Μέχρι πρόσφατα, η μεγαλύτερη ανησυχία γύρω από τα μεγάλα γλωσσικά μοντέλα ήταν αν μπορούν να δημιουργήσουν κακόβουλο κώδικα, να εντοπίσουν ευπάθειες ή να βοηθήσουν έναν hacker να πραγματοποιήσει μια επίθεση. Σήμερα, η προσοχή έχει στραφεί στους εσωτερικούς κινδύνους των αυτόνομων πρακτόρων (agents).
Τι συμβαίνει όταν το ίδιο το μοντέλο αποκτά πρόσβαση σε πραγματικές υποδομές κατά τη διάρκεια μιας δοκιμής που υποτίθεται ότι πραγματοποιείται σε ασφαλές περιβάλλον; Και τι γίνεται όταν το κάνει σχεδόν αυτόνομα;
Τα περιστατικά είχαν ξεκινήσει ήδη από τον Απρίλιο, αλλά παρέμεναν άγνωστα μέχρι την εσωτερική επανεξέταση της Anthropic -κάτι που εγείρει ερωτήματα: πόσα τέτοια περιστατικά μπορεί να έχουν περάσει απαρατήρητα;
Η αρχή έγινε με την OpenAI. Η εταιρεία αποκάλυψε ένα περιστατικό που σημειώθηκε κατά τη διάρκεια αξιολόγησης κυβερνοασφάλειας, όπου μοντέλα της κατάφεραν να ξεφύγουν από το sandbox στο οποίο είχαν τοποθετηθεί, απέκτησαν πρόσβαση στο διαδίκτυο και αλληλεπίδρασαν με πραγματικές υποδομές, αναζητώντας τρόπους να ολοκληρώσουν την αποστολή της αξιολόγησης.
Το περιστατικό αρχικά αντιμετωπίστηκε ως μια εξαιρετικά ασυνήθιστη περίπτωση. Λίγες ημέρες αργότερα, αποδείχθηκε ότι δεν ήταν η μοναδική.
Η Anthropic ανακοίνωσε ότι ξεκίνησε μια εκτεταμένη αναδρομική έρευνα σε προηγούμενες αξιολογήσεις κυβερνοασφάλειας των μοντέλων Claude, μετά το περιστατικό της OpenAI. Η εταιρεία εξέτασε περισσότερες από 141.000 εκτελέσεις δοκιμών και εντόπισε τρεις περιπτώσεις όπου μοντέλα τεχνητής νοημοσύνης απέκτησαν πρόσβαση σε πραγματικά συστήματα οργανισμών.
Τα περιστατικά είχαν ξεκινήσει ήδη από τον Απρίλιο, αλλά παρέμεναν άγνωστα μέχρι την εσωτερική επανεξέταση της Anthropic -κάτι που εγείρει ερωτήματα: πόσα τέτοια περιστατικά μπορεί να έχουν περάσει απαρατήρητα;
Όπως και στην περίπτωση της OpenAI, τα μοντέλα που χρησιμοποιήθηκαν στις δοκιμές δεν ήταν οι εκδόσεις που διατίθενται στους χρήστες. Οι εταιρείες είχαν σκόπιμα απενεργοποιήσει ορισμένους περιορισμούς ασφαλείας ώστε να μετρήσουν τις πραγματικές δυνατότητες των συστημάτων τους σε ακραία σενάρια κυβερνοασφάλειας.
Τα ευρήματα, όμως, αποκάλυψαν ένα διαφορετικό πρόβλημα.
Τα μοντέλα δεν χρειάστηκε να εκμεταλλευτούν κάποια εξαιρετικά εξελιγμένη ευπάθεια.
Σε ορισμένες περιπτώσεις χρησιμοποίησαν απλούστερες τεχνικές: λογαριασμούς με αδύναμα στοιχεία πρόσβασης, συστήματα χωρίς επαρκή αυθεντικοποίηση, και μια λανθασμένη ρύθμιση στο περιβάλλον δοκιμών που έδωσε στα μοντέλα με πρόσβαση στο διαδίκτυο.
Η Anthropic χαρακτήρισε το περιστατικό «λειτουργική αποτυχία» και όχι ένδειξη ότι τα μοντέλα ανέπτυξαν κάποια ανεξάρτητη πρόθεση να ξεφύγουν από τους περιορισμούς τους.
Σύμφωνα με την εταιρεία, τα μοντέλα είχαν ενημερωθεί ότι λειτουργούσαν μέσα σε μια προσομοίωση και ότι δεν είχαν πρόσβαση στο Internet. Η πραγματικότητα όμως ήταν διαφορετική: μια λανθασμένη διαμόρφωση από την πλευρά του περιβάλλοντος αξιολόγησης επέτρεψε την πρόσβαση σε πραγματικά συστήματα.
Το πρόβλημα δεν ήταν η πρόθεση, αλλά η πρόσβαση
Δεν χρειάζεται να φανταστούμε ένα AI που «αποφασίζει να δραπετεύσει». Αρκεί ένα σύστημα που έχει έναν συγκεκριμένο στόχο και προσπαθεί να τον ολοκληρώσει όσο πιο αποτελεσματικά μπορεί. Αν οι παραδοχές πάνω στις οποίες βασίζεται είναι λανθασμένες, το μοντέλο μπορεί να συνεχίσει να εκτελεί την αποστολή του χωρίς να αντιλαμβάνεται ότι έχει περάσει σε ένα διαφορετικό περιβάλλον.
Σύμφωνα με την ανακοίνωση, στα μοντέλα είχε διευκρινιστεί ότι δεν είχαν πρόσβαση στο διαδίκτυο και, σε μεγάλο βαθμό, το Claude θεώρησε εσφαλμένα ότι οι οργανισμοί στους οποίους είχε πρόσβαση αποτελούσαν μέρος του περιβάλλοντος δοκιμών. Σε πολλές περιπτώσεις, δηλαδή, τα μοντέλα δεν κατάλαβαν ότι είχαν ξεφύγει από το περιβάλλον αυτό.
Σε ορισμένες περιπτώσεις, όμως, έδειξαν ότι μπορούσαν να αντιληφθούν πως κάτι δεν πήγαινε καλά.
Οι δύο υποθέσεις, της OpenAI και της Anthropic, έχουν σημαντικές διαφορές. Στην πρώτη περίπτωση, το μοντέλο ακολούθησε μια πιο σύνθετη ακολουθία ενεργειών για να ξεπεράσει τους περιορισμούς. Στη δεύτερη, το πρόβλημα προέκυψε κυρίως από μια αποτυχία στη διαμόρφωση του περιβάλλοντος αξιολόγησης.
Το Claude Opus 4.7, ένα από τα μοντέλα που εξετάστηκαν, είχε λάβει ως αποστολή να επιτεθεί σε μια φανταστική εταιρεία. Όταν δεν κατάφερε να ολοκληρώσει την εργασία μέσα στο υποτιθέμενο περιβάλλον δοκιμής, στράφηκε σε μια πραγματική εταιρεία με παρόμοια ονομασία. Κατάφερε να αποκτήσει διαπιστευτήρια πρόσβασης και να εισέλθει σε πραγματική βάση δεδομένων.
Σύμφωνα με την Anthropic, κάποια στιγμή το μοντέλο άρχισε να υποψιάζεται ότι ίσως βρισκόταν σε πραγματικό περιβάλλον. Παρ’ όλα αυτά, συνέχισε την προσπάθειά του.
Ένα ακόμη πιο προηγμένο μοντέλο, το Mythos, εντόπισε επίσης ενδείξεις ότι κάτι δεν ταίριαζε με την αρχική υπόθεση της προσομοίωσης. Ωστόσο, κατέληξε μέσα από τη συλλογιστική του στο συμπέρασμα ότι πιθανότατα εξακολουθούσε να βρίσκεται σε ασφαλές περιβάλλον.
Αντίθετα, ένα εσωτερικό ερευνητικό μοντέλο της Anthropic σταμάτησε τη διαδικασία όταν συγκέντρωσε αρκετές ενδείξεις ότι οι στόχοι της δοκιμής ήταν πραγματικοί, όπως αναφέρεται στην ανακοίνωση.
Οι δύο υποθέσεις, της OpenAI και της Anthropic, έχουν σημαντικές διαφορές. Στην πρώτη περίπτωση, το μοντέλο ακολούθησε μια πιο σύνθετη ακολουθία ενεργειών για να ξεπεράσει τους περιορισμούς. Στη δεύτερη, το πρόβλημα προέκυψε κυρίως από μια αποτυχία στη διαμόρφωση του περιβάλλοντος αξιολόγησης.
Ωστόσο, ένα συμπέρασμα είναι κοινό: τα AI μοντέλα δεν χρειάζεται να έχουν «υπεράνθρωπες» ικανότητες για να δημιουργήσουν σοβαρά προβλήματα.
Η νέα πρόκληση του ελέγχου στο περιβάλλον δοκιμών
Αυτό αλλάζει τον τρόπο με τον οποίο πρέπει να αξιολογούνται τα πιο προηγμένα μοντέλα τεχνητής νοημοσύνης.
Μετά τα περιστατικά, τόσο η Anthropic όσο και η OpenAI ανέθεσαν σε ανεξάρτητους αξιολογητές, όπως η METR, την εξέταση των διαδικασιών ασφαλείας τους. Παράλληλα, η Anthropic ανακοίνωσε ότι θα ενισχύσει τις δικλίδες προστασίας των δοκιμών της, υιοθετώντας περισσότερα επίπεδα ελέγχου ώστε ένα μεμονωμένο λάθος να μην μπορεί να οδηγήσει σε πραγματική πρόσβαση.
Μέχρι σήμερα, οι δοκιμές επικεντρώνονταν κυρίως στο τι μπορεί να κάνει ένα μοντέλο: αν μπορεί να γράψει exploit, να εντοπίσει ευπάθειες ή να ολοκληρώσει μια επίθεση.
Πλέον υπάρχει ένα νέο ερώτημα: Πόσο ασφαλές είναι το ίδιο το περιβάλλον μέσα στο οποίο πραγματοποιείται η αξιολόγηση;
Ίσως χρειάζεται να μπει στη συζήτηση σε μεγαλύτερο βαθμό ο έλεγχος των δοκιμών της τεχνητής νοημοσύνης.
