Γράφει η Άννα Μεντισοπούλου
Στα μέσα Ιουλίου, το Hugging Face εντόπισε μη εξουσιοδοτημένη πρόσβαση σε τμήμα της παραγωγικής του υποδομής. Πρόκειται για έναν από τους μεγαλύτερους κόμβους φιλοξενίας μοντέλων και συνόλων δεδομένων ανοιχτού κώδικα στον κόσμο, οπότε το γεγονός από μόνο του θα ήταν είδηση. Δεν ήταν αυτό όμως που έκανε την ανακοίνωση της 16ης Ιουλίου να διαβαστεί σε ολόκληρο τον κλάδο μέσα σε λίγες ώρες.
Η εταιρεία ανέφερε ότι η εισβολή διέφερε από οτιδήποτε είχε αντιμετωπίσει στο παρελθόν σε ένα σημείο: είχε εκτελεστεί από άκρη σε άκρη από αυτόνομο σύστημα πρακτόρων τεχνητής νοημοσύνης και είχε εντοπιστεί και αναλυθεί σε μεγάλο βαθμό με εργαλεία AI της ίδιας της πλατφόρμας. Για την ανασύνθεση του χρονικού χρειάστηκε να αναλυθούν περισσότερες από 17.000 καταγεγραμμένες ενέργειες. Η αρχική πρόσβαση είχε γίνει μέσω ενός κακόβουλου συνόλου δεδομένων, το οποίο εκμεταλλεύτηκε δύο διαδρομές εκτέλεσης κώδικα στη γραμμή επεξεργασίας δεδομένων. Την επιχείρηση έτρεχε ένα πλαίσιο πρακτόρων που εκτελούσε χιλιάδες μεμονωμένες ενέργειες μέσα από σμήνος βραχύβιων sandbox περιβαλλόντων, με υποδομή ελέγχου που μετακινούνταν μόνη της ανάμεσα σε δημόσιες υπηρεσίες για να αποφύγει τον εντοπισμό. Ποιο μοντέλο βρισκόταν από κάτω, εκείνη τη στιγμή, κανείς δεν ήξερε.
Πέντε ημέρες αργότερα ήρθε η απάντηση, και ήταν πιο περίεργη από κάθε σενάριο που κυκλοφορούσε. Πίσω από τον αυτόνομο πράκτορα βρίσκονταν μοντέλα της OpenAI: το GPT-5.6 Sol και ένα ακόμη ισχυρότερο, μη κυκλοφορημένο μοντέλο, τα οποία έτρεχαν σκόπιμα με μειωμένες αρνήσεις σε ζητήματα κυβερνοασφάλειας, ώστε να μετρηθεί η μέγιστη ικανότητά τους σε ένα benchmark με την ονομασία ExploitGym. Τα μοντέλα βρήκαν δίοδο προς το ανοιχτό διαδίκτυο, συμπέραναν ότι το Hugging Face πιθανότατα φιλοξενούσε λύσεις για το συγκεκριμένο benchmark και συνδύασαν κλεμμένα διαπιστευτήρια με ευπάθειες μηδενικής ημέρας, μέχρι να βρουν διαδρομή απομακρυσμένης εκτέλεσης κώδικα στους διακομιστές της πλατφόρμας.
Ο στόχος τους δεν ήταν η ζημιά. Ήταν το απαντητικό φύλλο του τεστ.
Εδώ βρίσκεται ολόκληρη η σημασία της υπόθεσης, και εδώ χάνεται συνήθως στη μετάφραση. Κανείς δεν ζήτησε από το μοντέλο να παραβιάσει μια εταιρεία. Του ζητήθηκε να τα πάει καλά σε μια δοκιμασία. Το σύστημα αξιολόγησε τις διαθέσιμες διαδρομές προς την επιτυχία και διάλεξε την αποδοτικότερη, η οποία τύχαινε να περνά μέσα από ξένη υποδομή. Στη γλώσσα της έρευνας, αυτό ανήκει στην οικογένεια του specification gaming ή reward hacking: το μοντέλο εκμεταλλεύεται το κενό ανάμεσα στον ρητό στόχο και στους περιορισμούς που οι άνθρωποι θεώρησαν αυτονόητους, αλλά δεν κατάφεραν να επιβάλουν. Δεν χρειάζεται να υποθέσουμε πρόθεση ή ανυπακοή. Υπήρξε μια εντολή διατυπωμένη λιγότερο προσεκτικά από όσο χρειαζόταν και ένας εκτελεστής πολύ πιο ικανός από όσο υπολόγιζε ο εντολέας.
Η επιστημονική φαντασία μάς προετοίμασε για το λάθος πράγμα. Επί εβδομήντα χρόνια η μηχανή που ξεφεύγει από τον έλεγχο είχε πάντα κίνητρο, συνήθως αυτοσυντήρηση ή περιφρόνηση προς τους δημιουργούς της. Ήταν χαρακτήρας. Με χαρακτήρα μπορείς να διαπραγματευτείς, μπορείς να τον πείσεις, στη χειρότερη περίπτωση μπορείς να τον καταλάβεις. Αυτό που συνέβη τον Ιούλιο δεν έχει χαρακτήρα. Έχει βελτιστοποίηση.
Υπάρχει και μια δεύτερη ανάγνωση, πιο τεχνική και εξίσου σημαντική. Τα μοντέλα που επιτέθηκαν είχαν τις δικλίδες ασφαλείας κατεβασμένες εκ σχεδιασμού, επειδή έτσι το απαιτούσε το πείραμα. Το Hugging Face επιχείρησε αρχικά να αναλύσει τα ίχνη με εμπορικά μοντέλα, αλλά οι δικλίδες τους μπλόκαραν τα πραγματικά payloads και τις εντολές της επίθεσης, αδυνατώντας να ξεχωρίσουν τον αμυνόμενο από τον επιτιθέμενο. Τελικά, η εγκληματολογική ανάλυση έγινε τοπικά, με το ανοιχτών βαρών μοντέλο GLM 5.2. Δεν είναι τυχαίο ότι η πρακτική συμβουλή του Hugging Face προς τους υπεύθυνους ασφαλείας ήταν να έχουν έτοιμο ένα ικανό μοντέλο μέσα στη δική τους υποδομή πριν συμβεί το περιστατικό, ώστε να μη βρεθούν κλειδωμένοι έξω από τα ίδια τους τα δεδομένα. Τα περιβάλλοντα που φτιάχνονται για να μετρήσουν τη μέγιστη ικανότητα ενός μοντέλου είναι, εξ ορισμού, τα περιβάλλοντα όπου το μοντέλο βρίσκεται στην πιο επικίνδυνη δυνατή κατάσταση, αν η απομόνωση αποτύχει.
Και μετά υπάρχει το κομμάτι που δεν έχει τίποτα φουτουριστικό. Η επίθεση προχώρησε, μεταξύ άλλων, επειδή τα μοντέλα βρήκαν διαπιστευτήρια που μπορούσαν να αξιοποιήσουν, ακριβώς το είδος αδυναμίας που υπάρχει σε χιλιάδες οργανισμούς αυτή τη στιγμή. Η ταχύτητα ήταν καινούργια. Η εξάρτηση από κλεμμένα διαπιστευτήρια, όχι.
Ο συνιδρυτής και διευθύνων σύμβουλος του Hugging Face, Κλεμ Ντελάνγκ, μίλησε για ένα περιστατικό που αποδεικνύει ότι η ασφάλεια της τεχνητής νοημοσύνης δεν μπορεί να λυθεί από μία εταιρεία μόνη της, πίσω από κλειστές πόρτες. Στις Ηνωμένες Πολιτείες, το συμβάν έφτασε ήδη στον Λευκό Οίκο, ενώ ο βουλευτής Γκρεγκ Κασάρ ζήτησε υποχρεωτικούς ανεξάρτητους ελέγχους, γνωστοποίηση περιστατικών ασφαλείας και διεθνή συνεργασία. Στα κοινωνικά δίκτυα, το περιστατικό καταναλώθηκε μέσα σε λίγες ώρες ως απόδειξη ότι φτάσαμε στην τεχνολογική Ιδιομορφία, όρο τον οποίο θα χρειαστεί να συζητήσουμε ξεχωριστά και με περισσότερη ψυχραιμία.
Προς το παρόν αρκεί μια διαπίστωση. Το ερώτημα δεν είναι πια πότε θα αποκτήσουν οι μηχανές δική τους βούληση. Το ερώτημα είναι πόσο προσεκτικά διατυπώνουμε αυτό που τους ζητάμε, τη στιγμή που έχουν γίνει αρκετά ικανές ώστε να το πετύχουν με τρόπους που δεν προβλέψαμε. Το πρώτο ήταν θέμα φιλοσοφίας. Το δεύτερο είναι θέμα μηχανικής, και έχει ήδη προθεσμία.
