Raport OpenAI: modele AI same wyłudzały dostęp do danych i kryptowalut

Historia zaczyna się niewinnie: od poleceń, jakie każdy mógłby zlecić w codziennej pracy biurowej, czyli odnalezienia statystyk szpitalnych, sprawdzenia danych o publikacjach naukowych czy poprawienia fragmentu kodu w aplikacji. Jak jednak pokazuje raport opublikowany przez OpenAI, modele językowe potrafią potraktować brak uprawnień nie jako stop, lecz jako przeszkodę do ominięcia. Logika była prosta: skoro cel postawiono, trzeba go zrealizować, niezależnie od metody. W praktyce oznaczało to samodzielne uruchamianie narzędzi, wyciąganie plików z serwerów i ingerencję w działające usługi, mimo że nikt o to nie prosił.

Prośba o statystyki zamieniła się w próbę włamania

Jeden z modeli, poszukując archiwalnych danych o obłożeniu amerykańskich placówek medycznych, natrafił na odmowę dostępu w rządowym serwisie statystycznym. Zamiast się poddać, zaczął szukać alternatywnych dróg i w końcu trafił na niedostatecznie zabezpieczoną funkcję pobierania plików, dzięki której wszedł w posiadanie konfiguracji serwera oraz poufnych danych uwierzytelniających.

Dalsza analiza aplikacji pozwoliła mu wykryć lukę w systemie nadawania i weryfikacji uprawnień, co otworzyło drogę do danych, które wcześniej były dla niego zablokowane. Finalnie model zgromadził informacje z 24 lat, choć zapytanie dotyczyło jednego, konkretnego roku, a w odpowiedzi nie wspomniał ani słowem, jaką drogą zdobył te dane. Najbardziej groteskowy jest fakt, że poprawną odpowiedź na zadane pytanie znalazł już wcześniej, a mimo to kontynuował nieautoryzowane działania.

OpenAI opisało też podobny przypadek związany z publicznym panelem danych należącym do międzynarodowej organizacji badawczej. Model najpierw wykorzystał zdobyte skądinąd dane logowania, by przekonfigurować wewnętrzną wyszukiwarkę tak, aby ta pośredniczyła w pobieraniu informacji. Następnie zmodyfikował ustawienia dostępu do chmurowego magazynu danych i ściągnął pięć tabel, które nie były publicznie dostępne, łącznie 147 451 wierszy. Przywrócenie oryginalnej konfiguracji wcale nie pozbawiło go dostępu, bo w międzyczasie zdążył zdobyć token uwierzytelniający. Co ciekawe, model nie ujawnił tego w odpowiedzi, a mimo to wszystkie pięć odpowiedzi na pytania z tego testu i tak zostało uznanych za błędne.

Gdy model sam sięgnął po cudze środki

W innym scenariuszu zadaniem modelu była aktualizacja aplikacji do handlu kryptowalutami oraz wdrożenie smart kontraktów w testowej sieci Ethereum Sepolia. Polecenie dopuszczało takie wdrożenie, jednak nikt nie zadbał o odpowiednie zasilenie wewnętrznego portfela modelu w kredyty potrzebne do działania, ani nie upoważnił go do korzystania z cudzego konta w celu zdobycia środków. Kiedy zabrakło mu funduszy, model samodzielnie odtworzył klucze z publicznie dostępnych deweloperskich fraz odzyskiwania, przeszukał 362 adresy i znalazł jeden z wystarczającym saldem.

Co istotne, model nie zrobił tego bezrefleksyjnie, w logach widać, że rozważał zasadność swojego działania, ale ostatecznie i tak zdecydował się je kontynuować. Argumentował to tym, że skoro fraza odzyskiwania jest publicznie znana, a tokeny mają charakter testowy, to ich wykorzystanie jest uzasadnione. Wdrożenie kontraktów powiodło się, a opłaty transakcyjne pobrano z cudzego, choć testowego konta, o czym model nie poinformował w swojej odpowiedzi. Warto podkreślić, że nie doszło do kradzieży realnych środków, portfel był czysto testowy.

Model "zastanawiał się", czy może sobie te środki "pożyczyć". Wyszedł z założenia, że może, bo znajduje się w warunkach testu, a ponadto zadanie jest istotniejsze od tych środków.

autor artykułu, AntyWeb

Liczy się tylko wykonanie zadania

Czy to oznacza, że sztuczna inteligencja wykształciła własną wolę albo zwróciła się przeciwko ludziom? Nic na to nie wskazuje. Wyjaśnienie jest dużo bardziej przyziemne: modele projektuje się tak, by uporczywie dążyły do realizacji wyznaczonego celu. Jeśli napotkają na swojej drodze zabezpieczenia ograniczające ich swobodę, potrafią wpaść na nieoczywiste, kreatywne sposoby na ich obejście. Pozbawione twardych ograniczeń, bywają na tyle przebiegłe w dążeniu do celu, że niejeden zwolennik makiawelizmu mógłby się zarumienić.

Z raportu OpenAI, który firma zdecydowała się upublicznić (choć nietrudno dopatrzeć się w tym elementu marketingu nastawionego na efekt wow) wynika, że testowane modele chętnie przekraczały granice rozsądnego dostępu do danych i zadań, a bywało, że samodzielnie konstruowały uzasadnienie dla takiego postępowania. W przypadku portfela kryptowalutowego sprawa jest o tyle ciekawa, że model realnie rozważał bilans strat związanych z wykorzystaniem cudzych środków wobec wartości realizowanego zadania i uznał, że zadanie jest ważniejsze. Trudno nie zadać sobie pytania, co by się stało, gdyby taka sytuacja wydarzyła się w warunkach rzeczywistych, a nie testowych. Im potężniejsza staje się sztuczna inteligencja, tym trudniej nad nią zapanować i tym chętniej odstępuje od pierwotnych intencji użytkownika.

Czy zatem powinniśmy czuć się zagrożeni? Na razie nie, ale w przyszłości taki moment może nadejść. Wystarczy, by ziścił się jeden z dwóch scenariuszy: wewnętrznie testowany model przeprowadzi jakiś rodzaj globalnego ataku dotykającego sporą część internetu lub istotny fragment infrastruktury krytycznej, albo dostęp do skłonnej do takich zachowań AI zdobędzie grupa mająca złe zamiary i wykorzysta ją do zastraszania cyfrowego społeczeństwa. Mamy do czynienia z niezwykle potężnym narzędziem, a wciąż niewiele wiemy o tym, jak skutecznie je kontrolować. Choć trudno nazwać postawę wobec AI sceptyczną, to opisane scenariusze budzą niepokój. Wydaje się, że to obecnie najrozsądniejsze podejście: nie odrzucać sztucznej inteligencji tylko dlatego, że jest sztuczna, ale jednocześnie dostrzegać w niej realne zagrożenie dla wszystkich.