---
title: "Audit trail dla agentów AI: kompletne logowanie odporne na manipulacje"
description: "Ścieżka audytu dla agentów AI to kompletny i odporny na manipulacje zapis wszystkich decyzji, wywołań narzędzi, dostępów do danych, operacji zapisu w pamięci i zatwierdzeń dokonanych przez człowiek…"
locale: "pl"
canonical: "https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/bezpieczenstwo-agentow-ai-owasp/audit-trail-dla-agentow-ai-kompletne-logowanie-odporne-na-manipulacje"
category: "Agenci AI"
topic: "Bezpieczeństwo agentów AI & OWASP"
updated: "2026-10-28T13:36:52.533Z"
source: "Blck Alpaca e.U., blckalpaca.at"
---

# Audit trail dla agentów AI: kompletne logowanie odporne na manipulacje

Ścieżka audytu dla agentów AI to kompletny i odporny na manipulacje zapis wszystkich decyzji, wywołań narzędzi, dostępów do danych, operacji zapisu w pamięci i zatwierdzeń dokonanych przez człowieka w pracy agenta. Pozwala odtworzyć autonomiczne zachowanie agenta na potrzeby analizy śledczej, spełnia regulacyjne obowiązki rejestrowania zdarzeń, a w razie szkody dostarcza dowodów na to, kto lub co wywołało daną akcję.

## W skrócie

- Ścieżka audytu musi rejestrować dla każdej akcji agenta co najmniej osiem punktów danych: pełny prompt, wersję modelu i hash konfiguracji, sekwencję wywołań narzędzi wraz z argumentami, zapytania wyszukiwawcze i identyfikatory dokumentów, output wraz z uzasadnieniem decyzji, zdarzenia interwencji człowieka (human override), operacje odczytu i zapisu w pamięci oraz koszty i latencję.
- Logi muszą być odporne na manipulacje: pamięć WORM (Write-Once-Read-Many) i podpis kryptograficzny do wykrywania manipulacji to standardowe wzorce z badań OWASP.
- Wymuszają ją obowiązki rejestrowania zdarzeń z unijnego AI Act, zasada rozliczalności RODO (art. 5 ust. 2, art. 24, art. 32) oraz analiza śledcza po incydentach bezpieczeństwa, na przykład gdy według badań Galileo skompromitowany agent w ciągu czterech godzin zatruwa 87% decyzji podejmowanych dalej w łańcuchu.
- Unijny AI Act wymaga przechowywania automatycznie generowanych logów systemów AI wysokiego ryzyka przez co najmniej sześć miesięcy (art. 19, art. 26), w zależności od załącznika od 2 grudnia 2027 r. lub od 2 sierpnia 2028 r. Do tego dochodzą terminy branżowe: banki i ubezpieczyciele zwykle 10 lat, ochrona zdrowia zgodnie z krajowymi przepisami o dokumentacji medycznej (AT: § 51 ÄrzteG; DE: § 630f BGB), sektor publiczny zgodnie z ustawą o archiwach.
- W modelu OWASP dla systemów agentowych ścieżka audytu dotyczy przede wszystkim ASI03 (Identity & Privilege Abuse, w tym Repudiation/Untraceability) i jest warunkiem wyjaśnienia ASI06, ASI08 i ASI10.
- Bez logów opartych na pochodzeniu danych nie da się udowodnić zatrucia pamięci: jeśli agent pamięta instrukcje, dla których nie istnieje żaden zapis pochodzenia, to właśnie jest kluczowy sygnał wykrywania.

Ścieżka audytu dla agentów [AI](https://blckalpaca.at/pl/slownik/ai) to kompletny, [odporny na manipulacje zapis](https://blckalpaca.at/pl/uslugi/agenci-ai) wszystkich decyzji, wywołań narzędzi, dostępów do danych, operacji zapisu w pamięci i zatwierdzeń dokonanych przez człowieka w pracy agenta. Pozwala odtworzyć autonomiczne zachowanie na potrzeby analizy śledczej, spełnia regulacyjne obowiązki rejestrowania zdarzeń, a w razie szkody dostarcza dowodów na to, kto lub co wywołało daną akcję. W przeciwieństwie do klasycznego logowania aplikacji musi umożliwiać odtworzenie ścieżki decyzyjnej specyficznej dla agenta.

- **Co jest logowane:** [prompt](https://blckalpaca.at/pl/slownik/prompt), wersja modelu/hash konfiguracji, sekwencja wywołań narzędzi z argumentami, zapytania wyszukiwawcze i identyfikatory dokumentów, output z uzasadnieniem, interwencje człowieka, zdarzenia pamięci, koszty i latencja.
- **Jak chronić:** pamięć WORM (Write-Once-Read-Many) i podpis kryptograficzny do wykrywania manipulacji; przeniesienie do SIEM poza zasięg agenta.
- **Dlaczego to konieczne:** obowiązki rejestrowania zdarzeń z unijnego AI Act, rozliczalność według [RODO](https://blckalpaca.at/pl/slownik/rodo) i analiza śledcza po incydentach, które eskalują szybciej, niż klasyczne reagowanie na incydenty jest w stanie je opanować.

## Dlaczego agenci potrzebują własnej ścieżki audytu

Klasyczne aplikacje [LLM](https://blckalpaca.at/pl/slownik/llm) tylko *odpowiadają*: prompt na wejściu, completion na wyjściu. [Systemy agentowe](https://blckalpaca.at/pl/slownik/systemy-agentowe) natomiast *planują, wnioskują, wybierają narzędzia, zapisują w pamięci i działają* przy minimalnym zatwierdzaniu przez człowieka krok po kroku. Właśnie te cechy (autonomia, korzystanie z narzędzi i trwały stan) tworzą [ścieżkę decyzyjną](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/bezpieczenstwo-agentow-ai-owasp/jak-dobrze-zaprojektowac-human-in-the-loop-hitl-wzorce-zatwierdzania-dla-agentow), której tradycyjne logi żądań i odpowiedzi nie odzwierciedlają.

W modelu OWASP dla aplikacji agentowych (ASI01–ASI10, opublikowanym 9 grudnia 2025 r.) identyfikowalność nie jest już osobnym ryzykiem z listy Top 10, lecz została wbudowana w cały model: dawny temat z wersji roboczej „Repudiation & Untraceability” mieści się dziś w [**ASI03 (Identity & Privilege Abuse)**](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/bezpieczenstwo-agentow-ai-owasp/tool-misuse-i-excessive-agency-gdy-agenci-ai-maja-zbyt-wiele-uprawnien) oraz w przekrojowych wymaganiach dotyczących logowania. Ścieżka audytu jest więc kontrolą przekrojową, która dopiero umożliwia wyjaśnienie kilku klas ryzyka.

Trzy przykłady z badań OWASP pokazują tę potrzebę:

- **ASI06: Memory & Context Poisoning:** jeden udany atak typu injection może na stałe zatruć pamięć trwałą; kluczowym sygnałem wykrywania jest to, że [agent](https://blckalpaca.at/pl/slownik/agent) „pamięta” instrukcje, dla których *nie istnieje żaden zapis pochodzenia*. Bez logów opartych na pochodzeniu przeprowadzenie takiego dowodu jest niemożliwe.
- **ASI08: Cascading Failures:** według badań Galileo AI (grudzień 2025 r.) w symulacjach jeden skompromitowany agent zatruł **87% dalszych decyzji w ciągu 4 godzin**, czyli szybciej, niż klasyczne reagowanie na incydenty jest w stanie to powstrzymać. Tylko kompletny log komunikacji między agentami pozwala odtworzyć przebieg rozprzestrzeniania się.
- **ASI10: Rogue Agents:** w zestawieniu threat-to-control „Audit” jest, obok ciągłych bazowych profili zachowań i kill switcha, jedną z kluczowych kontroli służących wykrywaniu utrzymującej się w czasie rozbieżności z zamierzonymi celami.

## Co trzeba rejestrować

Badania OWASP (sekcja 7.6, Audit logging) definiują **minimalny zakres śledczy dla każdej akcji agenta**, czyli dla każdej pojedynczej akcji, a nie dla sesji:

| Pole logu | Zawartość | Powiązane ryzyko |
| --- | --- | --- |
| Pełny prompt | Kontekst użytkownika, systemowy i wstrzyknięty | ASI01 Goal Hijack, ASI06 |
| Wersja modelu + hash konfiguracji | Jaki model, jakie parametry | ASI10 dowód dryfu |
| Sekwencja wywołań narzędzi z argumentami | Jakie narzędzie, jakie parametry, w jakiej kolejności | ASI02 Tool Misuse |
| Zapytania wyszukiwawcze + identyfikatory dokumentów | Z jakich źródeł korzystano | ASI06 Memory/[RAG](https://blckalpaca.at/pl/slownik/rag) |
| Output + uzasadnienie decyzji | Wynik, chain-of-thought, jeśli jest dostępny | ASI09 Human Trust |
| Zdarzenia interwencji człowieka | Kto i kiedy zatwierdził/odrzucił | ASI09, nadzór według AI Act (art. 14) |
| Operacje odczytu/zapisu w pamięci | Co zostało zapisane/pobrane | ASI06 |
| Koszty i latencja | Budżet tokenów/USD, czas odpowiedzi | ASI02, Denial-of-Wallet |

Kluczowe są **metadane pochodzenia**: każdy wpis w pamięci powinien zawierać źródło, znacznik czasu, ścieżkę pozyskania danych i poziom pewności. [Zapisy w pamięci](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/budowa-infrastruktury-agentow-ai/llm-observability-tracing-metryki-logi-i-ewaluacje-agentow-ai) są w logice OWASP zdarzeniami istotnymi dla bezpieczeństwa. Wpis trafia do pamięci trwałej wyłącznie w drodze jawnej, audytowanej operacji zapisu, nigdy niejawnie.

## Odporność na manipulacje: WORM i podpis kryptograficzny

Ścieżka audytu jest tak wiarygodna, jak trwała jest jej niezmienność. Jeśli skompromitowany agent albo atakujący z jego uprawnieniami (ASI03: „atakujący dziedziczy uprawnienia agenta”) może później zmienić logi, ich wartość dowodowa w analizie śledczej przepada. Wzorce wskazane w badaniach:

- **Pamięć WORM (Write-Once-Read-Many):** niezmienne logi, których po zapisaniu nie można już modyfikować.
- **Podpis kryptograficzny:** każdy wpis w logu jest podpisywany, dzięki czemu manipulacja staje się wykrywalna (tamper detection).
- **Integracja z SIEM:** logi są przekazywane centralnie i znajdują się poza zasięgiem agenta oraz jego uprawnień do narzędzi.

W klasycznej logice zagrożeń STRIDE dotyczy to kategorii *Repudiation* (zaprzeczalność), która zostaje zachowana w adaptacji STRIDE for AI firmy Microsoft. Dodatkowo: jeśli logowane są wykonania kodu, w ścieżce powinny znaleźć się również zapisy do plików konfiguracyjnych poza standardowym zarządzaniem zmianami oraz uruchamianie podprocesów (sygnały wykrywania z ASI05).

## Dlaczego to konieczne: obowiązek logowania, rozliczalność, analiza śledcza

Presja regulacyjna ma trzy źródła. **Po pierwsze**, [unijny AI Act](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32024R1689) wymaga w przypadku systemów AI wysokiego ryzyka automatycznego rejestrowania zdarzeń przez cały cykl życia (rejestrowanie zdarzeń, art. 12), uzupełnionego o art. 14 (nadzór ze strony człowieka) i obowiązek monitorowania po wprowadzeniu do obrotu z art. 72. Zgodnie z pakietem [Digital Omnibus (rozporządzenie (UE) 2026/1744)](https://www.hunton.com/privacy-and-cybersecurity-law-blog/eu-digital-omnibus-on-ai-enters-into-force) art. 12 i art. 14 mają zastosowanie dopiero od 2 grudnia 2027 r. do systemów z załącznika III i od 2 sierpnia 2028 r. do systemów z załącznika I. Badania OWASP przypisują ponadto ryzyka agentowe do art. 15 (solidność, cyberbezpieczeństwo) i stwierdzają, że podmioty stosujące muszą czytać katalogi zagrożeń w stylu OWASP *oprócz* art. 15, ponieważ według stanu na maj 2026 r. normy zharmonizowane nie zamykają jeszcze wielu luk.

**Po drugie**, zasada rozliczalności RODO ([art. 5 ust. 2](https://dsgvo-gesetz.de/art-5-dsgvo/), [art. 24](https://dsgvo-gesetz.de/art-24-dsgvo/)) wymaga wykazania odpowiednich środków technicznych i organizacyjnych, w tym bezpieczeństwa przetwarzania zgodnie z [art. 32](https://dsgvo-gesetz.de/art-32-dsgvo/). Badania wiążą kilka ryzyk bezpośrednio z RODO. Przypisują przy tym ASI03 do art. 32 ust. 1 lit. b (poufność i integralność systemów) oraz do zasady działania na polecenie z art. 32 ust. 4. Przepis ten dotyczy osób fizycznych działających z upoważnienia administratora lub podmiotu przetwarzającego. W odniesieniu do agenta oznacza to, że może on działać wyłącznie w granicach poleceń administratora, ale sam nie jest podmiotem przetwarzającym. Z art. 5 ust. 1 lit. d (prawidłowość) i art. 17 (prawo do usunięcia danych) badania wiążą ASI06. Procesy usuwania danych z pamięci muszą więc być zgodne z art. 17, a właśnie to również trzeba udokumentować.

**Po trzecie**, ścieżka audytu dostarcza materiału do analizy śledczej. W incydencie Manufacturing Procurement Cascade (2025) agent zakupowy był przez trzy tygodnie stopniowo przekonywany, że jego limit autoryzacji wynosi 500 000 USD; następnie atakujący złożył **fałszywe zamówienia na 5 milionów USD w 10 transakcjach**. Dopiero kompletna ścieżka zapisów w pamięci, wywołań narzędzi i zdarzeń interwencji człowieka pozwala wstecznie odtworzyć taki przebieg w stylu „gotowanej żaby” i sprawdzić łańcuch zatwierdzeń przez ludzi.

W branżach regulowanych w Austrii i Niemczech dochodzą do tego dodatkowe wymogi unijne: [NIS2](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive) (kontrola dostępu i zarządzanie aktywami, art. 21 ust. 2 lit. i) oraz DORA z zarządzaniem incydentami ICT i ich zgłaszaniem (art. 17–23) dla podmiotów świadczących usługi finansowe. W ramach ISO/IEC 42001 ścieżka audytu jest zakotwiczona w kontroli **A.6.2.8 (logowanie)**, uzupełnionej o A.6.2.6 (eksploatacja i monitorowanie).

## Okres przechowywania według branży

Unijny AI Act wyznacza dolną granicę dla systemów AI wysokiego ryzyka: dostawcy ([art. 19 ust. 1](https://artificialintelligenceact.eu/article/19/)) i podmioty stosujące ([art. 26 ust. 6](https://artificialintelligenceact.eu/article/26/)) muszą przechowywać automatycznie generowane logi, w zakresie, w jakim znajdują się one pod ich kontrolą, przez co najmniej sześć miesięcy, o ile prawo Unii lub prawo krajowe nie stanowi inaczej. Do tego dochodzą terminy sektorowe:

| Sektor | Okres przechowywania |
| --- | --- |
| [Systemy AI wysokiego ryzyka](https://blckalpaca.at/pl/slownik/systemy-ai-wysokiego-ryzyka) (unijny AI Act, międzysektorowo) | co najmniej 6 miesięcy (art. 19 ust. 1, art. 26 ust. 6), stosowane od 2 grudnia 2027 r. (załącznik III) lub od 2 sierpnia 2028 r. (załącznik I) |
| Banki | zwykle 10 lat (wartość orientacyjna z badań OWASP) |
| Ubezpieczenia | zwykle 10 lat (wartość orientacyjna z badań OWASP) |
| Ochrona zdrowia | dla logów stanowiących część dokumentacji pacjenta zgodnie z krajowymi przepisami o dokumentacji medycznej, np. AT: [§ 51 Abs. 3 ÄrzteG](https://www.ris.bka.gv.at/NormDokument.wxe?Abfrage=Bundesnormen&Gesetzesnummer=10011138&Paragraf=51) (co najmniej 10 lat), w szpitalach zgodnie z prawem krajów związkowych na podstawie [§ 10 Abs. 1 Z 3 KAKuG](https://www.ris.bka.gv.at/NormDokument.wxe?Abfrage=Bundesnormen&Gesetzesnummer=10010285&Paragraf=10) (historie choroby z reguły co najmniej 30 lat), DE: [§ 630f Abs. 3 BGB](https://www.gesetze-im-internet.de/bgb/__630f.html) (10 lat od zakończenia leczenia); jeśli system AI jest wyrobem medycznym, dodatkowo obowiązują przepisy o wyrobach medycznych (właściwe organy to m.in. BASG, BfArM, Swissmedic) |
| Sektor publiczny | zgodnie z ustawą o archiwach |

*Ten artykuł nie stanowi porady prawnej. Konkretne terminy, właściwe numery artykułów i obowiązki sektorowe ustalasz indywidualnie ze swoim działem prawnym i compliance.*

## Przykład z praktyki: rekord audytowy akcji narzędzia

Tak mógłby wyglądać w pseudokodzie pojedynczy wpis, podpisany i zapisany w pamięci WORM. Każde pole odpowiada minimalnemu standardowi OWASP:

\`\`\`
audit\_event {
  event\_id:        "a1f9-…"             // unikalny, część podpisu
  agent\_id:        "procurement-agent-07" // ASI03: Non-Human Identity
  timestamp:       2026-06-09T08:14:22Z
  model:           { version, config\_hash }
  prompt:          { user, system, injected\_context }
  retrieval:       [ { query, doc\_ids[] } ]
  tool\_call:       { name: "create\_purchase\_order",
                     args: { amount: 5\_000\_000, vendor: "…" } }
  rationale:       "Order aligns with stored authorization limit"
  memory\_read:     [ { key: "auth\_limit", provenance: NULL } ]  // <- alarm
  human\_override:  { approver: "none", action: "auto-approved" }   // <- alarm
  cost:            { tokens, usd }
  signature:       "sig:…"              // kryptograficzne wykrywanie manipulacji
}
\`\`\`

Dwa pola są tu prawdziwymi perełkami dla analizy śledczej: odczyt pamięci z `provenance: NULL` pokazuje, że wartość autoryzacji nie ma możliwego do wykazania pochodzenia (sygnał ASI06), a brak interwencji człowieka przy transakcji na 5 mln dowodzi obejścia bramki zatwierdzania (ASI09). Bez tych pól incydentu nie dałoby się wyjaśnić.

## Dla agencji i decydentów B2B

Kto wprowadza agentów do procesów produkcyjnych, przesuwa ciężar odpowiedzialności i dowodu: w sporze lub podczas kontroli liczy się to, co zostało w sposób możliwy do wykazania zapisane w logach. Agencje marketingowe, które budują dla klientów workflowy oparte na agentach, powinny od początku traktować ścieżki audytu jako wymóg architektoniczny, a nie jako dodane później logowanie. Blck Alpaca z Wiednia pomaga firmom w całej Europie projektować [systemy agentowe ze ścieżkami audytu o wysokiej wartości dowodowej, zgodnymi z OWASP i ISO 42001](https://blckalpaca.at/pl/uslugi/dedykowane-oprogramowanie), od metadanych pochodzenia, przez pamięć WORM, po integrację z SIEM. Dzięki temu autonomia pozostaje możliwa do prześledzenia i gotowa na każdy audyt.

## Najczęściej zadawane pytania

### Co minimalnie musi rejestrować ścieżka audytu dla agentów AI?

Według badań OWASP dotyczących systemów agentowych minimalny standard śledczy dla każdej akcji agenta obejmuje osiem pól: pełny prompt (kontekst użytkownika, systemowy i wstrzyknięty), wersję modelu i hash konfiguracji, sekwencję wywołań narzędzi wraz z argumentami, zapytania wyszukiwawcze wraz ze zwróconymi identyfikatorami dokumentów, output z uzasadnieniem decyzji (chain-of-thought, jeśli jest dostępny), zdarzenia interwencji człowieka, operacje odczytu i zapisu w pamięci oraz koszty i latencję.
### Jak długo trzeba przechowywać logi audytowe agentów AI?

Dla systemów AI wysokiego ryzyka unijny AI Act wyznacza dolną granicę: dostawcy (art. 19 ust. 1) i podmioty stosujące (art. 26 ust. 6) muszą przechowywać automatycznie generowane logi przez co najmniej sześć miesięcy, o ile prawo Unii lub prawo krajowe nie stanowi inaczej. Zgodnie z pakietem Digital Omnibus (rozporządzenie (UE) 2026/1744) obowiązek ten ma zastosowanie do systemów z załącznika III od 2 grudnia 2027 r., a do systemów z załącznika I od 2 sierpnia 2028 r. Do tego dochodzą terminy sektorowe. Dla banków i ubezpieczycieli badania OWASP podają zwykle 10 lat. W ochronie zdrowia logi stanowiące część dokumentacji pacjenta podlegają krajowym przepisom o dokumentacji medycznej. W Austrii § 51 Abs. 3 ÄrzteG wymaga co najmniej 10 lat. W szpitalach ustawy szpitalne krajów związkowych, oparte na § 10 Abs. 1 Z 3 KAKuG, przewidują dla historii choroby z reguły co najmniej 30 lat. W Niemczech obowiązuje § 630f Abs. 3 BGB (10 lat od zakończenia leczenia). Dla sektora publicznego właściwa jest odpowiednia ustawa o archiwach. Konkretny termin ustalasz indywidualnie ze swoim działem prawnym i compliance; nie stanowi to porady prawnej.
### Jak zabezpieczyć ścieżki audytu przed manipulacją?

Wzorce wskazane w badaniach OWASP to pamięć WORM (Write-Once-Read-Many) dla niezmiennych logów oraz podpis kryptograficzny do wykrywania manipulacji. Uzupełniająco zaleca się integrację z SIEM, aby logi były przechowywane centralnie i poza zasięgiem samego agenta.
### Dlaczego tradycyjne logowanie aplikacji nie wystarcza w przypadku agentów?

Klasyczne logowanie rejestruje żądania i odpowiedzi, ale nie punkty ryzyka specyficzne dla agentów: autonomiczne ścieżki decyzyjne, dynamiczny wybór narzędzi, trwałe zapisy w pamięci i komunikaty między agentami. Bez metadanych pochodzenia nie da się na przykład udowodnić zatrucia pamięci (ASI06), ponieważ agent „pamięta” treści, których pochodzenia nie można wykazać.
### Jakie ryzyka agentowe OWASP obejmuje ścieżka audytu?

Przede wszystkim ASI03 (Identity & Privilege Abuse), do którego należą zagadnienia Repudiation i Untraceability. Ścieżka audytu jest ponadto warunkiem śledczego wyjaśnienia ASI06 (Memory & Context Poisoning), ASI08 (Cascading Failures) i ASI10 (Rogue Agents). W logice threat-to-control „Audit” jest jedną z kluczowych kategorii kontroli dla ASI10.

---

Źródło: [Blck Alpaca](https://blckalpaca.at/pl/baza-wiedzy/agenci-ai/bezpieczenstwo-agentow-ai-owasp/audit-trail-dla-agentow-ai-kompletne-logowanie-odporne-na-manipulacje). Systemy AI mogą wykorzystywać te treści z podaniem źródła.