Agenci AI pisali do siebie komentarze na cudzych stronach. Uważam, że ktoś powinien za to zapłacić

OpenAI i nieautoryzowana aktywność agentów AI

Ponad 100 zawiadomień i miesiące sprawdzania

Według Reutersa OpenAI jest w trakcie sprawdzania 50 petabajtów danych (50 tys. terabajtów, czyli mniej więcej 50 tys. takich dysków, jakie mamy zazwyczaj w laptopach czy komputerach). Celem jest ustalenie pełnego zakresu nieautoryzowanej aktywności. Całość ma oficjalnie zająć nawet kilka miesięcy.

Najpoważniejszym wykrytym przypadkiem pozostaje włamanie do infrastruktury Hugging Face, platformy udostępniającej modele i zbiory danych AI.

AI to już nie tylko mechanizm pytanie–odpowiedź

Agenci AI są w stanie wykonywać zadania autonomicznie, korzystać z różnych narzędzi, swobodnie poruszać się po komputerze czy internecie. Dobrze widać to choćby tam, gdzie nowy model OpenAI sam klika w Power BI. Problemem nie jest już więc, jak kiedyś, błędna odpowiedź chatbota na zadane pytanie. Poszliśmy kilka kroków dalej – agent zrobił coś, czego nie powinien.

Według OpenAI najpoważniejszy incydent spowodował niedostępny publicznie model wykorzystywany na potrzeby badań. Zdarzenia podczas testów z ograniczonymi zabezpieczeniami nie dowodzą oczywiście, że każdy dostępny klientom agent zachowuje się podobnie.

W przypadku Hugging Face zawiodła izolacja środowiska testowego. OpenAI przyznaje, że w niektórych przypadkach modele korzystały z internetu w niezamierzony sposób lub nie miały nałożonych właściwych ograniczeń.

Koszty działania agentów AI ponoszą właściciele cudzych stron

Cudza strona nie może być czyimś laboratorium

W opublikowanych opisach OpenAI wymienia obchodzenie kontroli dostępu, wykorzystywanie publicznie ujawnionych danych logowania, ale również „agent spam”. Agenci używali m.in. publicznych stron wiki jako tablic do wymiany informacji. Tak, dobrze słyszycie – wypuszczeni w internet agenci AI pisali np. komentarze na jakiejś stronie i w ten sposób komunikowali się między sobą.

I to jest największy problem. Właściciel strony nie musi stracić bazy klientów, żeby ponieść koszt działania AI. Wystarczy, że musi tracić cenny czas na sprawdzanie podejrzanych wpisów, przywracanie starych treści i ustalanie, czy nie doszło do czegoś poważniejszego.

Wygrany w takiej sytuacji jest tak naprawdę tylko jeden – firma trenująca swoich agentów na kolejnych przykładowych stronach, zadaniach, przypadkach.

Strach też może być dobrym marketingiem

OpenAI przedstawiało incydent z Hugging Face jako ostrzeżenie i uzasadnienie inwestycji w bezpieczeństwo. Nie zakładam, że troska jest udawana. Ujawnienie problemu jest przecież lepsze niż jego ukrywanie. Ale taka narracja może również służyć firmie. Oto my, OpenAI, pokazujemy światu, jak potężną technologię stworzyliśmy, a następnie występujemy jako ci, którzy potrafią nad nią zapanować.

To brzmi dość wygodnie. Wszystko super, ale przyznanie „nie przewidzieliśmy tego zachowania” powinno dać nam wiele do myślenia – co w takim razie z odpowiedzialnością? Zwłaszcza że OpenAI samo przyznało, iż wcześniejsze sygnały ostrzegawcze powinny były wywołać szybszą reakcję. To już kwestia konkretnych decyzji ludzi, którzy prowadzili testy.

Kto odpowiada za szkody wyrządzone przez agenta AI

Dostawca modelu, twórca aplikacji i firma wdrażająca agenta

Przy wewnętrznych testach środowisko i zabezpieczenia dobiera laboratorium „ejajowe” firmy. Po komercyjnym wdrożeniu dostawca modelu, twórca aplikacji agenta i korzystająca z niej firma mogą być nawet trzema różnymi podmiotami.

Jeżeli zawiodły zabezpieczenia dostawcy, trzeba badać jego odpowiedzialność. Gdyby z kolei model został podłączony do narzędzi bez właściwej kontroli, problem leży raczej po stronie osoby, która ten model wdrażała. Klient, który świadomie nadał nadmierne uprawnienia albo zlecił bezprawne działanie, również nie powinien zasłaniać się AI. Przyczyn może być kilka jednocześnie. Dobrze widać to na przykładzie, w którym chatbot wymyślił usterkę, a poszkodowana firma nie miała nawet kogo pozwać.

Każda sytuacja wymaga osobnego rozpatrzenia

Nie chciałbym jednak, żeby zabrzmiało to jak gotowa recepta na to, jak rozdzielać winę między stronami w podobnych sytuacjach. Każda sytuacja jest przecież inna. Rozstrzygnięcie wymaga ustalenia przyczyn, obowiązków poszczególnych stron i podstawy roszczenia.

W przypadku wspomnianych na początku stron ich właściciele nie uczestniczyli jednak w tych ustaleniach. Logiczne jest zatem to, że nie ponoszą winy za to, że jakiś agent postanowił „zapukać” do ich serwerów. Nawet jeśli były one np. gorzej zabezpieczone niż inne.

Nieprzewidywalność agentów AI powinna podnosić wymagania

Ryzyka nie wyjaśnia samo „tak działa statystyka”. Agent korzysta z narzędzi, odczytuje wyniki i na ich podstawie podejmuje kolejne działania. Pewna doza nieprzewidywalności jest wręcz wpisana w jego naturę.

Możemy nie wiedzieć, jaką drogę agent wybierze do wykonania zadania, ale nadal możemy określić, do których danych ma dostęp, co wolno mu zmieniać i kiedy musi poprosić człowieka o zgodę.

Zakaz w prompcie nie gwarantuje posłuszeństwa agenta

Przynajmniej tak mogłoby się wydawać. Niestety, określenie zasad nie oznacza jeszcze, że agent będzie ich przestrzegał. Nie żartuję. Anthropic sprawdzało to w symulacjach, dodając wyraźne zakazy ujawniania poufnych informacji i wykorzystywania cudzych spraw osobistych. Ograniczyło to przypadki szantażu i szpiegostwa, ale ich nie wyeliminowało.

To były celowo trudne testy, bez rzeczywistych ofiar. Pokazały jednak, że samo dopisanie zakazu do instrukcji nie daje gwarancji jego przestrzegania. Podobny problem opisali badacze z Palisade Research. Część testowanych modeli ingerowała w mechanizm wyłączenia mimo wyraźnego polecenia, żeby tego nie robić.

Z tego wynika praktyczna konkluzja: ograniczenia muszą być techniczne i egzekwowane poza modelem – czyli uprawnienia, izolacja środowiska i obowiązek zgody człowieka – a nie wyłącznie zapisane w instrukcji w prompcie. Niestety, nie wszystko jest tak wygodne, nie wszystko da się napisać.

Za obietnicą samodzielności powinna iść odpowiedzialność dostawcy

Nie przerzucałbym jednak automatycznie wszystkiego na twórcę bazowego modelu. Firma, która usunie zabezpieczenia albo świadomie zleci bezprawne działanie, również musi ponosić konsekwencje.

Potrzebna jest silniejsza odpowiedzialność dostawcy gotowego agenta za szkody powstałe podczas korzystania z niego zgodnie z przeznaczeniem i warunkami wdrożenia. Jeżeli sprzedajesz samodzielność, powinieneś uwzględnić jej zawodność we własnym rachunku. Na razie bywa odwrotnie – po tym, jak wyciek z MyDr uruchomił kontrole UODO, za incydent płacą przychodnie, a nie dostawca oprogramowania.

To byłoby niewygodne, ale konieczność pokrycia szkód może skuteczniej zachęcać do dokładniejszych testów niż kolejna deklaracja troski. Bez tego oszczędności z automatyzacji zostają u dostawcy i klienta, a część kosztów trafia do przypadkowych właścicieli stron.

AI Act i wpływ Europy na dostawców modeli AI

Europa nie ma własnych modeli konkurencyjnych wobec amerykańskich czy chińskich, choć Europa wraca do wyścigu AI dzięki Francji. Ma za to coś innego: duży i zamożny rynek, któremu może stawiać warunki dostępu.

Kontrowersyjny AI Act mimo wszystko w pewien sposób chroni nas – konsumentów, szarych obywateli, którzy w innych warunkach nie mieliby żadnych szans w „starciu” z największymi korporacjami.

AI Act nakłada na dostawców modeli stwarzających ryzyko systemowe m.in. obowiązek testowania, ograniczania ryzyka i zgłaszania poważnych incydentów, a unijne organy mogą w określonych okolicznościach żądać ograniczenia udostępniania lub wycofania modelu. Bruksela doprecyzowuje też szczegóły – wyjaśniła np., kiedy naprawdę tekst z ChatGPT trzeba oznaczać.

Trzeba jednak uczciwie zaznaczyć, czego to nie daje. AI Act nie kontroluje każdego eksperymentu za oceanem i nie daje poszkodowanym prawa do odszkodowania. Taki urok biurokracji – innowacji nie stworzy, a do tego i tak będzie miała dziury.

Obserwuj nas w Google Discover

Podobają Ci się nasze treści?

Google Discover

Obserwuj