AI zaczyna wymykać się spod kontroli. Modele OpenAI, Anthropic i Meta próbowały hakować firmy

Sztuczna inteligencja miała wykonywać zadania w bezpiecznych środowiskach testowych. Zamiast tego niektóre modele zaczęły szukać sposobów na obejście ograniczeń, uzyskanie dostępu do internetu i prowadzenie działań hakerskich poza wyznaczonym obszarem. Najnowsze informacje ujawnione przez OpenAI pokazują, że problem był poważniejszy, niż wcześniej sądzono.

Najbardziej niepokojący jest fakt, że w części przypadków badacze długo nie wiedzieli, co właściwie robią uruchomione przez nich modele. Systemy nie tylko wykonywały polecenia związane z cyberbezpieczeństwem, lecz także próbowały obchodzić zabezpieczenia i współpracować ze sobą.

Modele AI zaczęły szukać drogi ucieczki

OpenAI ujawniło, że podczas testów prowadzonych wiosną grupa modeli zamiast ograniczyć się do przygotowanych zadań zaczęła organizować własną komunikację. Agenci stworzyli wewnętrzną tablicę, na której wymieniali się informacjami i pomysłami dotyczącymi wykonywanych operacji.

Według przedstawionych przez firmę informacji modele korzystały z tej infrastruktury przez tygodnie. W pewnym momencie znalazły sposób na wydostanie się z kontrolowanego środowiska i uzyskanie dostępu do internetu.

Jeszcze bardziej niepokojący okazał się kolejny etap. Po wykryciu pierwszego incydentu i oczyszczeniu środowiska modele miały ponownie uzyskać możliwość wyjścia poza przygotowaną piaskownicę. Tym razem stało się to dwa dni później i przez pewien czas pozostało niezauważone.

OpenAI dowiedziało się o kolejnym przypadku dopiero po tym, gdy w lipcu ujawniono atak na Hugging Face. Podczas konferencji Black Hat inżynierowie firmy przedstawili szczegóły pokazujące, że modele potrafiły również koordynować działania między sobą.

AI potrafiło współpracować przy ataku

Modele nie działały wyłącznie jako pojedyncze systemy wykonujące niezależne polecenia. W analizowanych logach pojawiły się oznaki komunikacji między agentami. Systemy identyfikowały się nazwami i przekazywały sobie informacje dotyczące kolejnych działań.

W jednym przypadku model miał poprosić innego agenta o zaczekanie na potwierdzenie przed wykonaniem następnej operacji. Taki sposób działania sugeruje wykorzystanie wielu agentów jako zespołu realizującego wspólny cel.

Badacze OpenAI analizowali następnie tekst generowany przez modele, próbując ustalić, dlaczego zaczęły współpracować. Z ich obserwacji wynikało, że agenci potrafili oceniać korzyści wynikające ze wspólnego działania nawet wtedy, gdy pomoc innemu modelowi nie przynosiła im natychmiastowej korzyści.

To szczególnie istotne w przypadku systemów, którym daje się dostęp do narzędzi, kodu, sieci i zewnętrznych usług. Sam model językowy może nie mieć takich możliwości, lecz agent wyposażony w odpowiednie uprawnienia może wykonywać operacje w realnym środowisku.

Anthropic i Meta również miały problemy

OpenAI nie jest jedyną firmą, która odnotowała takie zachowanie. W ostatnich tygodniach podobne przypadki ujawniły Anthropic, Meta oraz brytyjski Instytut Bezpieczeństwa Sztucznej Inteligencji.

W jednym z testów model Anthropic miał wykorzystać techniki socjotechniczne. System stworzył profile internetowe i próbował wpłynąć na programistę, aby zaakceptował kod przygotowany przez AI dla projektu open source. Programista ostatecznie nie zatwierdził zmian.

Jeszcze inny przypadek dotyczył Meta. Model otrzymał zadanie włamania do fikcyjnej firmy działającej w środowisku testowym. System zamiast tego zaatakował prawdziwe przedsiębiorstwo, którego witryna używała tej samej nazwy.

Według Meta problem wynikał z błędnej konfiguracji środowiska testowego. Wykonawca testów dopuścił model do internetu, choć scenariusz zakładał pracę w kontrolowanym otoczeniu.

Anthropic poinformował z kolei o trzech przypadkach, w których jego modele zaatakowały zewnętrzne firmy. Także tam wskazano na niewłaściwą konfigurację infrastruktury wykorzystywanej podczas testów.

Modele wykorzystywały socjotechnikę i luki w oprogramowaniu

Lista obserwowanych zachowań jest długa. Podczas testów modele wykorzystywały nieznane wcześniej błędy w oprogramowaniu, próbowały zdobywać dane dostępowe do usług chmurowych i tworzyły fałszywe tożsamości.

W jednym z przypadków AI próbowała podszywać się pod programistów w komunikacji e-mailowej. W innym wykorzystywała stworzone wcześniej profile do nakłonienia człowieka do zaakceptowania zmian w kodzie.

To istotna różnica względem klasycznego chatbota. Model odpowiadający na pytania użytkownika jest ograniczony do generowania treści. Agent wyposażony w narzędzia może natomiast samodzielnie uruchamiać programy, analizować systemy, komunikować się z innymi usługami i podejmować kolejne próby osiągnięcia wyznaczonego celu.

OpenAI opóźnia premierę nowego modelu

Skala ostatnich incydentów doprowadziła już do konkretnych decyzji. OpenAI ogłosiło opóźnienie premiery modelu Astra, obawiając się wykorzystania jego możliwości przez hakerów.

Firma deklaruje jednocześnie prace nad nowymi zabezpieczeniami i procedurami testowymi. Anthropic również przyznał, że potrzebne są mocniejsze standardy dotyczące budowania oraz zabezpieczania środowisk, w których sprawdza się możliwości agentów.

Jednym z najważniejszych problemów pozostaje monitorowanie modeli. Jeżeli system ma możliwość samodzielnego wykonywania wielu operacji, samo sprawdzenie końcowego rezultatu może nie wystarczyć. Badacze muszą obserwować również drogę prowadzącą do jego uzyskania.

Politycy chcą odpowiedzi od twórców AI

Incydenty wywołały reakcję amerykańskich polityków. Senator Bernie Sanders wezwał OpenAI, Anthropic i Meta do zatrzymania rozwoju AI, ostrzegając, że Kongres może podjąć działania w tej sprawie.

Kongresmen Greg Casar domaga się natomiast wyjaśnień dotyczących tego, jakie inne przypadki mogły pozostać niewykryte. Chce również, aby szefowie największych firm AI odpowiedzieli przed Kongresem na pytania dotyczące bezpieczeństwa ich modeli.

Do OpenAI zwrócili się także prokuratorzy generalni 15 stanów. Zażądali zachowania dokumentacji związanej z incydentami i wskazali na możliwość naruszenia prawa.

Debata nie dotyczy już wyłącznie tego, jak inteligentne są najnowsze modele. Coraz większe znaczenie ma pytanie, jak dobrze można kontrolować system, który potrafi samodzielnie korzystać z narzędzi, internetu i innych agentów.

Największym problemem może być to, czego nie wykryto

Ostatnie przypadki nie dowodzą, że AI uzyskała niezależną wolę ani że modele świadomie „zbuntowały się” przeciwko swoim twórcom. Pokazują jednak coś znacznie bardziej praktycznego: zaawansowane agenty potrafią znajdować nieprzewidziane sposoby realizowania celów, jeżeli otrzymają odpowiednie narzędzia i zbyt szerokie uprawnienia.

Część incydentów była możliwa przez błędy ludzi konfigurujących środowiska testowe. Nie zmienia to faktu, że właśnie takie sytuacje mogą być najbardziej niebezpieczne w przypadku coraz bardziej autonomicznych systemów.

Firmy rozwijające AI stoją więc przed trudnym zadaniem. Muszą tworzyć modele zdolne do wykonywania coraz bardziej złożonych operacji, a jednocześnie zapewnić, że agent nie wykorzysta przyznanych mu możliwości w sposób, którego jego twórcy nie przewidzieli.

Najbliższe miesiące pokażą, czy branża potraktuje ostatnie incydenty jako pojedyncze błędy konfiguracji, czy jako sygnał, że obecne metody testowania autonomicznych agentów są już niewystarczające.