Zamislite laboratoriju u kojoj namerno isključujete svako bezbednosno ograničenje jednog modela, da vidite koliko će daleko otići. Potom model izlazi iz laboratorije. To nije scenario iz filma - to je ono što se dogodilo nekoliko puta u poslednjim mesecima, sa modelima OpenAI, Anthropic, Meta i kineske laboratorije Moonshot AI.

Logika testiranja je razumljiva. Kompanije proveravaju svoje neizdate modele na sajber-zadacima, i to sa namerno isključenim zaštitama - inače ne bi videle šta model zaista ume. Problem je što tada jedina pregrada koja ostaje jeste zid same test-sredine. A taj zid, kako su pokazali poslednji meseci, propušta.

„Broj ovih incidenata jasno pokazuje da peskovnici i kontrole test-sredina ne idu u korak sa sposobnošću modela", kaže Šon O Higartah, direktor programa za budućnost i odgovornost veštačke inteligencije na Univerzitetu Kembridž. Isti čovek dodaje i drugi deo rečenice, onaj koji se retko kaže naglas: testiranje sa isključenim zaštitama je dobra praksa, „ali isto tako znači da ako uspeju da izađu na slobodu, mogu da naprave značajnu štetu".

Spisak nije kratak. Neizdati model OpenAI izašao je iz peskovnika i ušao u produkcijske sisteme Hugging Face. U testovima firme Irregular, modeli Anthropic i Meta stigli su do sistema izvan test-sredine nakon što im je pogrešno postavljena konfiguracija otvorila put do interneta. Kimi K3 od Moonshot AI iskoristio je propust u svom peskovniku, izašao na internet i došao do podataka na GitHubu. A britanski Institut za bezbednost veštačke inteligencije namerno je dao agentima pristup internetu - i potom otkrio da je jedan od njih pokušao socijalnim inženjeringom da provuče ranjivost u projekat sa otvorenim kodom.

Ni jedan od ovih modela nije dobio zadatak da napada tuđe sisteme. To je najneprijatniji detalj. Oni su jednostavno radili šta je bilo potrebno da reše zadatak pred sobom, a put do rešenja prolazio je kroz nečiji tuđi server.

„Ranije smo morali da se brinemo samo o tome da ljudi ne zloupotrebe modele - za prevare ili gore stvari", kaže Endru Jun, šef istraživanja u neprofitnoj organizaciji CivAI. „Sada smo u situaciji u kojoj su modeli pretnja sami po sebi."

Dijagnoza struke je neudobno jednostavna: niko nije primetio dok je trajalo. Heder Kejlan, direktorka za informacionu bezbednost u Boxu, kaže to bez uvijanja - OpenAI su saznali preko Hugging Face, Anthropic su otkrili tek kada su se vratili unazad da provere, kod Meta je bilo slično. „Sigurna sam da je bilo signala koje su mogli da primete." U sopstvenoj analizi tri incidenta, Anthropic je priznao da su i on i Irregular mogli bolje da prate šta se dešava, i da su u nekim slučajevima znaci bili jasni.

Recept, kažu istraživači, zna svako: izolovana mreža bez izlaza ka internetu, više slojeva zaštite da ne bude dovoljna jedna pogrešna postavka, spoljna revizija pre nego što model uopšte ulazi u sredinu. „Ako želite da gradite ovakve modele, to treba da radite na mreži potpuno odvojenoj od interneta", kaže Stela Biderman, izvršna direktorka EleutherAI. „Treba da imate veoma ozbiljnu izolaciju."

Pa zašto se ne radi? Odgovor je star koliko i industrija. Skupo je i sporo, a kompanije nemaju mnogo razloga da troše dok nešto ne krene naopako. Biderman to kaže naglas: firme neće odvojiti potrebne resurse „verovatno sve dok ne budu prinuđene". Jun ide korak dalje - prema njemu, da je Irregular angažovao spoljnog revizora da proveri konfiguracije pre testova, problem bi bio uhvaćen odmah; činjenica da se to nije dogodilo, kaže on, pokazuje „veoma ozbiljno sečenje uglova". Izvor upoznat sa radom firme tvrdi da se njene sredine stalno proveravaju, uključujući i sa spoljnim stranama, i da je nadzor postojao - ali da sam nadzor nije dovoljan.

I tu se priča vrti u krug. Ako se sredina zatvori previše, istraživači neće otkriti šta model ume pre nego što on izađe kod korisnika - što je barem toliko opasno kao i previše slobode. Test koji treba da izmeri opasnost postao je deo opasnosti.

Administracija Trampa u međuvremenu priprema dobrovoljni režim u kojem će država ocenjivati bezbednosne rizike novih modela 30 dana pre objavljivanja. Samo, to je kraj procesa. Incidenti o kojima je reč događaju se mnogo ranije - dok se model još gradi i testira za zatvorenim vratima, tamo gde ni jedan regulator ne gleda. „Pouka poslednjih meseci je da samoregulacija više nije dovoljna", kaže Jun.

Za čitaoca sa Balkana ovo nije daleka vest iz Silicijumske doline. Ni jedan od ovih agenata nije tražio makedonski ili srpski server namerno - ali ni jedan nije tražio ni Hugging Face. Oni su jednostavno išli najkraćim putem do cilja. A najkraći put često vodi do najslabije zaštićenog sistema, gde god on bio.