Czy jailbreak to „aktywnie wykorzystywana podatność”?
Michał Nowakowski · 14 października 2026
Co ma wspólnego jailbreak PlayStation 5 z AI i cyberbezpieczeństwem? Całkiem sporo. I do tego z Cyberresilience Act (CRA).
Co ma wspólnego jailbreak PlayStation 5 z AI i cyberbezpieczeństwem? Całkiem sporo. I do tego z Cyberresilience Act (CRA).
Zacznijmy od faktów. 29 września 2026 r. opublikowano exploit (coś co umożliwia wykorzystanie podatności), który pozwala wykonać jailbreak (ominięcie zabezpieczeń) flagowej konsoli Sony na niemal wszystkich wersjach oprogramowania, łącznie z PS5 Pro.
To przełamanie zabezpieczeń, które umożliwia między innymi uruchamianie niezaufanego kodu, modyfikowanie systemu konsoli „w locie” czy wgrywanie własnego oprogramowania. Przez lata publiczne exploity nie nadążały za aktualizacjami Sony - działały tylko na starych wersjach oprogramowania, więc producent mógł czuć się względnie bezpiecznie. Do czasu.
Do czasu, aż coraz bardziej zmotywowani hakerzy - wykorzystując też asystentów i agentów AI - postanowili zabrać się do pracy. Jak sami przyznają, w pracy korzystali między innymi z Claude’a. Nie oznacza to jednak, że GTA VI będzie dostępne „za darmo”, bo gra ma wymagać najnowszego oprogramowania 14.10, na którym żaden publiczny jailbreak nie działa. Na razie.
Zanim przejdziemy do merytoryki jeszcze kilka ogłoszeń:
✅ na legalarchitect.pl pojawiła się możliwość umówienia na krótką konsultację potrzeb w zakresie AI Governance, co jest też zapowiedzią nowego produktu - kreatora dokumentów AI Governance (prawie gotowy),
✅ ruszyły zapisy na 4. edycję "Zostań AI Governance Officerem", która odbędzie się już 27 października,
✅ na cyberszlif.pl możecie zagrać w grę "w incydent cyberbezpieczeństwa".
Kontynuujemy... Wracamy płynnie do tematu. Wokół "problemu" powstała też (uzasadniona) „drama”, gdy jeden ze znanych badaczy zgłosił Sony - przez program bug bounty - błąd w hypervisorze (swoistym strażniku całego systemu), który weteran sceny chciał trzymać w tajemnicy do premiery GTA VI.
Ten ostatni skwitował to stwierdzeniem, że scena była kiedyś grupą niezwykle utalentowanych badaczy, a teraz to tylko banda noobów, którzy używają LLM-ów i piszą hacki, których nawet nie rozumieją. Tutaj już mój komentarz, bo ta grupa jest przy tym niebezpieczna. Dla każdego.
W każdym razie doszło do przełamania. I teraz zastanówmy się, co by było, gdyby Cyber Resilience Act (rozporządzenie (UE) 2024/2847) był już w pełni stosowany.
A właściwie to już częściowo jest, bo od 11 września 2026 r. stosuje się art. 14, który - na mocy art. 69 ust. 3 - obejmuje także produkty z elementami cyfrowymi (więcej tłumaczę tutaj) wprowadzone do obrotu przed 11 grudnia 2027 r. (to data na dostosowanie do wymogów CRA), a więc i konsole sprzedane dawno temu.
Ten przepis nakłada na producentów obowiązek zgłaszania „jakiejkolwiek aktywnie wykorzystywanej podatności zawartej w takim produkcie”. Mniej interesujące są kwestie proceduralne (choć bardzo ważne!), więc zajmijmy się podatnościami.
Co mówi o tym CRA? ✅ „podatność” oznacza słabość, wrażliwość lub wadę produktu z elementami cyfrowymi, którą może wykorzystać cyberzagrożenie (art. 3 pkt 40).
Czy mamy tutaj do czynienia z podatnością? No mamy, i to co najmniej trzy - błąd w silniku przeglądarki WebKit (potencjalnie najbardziej szkodliwe w zakresie skali dostępności), błąd typu use-after-free w jądrze systemu oraz błąd w hypervisorze ujawniający się przy wybudzaniu konsoli z trybu spoczynku. Dopiero ich wykorzystanie pozwala uruchomić niepodpisany kod i odblokować niedostępne dotąd funkcjonalności.
A więc jedno już mamy. Co dalej?
✅ „cyberzagrożenie” oznacza wszelkie potencjalne okoliczności, zdarzenie lub działanie, które mogą wyrządzić szkodę, spowodować zakłócenia lub w inny sposób niekorzystnie wpłynąć na sieci i systemy informatyczne, użytkowników takich systemów oraz inne osoby (definicja z art. 2 pkt 8 aktu o cyberbezpieczeństwie, do której CRA odsyła).
Czy mamy cyberzagrożenie? Pewnie można się zastanowić, bo czy jailbreak może wyrządzić szkodę użytkownikowi? Może - nie wiesz, co znajduje się w paczkach, które ładujesz do swojej konsoli. A skoro furtką jest wbudowana przeglądarka, ten sam błąd może w zasadzie zostać użyty przeciwko graczowi, który niczego nie robił - wystarczy, że odwiedzi spreparowaną stronę. A producent? Zdecydowanie tak, więc możemy przyjąć, że jakieś cyberzagrożenie tutaj występuje. Informacja jest dostępna w zasadzie dla wszystkich, więc…
Jeżeli tak, to badamy dalej, przechodząc do kwestii:
✅ „aktywnie wykorzystywanej podatności” oznaczającej podatność, w przypadku której istnieją wiarygodne dowody, że podmiot działający w złych zamiarach wykorzystał ją w systemie bez zgody właściciela systemu (art. 3 pkt 42).
I tu jest dla prawników zagadka, bo czy samo udostępnienie informacji o tym, jak dokonać jailbreaku bez jego wykonywania jest wystarczające, aby uznać, że mamy tutaj wiarygodne dowody, że podmiot działający w złych zamiarach wykorzystał ją w naszych systemach? Motyw preambuły (68) CRA podpowiada odpowiedź, tj. podatności wykryte bez złych zamiarów - do celów testowania w dobrej wierze, analizy, korekty lub ujawnienia - nie podlegają obowiązkowi zgłaszania. To nawiązanie do tzw. CISA KEV. https://www.cisa.gov/known-exploited-vulnerabilities-catalog
Publicznie dostępny exploit dowodzi więc, że podatność da się wykorzystać, a nie że ktoś wykorzystał ją w złej wierze. Jednocześnie pojawia się pytanie, czy jailbreak jest zagrożeniem dla tych, którzy dobrowolnie nie robią jailbreaka. No i jeszcze jedna dodatkowa kwestia - co to znaczy mieć wiarygodne dowody? Czy jedno zgłoszenie wystarczy, czy musi ich być 100 tysięcy?
Tu producent musi ocenić potencjalne skutki i co jest wymagane do tego, aby adwersarz dostał się do konsoli czy konta „legalnego” użytkownika. Istotne jest też to, w jaki sposób podatność może być wykorzystana.
Rozbijmy jednak całość na konkrety: ✅ wiarygodne dowody odnoszą się nie do samego faktu, że pojawia się jakaś możliwość wykorzystania podatności; oznacza to więc, że jeżeli w sieci pojawia się informacja (co jest dość powszechne w świecie cyber), że jakaś podatność występuje, to jeszcze nie znaczy, że mamy „wiarygodne dowody”, że podatność została wykorzystana - a tym bardziej, że wykorzystał ją ktoś działający w złych zamiarach,
✅ złośliwy aktor / adwersarz (CRA tego pojęcia nie definiuje), to tak naprawdę każdy, kto ma „złe” intencje w kontekście „kogoś”; no, ale kogo? To zależy oczywiście od kontekstu, ale patrzymy na to przez pryzmat celów CRA, czyli ochrony użytkownika, który jednocześnie może być też właścicielem systemu,
✅ system - tutaj jest to istotne rozróżnienie względem produktu z elementami cyfrowymi, ale działa ono odwrotnie, niż mogłoby się wydawać, bo podatność musi być zawarta w produkcie (zgodnie z art. 14 ust. 1), natomiast jej wykorzystanie ma nastąpić „w systemie” - przepis nie mówi „w produkcie” ani „w systemie producenta”. Wykorzystanie może więc nastąpić w dowolnym systemie, także w cudzym produkcie zawierającym ten sam komponent (tu silnik przeglądki WebKit), a producent, który się o tym dowie może wejść w reżim art. 14 (raportowania),
✅ brak zgody właściciela systemu to przesłanka, którą również musimy zbadać; w przypadku, który omawiamy, właścicielem systemu jest - niezależnie od postanowień licencyjnych - właściciel konsoli, bo licencja ogranicza sposób korzystania, ale nie przenosi własności. Otwarte pozostaje tylko, czy za „system” można uznać także konto PSN, gdy jailbreak służy do interakcji z siecią Sony.
Kolejnym elementem, na który producent musi zwrócić uwagę, jest świadomość. W tym zakresie pomocne mogą okazać się wytyczne Komisji z lipca 2026 r., gdzie zwrócono uwagę, że świadomość to rozsądny stopień pewności, że dana podatność jest aktywnie wykorzystywana, co może być rezultatem zgłoszeń od klientów, etycznych hakerów czy monitoringu, który producent wdrożył.
I to jest akurat kluczowe, bo terminy zawarte w CRA rozpoczynają się od momentu, kiedy staniemy się świadomi. Uwaga na kolejność - samo otrzymanie sygnału (zgłoszenia, alertu) nie uruchamia jeszcze terminów, ale najpierw następuje wstępna ocena. Dopiero gdy daje ona rozsądny stopień pewności, stajemy się „świadomi” w rozumieniu CRA i zegar rusza.
Jeżeli więc producent oceni, że ma do czynienia z takową podatnością, to powinien dokonać odpowiedniego zgłoszenia. Dokonuje się go z użyciem platformy SRP dostarczanej przez ENISA (Agencja Unii Europejskiej ds. Cyberbezpieczeństwa) w krótkich terminach, o których opowiem w odrębnym felietonie lub poście.
PS. tak, wiem że mam XBOX'a, ale to jedyna konsola, którą dysponuję. Małżonka nie zgodziła się na Playstation!