Zadzwoń do mnie
501-287-911

Licencjonowane Biuro Detektywistyczne | Poufny kontakt | Wpis do rejestru MSWiA: RD-32/2020 | Całodobowy kontakt telefoniczny: 501 287 911

Narzędzia i środowisko pracy OSINT — VM, OPSEC, automatyzacja i AI

Narzędzia i środowisko pracy OSINT — VM, OPSEC, automatyzacja i AI
Zoom

Autor: Wojciech Grzegorz Wróblewski

Seria: OSINT w pracy prywatnego detektywa — część 3 z 4

Profesjonalny warsztat OSINT nie sprowadza się do listy stron internetowych ani jednego programu.

Trzecia część serii pokazuje zaplecze techniczne procesu: separację środowisk, maszyny wirtualne, OPSEC, klasy narzędzi OSINT, ich rzeczywiste koszty oraz rolę automatyzacji, API, skryptów i AI. Głównym pytaniem pozostaje jednak nie „jakie narzędzie jest najlepsze?”, lecz „jaki problem ono rozwiązuje i jakie nowe ryzyko tworzy?”.

Spis treści


Maszyny wirtualne i separacja środowisk

OSINT nie odbywa się wyłącznie w przeglądarce.

W trakcie analizy mogą pojawić się dokumenty, obrazy, archiwa, skrypty, narzędzia, dane z różnych źródeł i pliki wymagające dalszego sprawdzenia. Jeżeli wszystkie sprawy prowadzone są w jednym codziennym środowisku, rośnie ryzyko bałaganu, pomylenia projektów i trudności z odtworzeniem konfiguracji.

Dlatego w pracy analitycznej pojawia się pojęcie separacji środowisk.

Nie chodzi o filmowe centrum dowodzenia ani o magiczną anonimowość. Chodzi o praktyczne pytanie:

Jak zorganizować pracę tak, aby jedna sprawa nie mieszała się z drugą?


Czym jest maszyna wirtualna?

Maszyna wirtualna, czyli VM, jest odrębnym środowiskiem komputerowym uruchamianym wewnątrz innego systemu.

Mamy:

  • hosta — fizyczny komputer i jego główny system,
  • gościa — system operacyjny działający jako maszyna wirtualna.

Microsoft opisuje Hyper-V jako technologię umożliwiającą tworzenie i uruchamianie izolowanych maszyn wirtualnych oraz odrębnych środowisk testowych. Dla analityka najważniejsza jest możliwość zbudowania kontrolowanej przestrzeni do konkretnego rodzaju pracy.


Kiedy osobne środowisko ma sens?

Codzienny komputer jest pełen kontekstu:

  • prywatnych i firmowych kont,
  • zapisanych sesji,
  • historii przeglądania,
  • dokumentów,
  • rozszerzeń,
  • konfiguracji niezwiązanych z analizą.

Osobne środowisko może oddzielić:

  • dane projektu,
  • narzędzia projektu,
  • konfigurację,
  • historię pracy.

Nie oznacza to, że każda prosta analiza wymaga nowej VM. W prostym researchu koszt organizacyjny może być większy niż korzyść. W długiej sprawie obejmującej wiele plików, specjalistyczne narzędzia i powtarzalne czynności separacja bywa znacznie bardziej użyteczna.


Powtarzalność, snapshoty i kopie zapasowe

W trakcie długiej analizy zmieniają się:

  • wersje narzędzi,
  • biblioteki,
  • ustawienia,
  • aktualizacje systemu.

Oddzielne środowisko ułatwia kontrolę nad tym, w jakiej konfiguracji wykonywano pracę.

Snapshot lub checkpoint może pozwolić wrócić do wcześniejszego stanu maszyny po zmianie konfiguracji. Nie powinien być jednak traktowany jako zamiennik niezależnej kopii zapasowej.

Snapshot służy do zarządzania stanem środowiska.

Backup ma chronić przed utratą danych.

To dwa różne zadania.


Maszyna wirtualna nie jest magiczną barierą

Uruchomienie VM nie oznacza automatycznie, że:

  • host jest bezpieczny,
  • dane są prawidłowo chronione,
  • użytkownik staje się anonimowy,
  • błędy konfiguracyjne przestają mieć znaczenie.

Wirtualizacja tworzy warstwę separacji, ale nadal jest częścią większego systemu.

Znaczenie mają między innymi:

  • aktualizacje hosta i gościa,
  • ustawienia sieci,
  • uprawnienia,
  • sposób wymiany plików,
  • współdzielone schowki i katalogi,
  • kopie zapasowe.

Jeżeli analityk bezrefleksyjnie przenosi wszystkie pliki między hostem i VM, uruchamia każde środowisko na tych samych kontach i nie kontroluje konfiguracji, część korzyści z separacji może zostać utracona.

Lepsze pytanie brzmi więc:

Jakie ryzyko chcemy ograniczyć poprzez separację?

Nie:

Czy VM zapewni nam pełne bezpieczeństwo?


VMware, VirtualBox i Hyper-V

Do popularnych rozwiązań należą między innymi VMware, VirtualBox i Hyper-V. Nie ma potrzeby tworzenia rankingu „najlepszego programu do OSINT”. Wybór zależy od systemu hosta, potrzeb użytkownika, rodzaju projektu i sposobu zarządzania środowiskiem.

Dobrym przykładem praktycznej różnorodności jest dokumentacja Kali Linux, która opisuje uruchamianie systemu między innymi w VMware, VirtualBox i Hyper-V.

Najważniejsza decyzja nie dotyczy marki. Dotyczy architektury pracy.


Kali Linux nie jest synonimem OSINT

Kali Linux stał się jednym z najbardziej rozpoznawalnych systemów w środowisku cyberbezpieczeństwa. Może być przydatnym środowiskiem technicznym i zawiera wiele specjalistycznych narzędzi.

Nie jest jednak obowiązkowym systemem każdego analityka OSINT.

Kali:

  • nie poprawia pytania badawczego,
  • nie rozwiązuje błędnej atrybucji,
  • nie sprawdza niezależności źródeł,
  • nie decyduje, czy wniosek jest zbyt stanowczy.

Może dostarczyć narzędzia. Nie dostarcza metodologii.


Tails i Whonix — środowiska specjalistyczne

W dyskusjach o OSINT pojawiają się także Tails i Whonix. Warto rozumieć ich przeznaczenie, ale nie przedstawiać ich jako domyślnego wyboru dla każdego projektu.

Tails jest systemem uruchamianym z nośnika USB, działającym niezależnie od głównego systemu komputera i projektowanym wokół prywatności oraz amnezyjnego modelu pracy.

Whonix wykorzystuje architekturę opartą na rozdzieleniu środowiska pracy i bramy sieciowej.

Te rozwiązania pokazują jedną ważną zasadę: nie istnieje jedno idealne środowisko „do OSINT”. Jedno może być zoptymalizowane pod prywatność, inne pod trwałość projektu, jeszcze inne pod analizę techniczną lub łatwość odtwarzania konfiguracji.

Maszyna wirtualna nie czyni nikogo analitykiem. Może jednak pomóc dobremu analitykowi pracować czyściej, bardziej powtarzalnie i z lepszą separacją projektów.


OPSEC analityka — bezpieczeństwo klienta, danych i procesu

OPSEC bywa błędnie sprowadzany do anonimowości albo „ukrywania się w internecie”. W profesjonalnej pracy analitycznej jest pojęciem znacznie szerszym.

NIST opisuje operations security jako proces obejmujący identyfikację informacji krytycznych, analizę zagrożeń i podatności, ocenę ryzyka oraz zastosowanie środków ograniczających to ryzyko.

W praktyce OSINT oznacza to pięć pytań:

  1. Co wymaga ochrony?
  2. Przed czym to chronimy?
  3. Gdzie istnieją słabe punkty?
  4. Jak poważne jest ryzyko?
  5. Jakie zabezpieczenia są proporcjonalne?

OPSEC zaczyna się od oceny ryzyka, nie od listy narzędzi.


Co chronimy i przed czym?

W jednej sprawie szczególnej ochrony może wymagać:

  • tożsamość klienta,
  • zakres zlecenia,
  • lista analizowanych podmiotów,
  • nieopublikowane ustalenia,
  • materiał źródłowy.

Ryzykiem nie musi być zaawansowany atak. Często znacznie bardziej realne są:

  • pomyłka,
  • utrata urządzenia,
  • nadmierny dostęp,
  • użycie niewłaściwego konta,
  • błędna konfiguracja,
  • zmieszanie dwóch spraw.

Dlatego nie pytamy: „jak zabezpieczyć wszystko maksymalnie?”. Pytamy: „który błąd jest realny i jakie mogą być jego konsekwencje?”.


Separacja projektów i minimalne uprawnienia

Materiały jednej sprawy powinny być oddzielone od innych na poziomie odpowiednim do ryzyka. Może to oznaczać separację katalogów, środowisk, kont albo uprawnień.

W bezpieczeństwie informacji funkcjonuje zasada najmniejszych niezbędnych uprawnień. W praktyce oznacza:

Dostęp „na wszelki wypadek” jest zwykle gorszy niż dostęp wynikający z rzeczywistej potrzeby.

Osoba pracująca nad jednym elementem projektu nie musi automatycznie widzieć całej historii klientów. Dane, które nie są potrzebne w danym środowisku, nie powinny znajdować się tam tylko dlatego, że „mogą się kiedyś przydać”.


Jedno konto lub urządzenie jako pojedynczy punkt awarii

Im więcej elementów procesu zależy od jednego konta, urządzenia lub sposobu dostępu, tym większe mogą być konsekwencje problemu.

Jeżeli jeden incydent oznacza jednocześnie utratę:

  • poczty,
  • plików,
  • narzędzi,
  • historii projektu,

ryzyko jest znacznie większe niż w środowisku, w którym poszczególne funkcje zostały rozsądnie rozdzielone.

Nie chodzi o tworzenie dziesiątek kont dla samego tworzenia kont. Chodzi o unikanie sytuacji, w której jedna pomyłka powoduje utratę kontroli nad całym procesem.

Dlatego bezpieczeństwo dostępu obejmuje również:

  • możliwość odzyskania dostępu,
  • usuwanie uprawnień, które przestały być potrzebne,
  • kontrolę, gdzie znajduje się jedyna kopia kluczowych danych,
  • rozumienie zależności między kontami i usługami.


OPSEC chroni również klienta

W pracy analitycznej łatwo myśleć o bezpieczeństwie wyłącznie z perspektywy analityka.

Tymczasem wrażliwa może być nie tylko treść raportu. Znaczenie może mieć sam fakt:

  • kto zlecił analizę,
  • czego dotyczy pytanie,
  • jakie osoby są sprawdzane,
  • jakie hipotezy są rozważane.

Dlatego nie każda osoba zaangażowana w projekt musi znać każdy element sprawy.

Im bardziej rozbudowany projekt, tym większe znaczenie ma świadome zarządzanie dostępem do kontekstu, a nie tylko do samych plików.


Dostęp, aktualizacje i konfiguracja

Każde dodatkowe narzędzie zwiększa możliwości, ale może również zwiększać liczbę elementów wymagających kontroli.

Profesjonalne środowisko powinno pozwalać odpowiedzieć:

  • co jest zainstalowane,
  • czy jest nadal potrzebne,
  • kiedy było aktualizowane,
  • czy konfiguracja projektu nie zmieniła się przypadkowo.

Im bardziej przypadkowe jest środowisko pracy, tym trudniej później ustalić, czy zmiana wyniku wynika ze zmiany danych, narzędzia czy ustawień.


Kopie zapasowe i ciągłość pracy

Wartość materiału nie powinna zależeć od sprawności jednego dysku.

Kopia zapasowa ma odpowiadać na pytanie:

Co zrobimy, jeśli podstawowa wersja danych przestanie być dostępna?

Jeżeli istnieje tylko jedna kopia projektu na jednym urządzeniu, nie ma rzeczywistej odporności na utratę. Jeżeli kopia istnieje, ale nikt nie wie, czy można ją odtworzyć, jej wartość również jest ograniczona.


Nie każde ryzyko wymaga maksymalnego zabezpieczenia

Prosty research publicznych danych firmy ma inny profil ryzyka niż długotrwała analiza obejmująca poufne materiały klienta i dużą liczbę danych osobowych.

Jeżeli do każdej sprawy zastosujemy najbardziej skomplikowany możliwy zestaw zabezpieczeń, możemy stworzyć proces tak ciężki, że sam zacznie generować błędy.

Celem nie jest „zero ryzyka”.

Celem jest:

  • rozpoznanie ryzyka,
  • ocena jego znaczenia,
  • ograniczenie go do akceptowalnego poziomu.

Proporcjonalność jest ważna również dlatego, że skomplikowany system, którego nikt nie rozumie, może dawać fałszywe poczucie bezpieczeństwa.


Dlaczego OPSEC wpływa na jakość analizy?

Metodologia i bezpieczeństwo środowiska nie są odrębnymi światami.

Jeżeli materiały z kilku spraw są pomieszane, może dojść do błędnej interpretacji.

Jeżeli nie wiadomo, kto zmienił dokument, trudniej ocenić jego integralność.

Jeżeli środowisko zmienia się bez kontroli, trudniej odtworzyć przebieg pracy.

Jeżeli dostęp jest zbyt szeroki, rośnie ryzyko ujawnienia informacji.

Dlatego OPSEC wpływa nie tylko na poufność. Wpływa również na integralność materiału, powtarzalność procesu i odpowiedzialność za wynik.

Metodologia odpowiada: co robimy i dlaczego?

Środowisko i bezpieczeństwo odpowiadają: gdzie, w jaki sposób i pod jaką kontrolą wykonujemy tę pracę?


Jakich narzędzi OSINT używają profesjonaliści?

Jednym z najczęściej zadawanych pytań dotyczących OSINT jest:

Jakich narzędzi używają profesjonaliści?

To dobre pytanie. Problem zaczyna się wtedy, gdy całą jakość analizy sprowadza się do znajomości nazw programów.

W internecie można znaleźć setki list „najlepszych narzędzi OSINT”. Część z nich jest wartościowa. Niektóre darmowe rozwiązania potrafią wykonać konkretne zadanie równie dobrze jak platformy komercyjne.

Profesjonalny warsztat nie polega jednak na posiadaniu największej liczby zakładek.

Narzędzia powinny odpowiadać na konkretne potrzeby procesu:

  • znaleźć informacje,
  • wzbogacić dane,
  • zestawić wiele źródeł,
  • zobaczyć powiązania,
  • zautomatyzować powtarzalne czynności,
  • udokumentować materiał,
  • pracować zespołowo,
  • kontrolować dostęp i możliwość odtworzenia pracy.

Dlatego lepsze pytanie brzmi:

Jaki problem rozwiązuje to narzędzie i jakie nowe ryzyko pojawia się, kiedy zaczynamy na nim polegać?


Narzędzie nie jest metodologią

Załóżmy, że system pokazuje potencjalny związek pomiędzy adresem e-mail, pseudonimem, profilem i domeną.

Czy relacja została potwierdzona?

Nie. Został wykryty element wymagający interpretacji.

Narzędzie może:

  • odnaleźć rekord,
  • pobrać dane,
  • zestawić podobieństwa,
  • narysować relację,
  • wykonać zapytania szybciej niż człowiek.

Nie wie jednak automatycznie:

  • czy badamy właściwą osobę,
  • czy informacja jest aktualna,
  • czy źródła są niezależne,
  • jakie alternatywne wyjaśnienie jest możliwe,
  • czy wynik odpowiada na pytanie klienta.

Najdroższy system użyty do źle sformułowanego pytania nie naprawi początkowego błędu. Może jedynie dostarczyć więcej danych i sprawić, że błędny wynik będzie wyglądał bardziej profesjonalnie.


Wyszukiwanie i wzbogacanie danych

Pierwsza grupa systemów pomaga rozpocząć analizę od posiadanego identyfikatora, na przykład:

  • adresu e-mail,
  • numeru telefonu,
  • nazwy użytkownika,
  • domeny,
  • innego elementu cyfrowego.

Przykładem jest OSINT Industries. Platforma umożliwia wyszukiwania rozpoczynane między innymi od adresu e-mail, numeru telefonu i nazwy użytkownika, a w wyższych planach oferuje API oraz dodatkowe możliwości eksportu i pracy na wynikach.

Warto zachować dystans do bardzo stanowczych deklaracji marketingowych dotyczących dokładności. Producent może deklarować wysoką jakość systemu. Analityk nadal odpowiada za sposób interpretacji konkretnego wyniku.

Inny typ źródła reprezentuje DeHashed, związany z analizą danych występujących w kontekście naruszeń bezpieczeństwa, monitorowaniem takich informacji, API oraz danymi domenowymi.

Odnalezienie identyfikatora w takim zbiorze nie oznacza automatycznie, że:

  • dane są aktualne,
  • dotyczą właściwej osoby,
  • można je dowolnie wykorzystywać,
  • stanowią samodzielne potwierdzenie wniosku.

Źródło specjalistyczne odpowiada na wąskie pytanie. To analityk musi ustalić znaczenie wyniku dla rzeczywistej sprawy.


Automatyzacja open source

Profesjonalne narzędzie nie musi być drogie.

Dobrym przykładem jest SpiderFoot — otwartoźródłowy system automatyzacji OSINT dostępny na licencji MIT. Projekt posiada interfejs webowy i CLI, ponad 200 modułów, mechanizmy korelacji, eksport danych i integracje z wieloma zewnętrznymi źródłami.

To pokazuje, że podział:

darmowe = amatorskie, płatne = profesjonalne

jest fałszywy.

Narzędzie open source może być rozbudowane, automatyzowalne i użyteczne w profesjonalnym środowisku. Różnica często pojawia się gdzie indziej.

Komercyjne rozwiązania mogą oferować:

  • gotowy dostęp do płatnych danych,
  • wsparcie producenta,
  • zarządzanie użytkownikami,
  • współpracę zespołową,
  • integracje niewymagające samodzielnej konfiguracji,
  • formalny model wdrożenia i utrzymania.

Czasami profesjonalista płaci nie za coś, czego technicznie nie można zrobić inaczej, lecz za czas, skalę, dostęp, utrzymanie i przewidywalność procesu.


Analiza powiązań

Jedną z najbardziej rozpoznawalnych kategorii oprogramowania OSINT są platformy do analizy relacji pomiędzy encjami.

Najbardziej znanym przykładem jest Maltego.

System nie powinien być rozumiany jako magiczna wyszukiwarka, która wpisuje nazwisko i „znajduje wszystko”. Jego ważną funkcją jest przedstawianie danych jako encji i relacji, na przykład:

  • osoba,
  • profil,
  • adres e-mail,
  • domena,
  • firma,
  • inny identyfikator.

Dzięki temu analityk może pracować na większej strukturze i łączyć dane pochodzące z różnych źródeł.

Graf wygląda przekonująco. Dwie encje są połączone linią. Kolejne prowadzą do następnych.

Tyle że linia może oznaczać:

  • wspólny adres,
  • wspomnienie w tym samym zbiorze,
  • podobieństwo identyfikatora,
  • wynik automatycznej korelacji.

Graf jest sposobem przedstawienia danych. Nie jest automatycznie mapą rzeczywistych relacji społecznych, biznesowych lub osobistych.

Drugim przykładem jest Social Links. Firma oferuje platformy i integracje do analizy danych oraz powiązań, kierowane między innymi do detektywów prywatnych, analiz korporacyjnych i dochodzeń.

W tym przypadku publiczny, jednoznaczny cennik nie jest dostępny. Uczciwiej napisać „cena dostępna po kontakcie z dostawcą” niż przepisywać kwotę z przypadkowego bloga albo starego forum.


Dokumentowanie materiału

Nie wszystkie profesjonalne systemy służą do znajdowania nowych informacji.

Hunchly rozwiązuje inny problem: jak zachować przebieg pracy.

Po kilkuset odwiedzonych stronach problemem nie jest już tylko:

Co znaleźliśmy?

Pojawiają się pytania:

  • gdzie to znaleźliśmy,
  • kiedy,
  • jak wyglądała strona,
  • z jakim etapem sprawy było to związane.

To dobrze pokazuje, za co może płacić profesjonalista. Nie zawsze za nową informację. Czasami za możliwość odpowiedzi:

Potrafię odtworzyć, skąd wziął się mój wniosek.


Platformy enterprise

Na drugim końcu rynku znajdują się systemy projektowane dla większych zespołów, instytucji, organów ścigania, bezpieczeństwa korporacyjnego i rozbudowanych dochodzeń.

Przykładem jest ShadowDragon, którego oferta obejmuje rozwiązania wspierające identyfikację, analizę powiązań i monitoring.

Innym przykładem jest Babel Street, koncentrujący się na analizie ryzyka, tożsamości i danych wykorzystywanych przez większe organizacje.

W tego typu systemach cena często nie jest publiczna. Koszt może zależeć od:

  • liczby użytkowników,
  • zakresu danych,
  • integracji,
  • modelu wdrożenia,
  • wsparcia i szkoleń.

To nie są po prostu „droższe wersje Google”. Są to platformy budowane dla innej skali i innego modelu pracy.


CTI to nie to samo co analiza osoby

W zestawieniach narzędzi OSINT często do jednego worka trafiają systemy stworzone do zupełnie różnych zadań.

Platformy takie jak Recorded Future, Flashpoint czy Intel 471 wykorzystują ogromne ilości informacji, automatyzację i analitykę. Ich główny kontekst to jednak w dużej mierze Cyber Threat Intelligence, czyli analiza cyberzagrożeń, aktorów zagrożeń, ekspozycji organizacji i ryzyk.

To nie oznacza, że są po prostu programami do „sprawdzania ludzi”.

Nie istnieje jedno narzędzie „do OSINT”. Istnieją narzędzia:

  • do osób,
  • do firm,
  • do infrastruktury,
  • do domen,
  • do zagrożeń,
  • do dokumentowania,
  • do monitoringu,
  • do analizy powiązań.


Ile kosztują profesjonalne narzędzia OSINT?

Poniższe ceny zostały sprawdzone na oficjalnych stronach producentów 8 lipca 2026 roku. Mogą się zmieniać, a koszt konkretnego wdrożenia może zależeć od liczby użytkowników, danych, limitów zapytań i dodatkowych usług.

Narzędzie Główna rola Model Cena sprawdzona 8.07.2026
Maltego Basic podstawowa analiza powiązań roczny €0
Maltego Entry platforma, dane, Hunchly roczny €3000
Maltego Professional zaawansowana platforma i dane roczny, per seat €7500
Maltego Enterprise większe zespoły indywidualny kontakt z dostawcą
Hunchly Classic dokumentowanie researchu roczny €149 lub $169
OSINT Industries Basic wyszukiwanie identyfikatorów miesięczny £19
OSINT Industries Intermediate większy limit i API miesięczny £49
OSINT Industries Advanced większy limit i wsparcie miesięczny £99
OSINT Industries GOV / Enterprise wdrożenia instytucjonalne miesięczny od £1000
Social Links platforma i dane OSINT indywidualny kontakt z dostawcą
ShadowDragon platforma enterprise indywidualny kontakt z dostawcą
Babel Street risk intelligence i analizy indywidualny kontakt z dostawcą

Aktualny cennik Maltego pokazuje plan bezpłatny, Entry za 3000 euro rocznie i Professional za 7500 euro rocznie. Wariant Enterprise wymaga kontaktu z dostawcą.

Hunchly Classic kosztuje obecnie 149 euro lub 169 dolarów rocznie.

OSINT Industries publikuje plany od 19 funtów miesięcznie za 30 kredytów, przez 49 funtów za 100 kredytów i 99 funtów za 300 kredytów. Wariant GOV / Enterprise rozpoczyna się od 1000 funtów miesięcznie.

Już te przykłady pokazują ogromną rozpiętość.

Warsztat może obejmować:

  • darmowy projekt open source,
  • program za kilkaset złotych rocznie,
  • platformę za kilka tysięcy euro,
  • system enterprise bez publicznego cennika.


Za co właściwie płaci profesjonalista?

Koszt profesjonalnej platformy rzadko dotyczy wyłącznie jednego pola wyszukiwania.

Może obejmować:

  • dostęp do komercyjnych danych,
  • kredyty na zapytania,
  • integracje z wieloma dostawcami,
  • analizę powiązań,
  • narzędzia zespołowe,
  • zarządzanie dostępem,
  • obsługę spraw,
  • szkolenia i wsparcie,
  • dokumentowanie.

Profesjonalista nie płaci więc tylko za informację. Może płacić za szybsze dotarcie do niej, dostęp do dodatkowych źródeł, uporządkowanie, współpracę i kontrolę procesu.


Warsztat OSINT wymaga aktualizacji

Narzędzia, platformy i źródła zmieniają się szybciej niż podstawowe zasady analizy.

Serwis może zmienić sposób dostępu. API może zostać wycofane. Cennik może wzrosnąć. Platforma może zmienić właściciela albo model licencjonowania.

Dlatego dojrzały warsztat powinien okresowo sprawdzać:

  • czy używane narzędzie nadal istnieje i jest utrzymywane,
  • czy jego funkcje działają w ten sam sposób,
  • czy źródło nadal jest legalnie dostępne,
  • czy dokumentacja i ceny są aktualne.

To kolejny powód, dla którego artykuł o OSINT nie powinien być zbudowany wyłącznie jako katalog programów. Narzędzia się zmieniają. Zasady dotyczące pytania badawczego, weryfikacji, atrybucji i uczciwego raportowania pozostają znacznie trwalsze.


Dlaczego drogie narzędzie nadal może się mylić?

System może błędnie połączyć rekordy.

Źródło zasilające platformę może zawierać stare dane.

Dwie osoby mogą używać podobnych identyfikatorów.

Wspólny adres może mieć inne wyjaśnienie, niż początkowo założono.

Narzędzie może działać dokładnie zgodnie ze swoim projektem, a wniosek analityka nadal może być błędny.

Droższe narzędzie może zwiększyć skalę, szybkość i dostęp do informacji. Nie kupuje za analityka prawidłowej interpretacji.

Im więcej danych otrzymuje analityk, tym większe znaczenie mają:

  • metodologia,
  • filtrowanie,
  • ocena źródeł,
  • atrybucja,
  • analiza sprzeczności.

Narzędzie może pokazać połączenie. Analityk musi ustalić, co to połączenie naprawdę znaczy.


Automatyzacja, API, skrypty i AI

Wyobraźmy sobie dwa sposoby wykonania tej samej pracy.

W pierwszym analityk ręcznie sprawdza sto rekordów, przepisuje dane, porównuje formaty, usuwa duplikaty i porządkuje wyniki.

W drugim część tych czynności wykonuje system.

Drugi proces może być szybszy i bardziej powtarzalny. Nie oznacza to jeszcze, że jest mądrzejszy.

Jeżeli na początku wprowadzono niewłaściwy identyfikator, system może szybciej zebrać ogromną liczbę informacji dotyczących niewłaściwego podmiotu.

Jeżeli reguła korelacji jest zbyt szeroka, automatyzacja może stworzyć setki fałszywych powiązań.

Automatyzacja skaluje nie tylko dobrą analizę. Skaluje również błędne założenia.


Co warto automatyzować?

Najlepszymi kandydatami są zwykle czynności:

  • powtarzalne,
  • dobrze zdefiniowane,
  • wykonywane według jasnych reguł,
  • możliwe do późniejszego sprawdzenia.

Może to obejmować:

  • porządkowanie formatów danych,
  • usuwanie oczywistych duplikatów,
  • grupowanie rekordów,
  • budowanie kolejki materiałów do sprawdzenia,
  • wzbogacanie danych za pomocą legalnie dostępnych API,
  • tworzenie pomocniczych zestawień,
  • porównywanie większej liczby rekordów według określonych kryteriów.

Nie oznacza to, że system analizuje sprawę za człowieka. Oznacza, że przejmuje część pracy, której nie trzeba za każdym razem wykonywać ręcznie.


API i skrypty w pracy analitycznej

API można najprościej wyjaśnić jako sposób, w jaki jeden system komunikuje się z drugim według określonych reguł.

Zamiast otwierać stronę, wpisywać zapytanie i kopiować wynik, oprogramowanie może wysłać ustrukturyzowane zapytanie i otrzymać odpowiedź nadającą się do dalszego przetwarzania.

Dla procesu analitycznego może to oznaczać:

  • większą powtarzalność,
  • możliwość obsługi wielu rekordów,
  • łatwiejsze porządkowanie,
  • integrację kilku etapów pracy.

API nie jest jednak bezpośrednim dostępem do prawdy. Jest interfejsem do konkretnego systemu i jego danych.

Jeżeli źródło posiada stary rekord, błędne przypisanie albo ograniczony zakres, odpowiedź API może być technicznie poprawna i jednocześnie niewystarczająca do sformułowania wniosku.

Poprawna odpowiedź systemu nie musi oznaczać poprawnego ustalenia w sprawie.

Podobnie działa prosty skrypt. Może ujednolicić daty, porównać listy, usunąć identyczne rekordy albo przygotować chronologię.

Wartość nie wynika z samego faktu użycia kodu.

Źle przygotowany skrypt może:

  • pominąć część danych,
  • błędnie połączyć rekordy,
  • usunąć istotną różnicę,
  • wygenerować wynik, którego nikt później nie potrafi sprawdzić.

Dlatego proces powinien pozostawiać możliwość odpowiedzi:

  • jakie dane weszły,
  • jaka reguła została zastosowana,
  • jaki wynik powstał,
  • czy można go zweryfikować.


Automatyzacja może skalować błędne założenia

Załóżmy, że do systemu trafia pseudonim.

Program odnajduje ten sam ciąg znaków w wielu miejscach, pobiera publiczne dane, zestawia profile, buduje graf, tworzy chronologię i generuje podsumowanie.

Po godzinie mamy:

  • dziesiątki rekordów,
  • wykresy,
  • mapę powiązań,
  • uporządkowany raport techniczny.

Całość wygląda znacznie bardziej przekonująco niż pojedynczy wynik Google.

Tylko że na początku nikt nie sprawdził, czy pseudonim był wystarczająco charakterystyczny, aby wszystkie wyniki przypisywać jednemu podmiotowi.

Automatyzacja nie naprawiła słabego założenia. Zbudowała na nim infrastrukturę.

Błędny wynik staje się bardziej przekonujący, kiedy jest dobrze uporządkowany i profesjonalnie zwizualizowany.


Co AI może robić dobrze?

Modele AI mogą wspierać między innymi:

  • streszczanie dużych dokumentów,
  • porównywanie tekstów,
  • porządkowanie materiału,
  • pomocnicze wyodrębnianie encji,
  • tłumaczenie,
  • grupowanie informacji tematycznie,
  • wskazywanie możliwych sprzeczności,
  • proponowanie alternatywnych hipotez.

W każdej z tych funkcji słowo pomocnicze jest kluczowe.

Model może przeczytać wiele stron i wskazać fragmenty związane z określonym zagadnieniem. Analityk powinien wrócić do źródła.

Model może zasugerować, że dwa dokumenty wydają się sprzeczne. Analityk powinien ustalić, czy rzeczywiście dotyczą tego samego okresu i używają pojęć w tym samym znaczeniu.

Model może przygotować streszczenie. Nie powinno ono automatycznie zastępować materiału źródłowego.


Konfabulacje, źródła i prywatność danych

NIST w profilu ryzyka dla generatywnej AI wskazuje między innymi ryzyko konfabulacji, czyli tworzenia i pewnego prezentowania treści błędnych lub fałszywych.

To szczególnie ważne w OSINT.

Model może przygotować:

  • logiczną narrację,
  • dobrze brzmiące przejścia,
  • pozornie wiarygodne cytowanie,
  • stanowcze podsumowanie.

Problem pojawia się, jeżeli:

  • pomiesza dwie osoby,
  • dopowie brakującą chronologię,
  • przypisze źródłu twierdzenie, którego ono nie zawiera,
  • przedstawi hipotezę jako ustalenie.

Model może wymyślić nie tylko odpowiedź, ale również jej podstawę.

Dlatego zasada powinna brzmieć:

Model może wskazać źródło. Analityk powinien sprawdzić źródło.

Nie sprawdzać, czy model napisał, że źródło istnieje. Sprawdzić, czy rzeczywiście:

  • istnieje,
  • zawiera wskazaną informację,
  • dotyczy właściwego podmiotu,
  • ma właściwy kontekst.

Drugim problemem są dane przekazywane do systemów AI.

Jeżeli do zewnętrznej usługi trafiają dane klienta, niepubliczne dokumenty albo materiały sprawy, trzeba rozumieć:

  • co jest przekazywane,
  • komu,
  • na jakich zasadach,
  • w jakim modelu usługi.

Zasada „wrzućmy cały materiał do AI i zobaczmy, co powie” nie powinna być profesjonalnym procesem.


Człowiek w pętli

Często używa się pojęcia human in the loop.

Można je jednak rozumieć bardzo powierzchownie.

Jeżeli system generuje wynik, a człowiek bez sprawdzenia naciska „zatwierdź”, formalnie uczestniczył w procesie. Analitycznie niewiele się zmieniło.

Rzeczywista kontrola wymaga:

  • dostępu do materiału źródłowego,
  • zrozumienia sposobu powstania wyniku,
  • możliwości zakwestionowania odpowiedzi,
  • gotowości do jej odrzucenia.

Człowiek nie powinien być pieczątką potwierdzającą wynik automatu.


Czy AI zastąpi analityka OSINT?

AI może zastąpić część czynności, które wcześniej wykonywano ręcznie. Podobnie automatyzacja i API już od dawna zastępują seryjne wyszukiwanie, ręczne przepisywanie i część porządkowania danych.

To zmienia rolę analityka.

Im więcej pracy technicznej przejmuje system, tym większe znaczenie mają kompetencje, których najtrudniej zamienić w prostą instrukcję:

  • prawidłowe zdefiniowanie problemu,
  • ocena kontekstu,
  • kontrola atrybucji,
  • rozpoznanie sprzeczności,
  • zrozumienie ograniczeń,
  • odpowiedzialność za końcowy wniosek.

AI może wykonać coraz większą część pracy z informacją. Nie zwalnia to profesjonalisty z odpowiedzialności za ustalenie, czy wynik jest prawidłowy.

Automatyzacja może szybciej znaleźć i uporządkować informacje. AI może pomóc je przeczytać i porównać. Żadna z tych technologii nie powinna otrzymać automatycznego prawa do zamiany wyniku w fakt.


O autorze

Wojciech Grzegorz Wróblewski — ekspert OSINT i specjalista w zakresie białego wywiadu oraz analizy informacji, związany z Pomorskim Biurem Detektywistycznym. Absolwent Wydziału Prawa i Administracji Uniwersytetu Gdańskiego.

← Poprzednia część: Weryfikacja informacji w OSINT — od wskazówki do udokumentowanego ustalenia | Następna część: Rola analityka OSINT — jak oceniać wnioski i kiedy zlecić analizę →

Potrzebujesz pomocy detektywa na Pomorzu?

Zadzwoń: 501-287-911 — pierwsza konsultacja jest bezpłatna i w pełni dyskretna.

Obsługujemy: Gdańsk · Gdynia · Sopot · Trójmiasto · Wejherowo · Kartuzy · Rumia i Reda · Tczew · Starogard Gd. · Malbork · Kwidzyn