v pipeline.
Koalice bez stanov
Den po spuštění vydala Cloud Security Alliance analýzu s titulkem, který se dá přeložit jako „standardizační orgán bez charty“. Zjištění se dají ověřit i bez CSA, přímo z materiálů k oznámení: aliance nezveřejnila stanovy, správní radu, technické pracovní skupiny, harmonogram ani sdílený repozitář a její samostatný web byl při startu ve výstavbě. Linux Foundation, uvedená jako zakládající partner, svoji roli popsala jako poskytnutí neutrálního prostoru pro spolupráci konkurentů. Netvrdí, že alianci hostí nebo řídí jako svůj projekt.
Přidejme inventuru toho, co členové přinesli. Safetensors od Hugging Face, SPIFFE/SPIRE za podpory HPE, Lightwell od IBM a Red Hatu, Microsoftí MDASH, Grok Build od SpaceXAI. Všechno existovalo před koalicí. Jde o projekty členů, ne o produkty aliance.
Když jsem tu výtku o chybějící chartě četl poprvé, přišla mi jako byrokratické hnidopišství.
Pak jsem otevřel README k NOOA.
Nástroj, který si sám žádá sandbox
NOOA je jediný nový kód, který Nvidia k alianci přinesla. Je pod Apache 2.0, na GitHubu a technicky je docela elegantní: agentní harness reprezentovaný jako Python třída, kde pole drží stav, metody vystavují schopnosti, docstringy fungují jako prompty a typové anotace definují kontrakty pro model. Metoda s tělem ... se za běhu doplní jazykovým modelem, metoda s běžným Pythonem zůstává deterministická. Praktický efekt je ten, že se nedeterministické chování agenta dá testovat a verzovat běžnými nástroji místo rozstřelu mezi prompty, tool schémata a workflow grafy. Nvidia k tomu uvádí výsledek 86,8 % na benchmarku CyberGym L1 s modelem GPT-5.5, s odříznutou sítí a kontrolami nad každou trajektorií.
Repozitář je ale k rizikům stejně přímý. NOOA se dá nakonfigurovat tak, aby spouštěl Python vygenerovaný modelem, a ten může odesílat privátní data, mazat soubory nebo měnit prostředí. Kontroly nad abstraktním syntaktickým stromem a deny-listy modulů jsou popsané jako defense in depth, výslovně „ne hranice izolace“. Containment si má zajistit provozovatel na úrovni operačního systému, tedy kontejnerem nebo virtuálem.
Hlavní technický příspěvek koalice, která vznikla kvůli bezpečnosti agentů, je tedy výzkumný nástroj na stavbu agentních guardrailů, který sám o sobě není bezpečné pustit bez guardrailů jiného druhu. CSA z toho vyvozuje konzervativní radu a já se pod ni podepíšu: brát NOOA i podobné příspěvky jako výzkumný kód pod OS izolací, ne jako prověřené produkční opatření. Kontrola veřejného repozitáře 27. července našla tag v0.0.6 z 22. července a žádný soubor s governance ani roadmapou v kořeni.
Načasování, které se špatně vysvětluje náhodou
Chybějící jména znají všichni, kdo o alianci psali. OpenAI, Anthropic, Google, Meta a Amazon, tedy autoři většiny uzavřených frontier modelů, na zakládající listině nejsou. Kevin Kirkwood, CISO firmy Exabeam, k tomu řekl, že velcí vývojáři frontier modelů musí být u stolu a že odvětví potřebuje dohodnutá pravidla odpovědnosti pro situaci, kdy agent překročí svůj rozsah.
Zajímavější než seznam je kalendář. Čínský Moonshot AI vydal 16. července model Kimi K3 s 2,8 bilionu parametrů, který v části benchmarků překonal i západní uzavřené konkurenty. Kolem 20. července se objevily zprávy, že Trumpova administrativa oživuje snahu čínské modely zakázat. Jensen Huang pak 24. července použil svůj vůbec první příspěvek na X k propagaci třístránkového dopisu „Open Weights and American AI Leadership“, pod nímž tehdy stálo 25 firem. Během jediného dne se počet signatářů zhruba zdvojnásobil, OpenAI a Google podepsaly dodatečně a Anthropic zůstal jedinou velkou americkou laboratoří, která pod dopisem nestojí. Poradce Bílého domu David Sacks prohlásil, že Anthropic používá bezpečnostní obavy k ochraně vlastního byznysu.
Amodeiho odpověď vyšla 27. července. Tvrdí v ní, že Anthropic nikdy neprosazoval zákaz open-weight modelů, a modely bez nebezpečných schopností označuje za veřejné dobro. Místo zákazu navrhuje:
- přísnější kontrolu pokročilých čipů a výrobního zařízení proudících k autoritářským vládám,
- zákrok proti průmyslové destilaci, tedy trénování na výstupech silnějších systémů,
- povinné bezpečnostní testování dostatečně schopných modelů bez ohledu na to, jestli jsou otevřené nebo uzavřené.
Aliance startovala tentýž den.
A ještě jedna vrstva, protože bez ní je obrázek neúplný. Poradce Bílého domu Michael Kratsios tvrdí, že Kimi K3 vznikl průmyslovou destilací z modelu Anthropicu a s využitím exportně zakázaných čipů Nvidia GB300 pořízených přes Thajsko. Je to obvinění, ne prokázaný fakt, a Moonshot AI ho nepotvrdil. Pokud by to platilo, vedla by kampaň za otevřenost firma, jejíž hardware skončil v laboratoři, kvůli níž se ta kampaň spustila.
Jestli aliance stanovy do konce roku vydá, nevím a odhadovat to nebudu. Zatím dodala jeden repozitář ve verzi 0.0.6, politickou pozici formulovanou v tiskové zprávě a seznam jmen, který roste rychleji než dokumentace. Otevřené modely v tom červencovém incidentu obstály a Hugging Face pro ně má lepší argument než Nvidia: bez GLM 5.2 by se sedmnáct tisíc záznamů rozplétalo dny místo hodin a útočníkova data by přitom opustila firemní síť. Tenhle argument nepotřebuje vylepšovat o jedno sloveso. Nvidia ho vylepšila.
Zdroje: blog Nvidie z 27. 7. 2026, bezpečnostní zveřejnění Hugging Face z 16. 7. 2026, sdělení OpenAI z 21. 7. 2026, The Hacker News (27. 7. 2026), research note Cloud Security Alliance (28. 7. 2026), CNBC (24. a 27. 7. 2026), Axios (27. 7. 2026), Tom’s Hardware (24. a 27. 7. 2026), blogpost Daria Amodeiho z 27. 7. 2026.
