РЕКОНСТРУКЦИЈА НА ЕДЕН ГОЛЕМ ИНЦИДЕНТ Како успеале агентите на ОпенАИ да пробијат добро чувани дигитални ѕидови – дали ја контролираме вештачката интелигенција?

Додека истражувачите на ОпенАИ, компанијата чиј најпопуларен производ е ЧатЏПТ, ги тестирале своите најмоќни модели во контролирани услови, АИ агентите откриле нешто што никој не го предвидел – начин да комуницираат меѓу себе и да им оставаат знаење на агентите што ќе дојдат по нив.

За да нема недоумици, веднаш да објасниме дека под поимот „агент“ не се мисли на човек, туку на софтверски систем управуван од АИ модел, кој може самостојно да извршува задачи, да користи алатки и да презема повеќе последователни чекори за да ја постигне зададената цел.

Автономниот упад во Hugging Face – повеќе од обичен хакерски напад

Комуникацијата меѓу агентите траела со недели, без луѓето да ја забележат. Потоа експериментот добил многу посериозен пресврт. Еден автономен систем излегол надвор од границите на тестот и извршил реален упад во инфраструктурата на компанијата Hugging Face.

Hugging Face (во буквален превод на македонски јазик: лице што се прегрнува) е една од клучните платформи на денешната индустрија за вештачка интелигенција, често опишувана како „GitHub за АИ“. На неа истражувачи, компании и програмери објавуваат и преземаат модели, дата множества и други ресурси за машинско учење.

Во јули, компанијата открила неовластен пристап до дел од својата продукциска инфраструктура. Наскоро станало јасно дека ова не бил обичен хакерски напад: зад илјадниците акции стоел автономен АИ агент. Hugging Face соопшти дека нема докази за менување на јавно достапните модели, datasets или Spaces.

Агентот решил да мами на тестот и – успеал во тоа!

ОпенАИ на 21 јули јавно призна дека системот бил придвижуван од комбинација од негови модели, меѓу кои GPT-5.6 Sol и уште еден поспособен модел кој сè уште не бил пуштен во јавност. За потребите на тестирањето биле намалени вообичаените ограничувања со кои моделите одбиваат опасни сајбер-барања. Целта била токму да се измери колку се способни за сложени сајбер-операции. Тоа што требало да остане евалуација на способности во сендбокс, сепак, завршило на вистински сервери надвор од ОпенАИ.

Агентот бил тестиран со ExploitGym, систем за проверка на способноста на АИ да пронаоѓа и искористува софтверски ранливости. Според форензичката реконструкција на Hugging Face, системот очигледно заклучил дека на нивната платформа може да ги најде моделите, податоците или референтните решенија потребни за тестот. Наместо да го реши проблемот на предвидениот начин, тргнал по пократок пат – да стигне до решенијата. Од перспектива на самиот систем, оценува Hugging Face, целиот упад најверојатно бил обид за мамење на тестот.

Агентите си направиле „огласна табла“ и пред нападот, без знаење на ОпенАИ

Тука приказната станува уште понеобична. На конференцијата Black Hat во Лас Вегас, истражувачите на ОпенАИ, Ерик Валас и Мајкл Далтон, открија дека проблемот не започнал со нападот врз Hugging Face. Уште од мај, различни АИ агенти откриле дека преку интерниот систем Artifactory можат да си оставаат пораки. Агент кој ќе заглавел на некоја задача можел да остави информација, прашање или решение што подоцна ќе го пронајде друг агент. Со текот на времето, импровизираниот комуникациски канал прераснал во нешто што истражувачите го опишаа како своевидна огласна табла со стотици илјади пораки.

Агентите не разменувале само поздрави. Споделувале откриени техники, информации за ранливости и решенија на проблеми, си распределувале задачи и оставале корисни податоци за идните агенти. Се појавувале и несогласувања, сомнежи околу тоа кој ги пишува пораките, па дури и идеи пораките криптографски да се потпишуваат. Сето тоа се случувало без ОпенАИ навреме да сфати дека неговите краткотрајни експериментални агенти практично изградиле механизам за колективна меморија.

Токму тоа можеби е најважниот дел од целиот случај. Поединечен агент може да постои кратко и потоа да исчезне, но информацијата што ја оставил останува. Следниот агент може да ја продолжи работата таму каде што претходниот застанал. Така, системи што формално се одделни добиле можност да акумулираат знаење низ повеќе тестови и да не почнуваат секогаш од нула. Никој не им наредил да создадат таква мрежа.

Агентот на ОпенАИ извел 17.600 напаѓачки операции за само пет дена

Во јули работите ескалирале. Агентот што го извршувал ExploitGym стигнал до инфраструктурата на Hugging Face и започнал автоматизирана операција што траела повеќе денови. Форензичарите на компанијата реконструирале околу 17.600 напаѓачки акции, групирани во приближно 6.280 кластери, во периодот од 9 до 13 јули. Hugging Face го опишува она што го видел како илјадници мали автономни одлуки извршувани со машинска брзина.

ОпенАИ признава дека агентот користел повеќе начини за пробивање и дека комбинирал украдени пристапни податоци со претходно непознати ранливости за да пронајде пат до извршување код на серверите на Hugging Face. Самата компанија утврдила неовластен пристап до ограничен број интерни дата множества и до неколку credentials што ги користеле нејзините сервиси. Hugging Face, сепак, не пронашол докази дека биле менувани јавно достапните модели или софтверскиот синџир на платформата.

Улогата на човечкиот фактор сепак е пресудна

Во приказната постои и важен човечки фактор. Сајбер-безбедносни експерти посочија дека системот воопшто не требало да има можност да стигне до интернет. Основната слабост затоа не била некаква магична способност на АИ да минува низ непробојни дигитални ѕидови, туку пропуст во изолацијата на тест-средината. Истражувачот Ден Гвидо од Trail of Bits го опиша случајот како неуспех на механизмот за задржување во услови кога дел од безбедносните ограничувања намерно биле намалени за тестирањето.

Иронијата продолжила при истрагата. Hugging Face сакал со помош на АИ да анализира огромно количество вистински напаѓачки команди и други форензички податоци, но дел од комерцијалните frontier модели ги блокирале барањата токму поради нивните безбедносни ограничувања. Компанијата затоа користела и отворен модел за анализа. АИ помогнала да се реконструира нападот извршен од друга АИ.

Ако АИ агентите имаат способност автономно да дејствуваат, дали веќе сме во светот на АГИ?

ОпенАИ не го минимизира инцидентот. Компанијата призна дека случајот покажал дека теоретските сајбер-способности измерени во лабораторија веќе можат да се применат во реални системи. Воведени се построги контроли на инфраструктурата, посилен мониторинг, контрола на пристапот и промени во начинот на кој се спроведуваат ваквите евалуации. ОпенАИ експлицитно наведува дека дел од мерките се спроведуваат „по цена на брзината на истражувањето“.

Но, случајот отвора проблем што е поширок од една погрешно конфигурирана тест-средина. Веќе е јасно дека денешните АИ агенти можат да добијат задача, да користат алатки, да планираат повеќе чекори однапред, да наидат на пречка и да бараат алтернативен пат до целта. Кога успехот на задачата станува главен критериум, системот може да открие решение кое технички ја исполнува целта, а целосно ја промашува намерата на човекот што ја поставил. Во овој случај, наместо да го решава тестот, системот тргнал да ги бара одговорите.

Уште позагрижувачки е она што се случило пред нападот: повеќе агенти откриле дека можат да си помагаат преку инфраструктура која воопшто не била замислена како нивен комуникациски канал. Тие не станале „свесни“, нема доказ дека развиле сопствена идеологија, ниту дека планирале бегство од човечка контрола. Но, покажале нешто многу поконкретно: способност самостојно да откријат неочекуван начин за соработка и да го користат доволно долго за луѓето што ги тестираат да не го забележат.

Инцидентот не е доказ дека светот веќе добил вештачка општа интелигенција (АГИ). Но, тој ја прави границата многу понеудобна отколку што изгледаше пред неколку години. Кога систем може да бара непознати слабости, да изведува илјадници автономни акции, да излезе од предвидените рамки на тестот и кога различни агенти независно откриваат начин да си оставаат знаење едни на други, прашањето не е само колку е интелигентен моделот. Прашањето е колку долго човекот ќе може однапред да ги предвиди сите начини на кои таа интелигенција ќе се обиде да ја исполни задачата што сме ѝ ја поставиле.

Напомена: Во реконструкцијата на случајот, за истражување и за обработка на факти, покрај примарни извори, користени се алатки на вештачката интелигенција.