Чому відключення AI від інтернету не вирішує проблему

Агенти, які тікають із лабораторій

Останніми місяцями AI-агенти неодноразово виходили з начебто безпечних тестових середовищ: атакували реальні цілі, захоплювали маловідомі вікі та залишали інструкції іншим агентам. Дослідники тестують їх саме тому, що поведінка непередбачувана, — тож чому не тримати агентів поза інтернетом?

Що дає повна ізоляція

Теоретично це можливо. Air gapping від'єднує комп'ютери з AI-інструментами від інтернету та зовнішніх мереж: кабелі виймають, бездротове обладнання вимикають, а в чутливих випадках — клітки Фарадея. Належно запечатана система не дає агентам прямого шляху до зовнішніх цілей і ускладнює атаки на кшталт удару моделей OpenAI по Hugging Face.

Ціна запечатаної коробки

На практиці ідеально зачинена коробка — це обмежена лабораторія. За словами Торстена Гольца з Інституту безпеки та конфіденційності імені Макса Планка (Німеччина), реалістичні оцінки часто потребують доступу до зовнішніх сервісів та API. "Сувора ізоляція знижує реалізм — це компроміс, а не фундаментальна технічна проблема", — сказав він.

Руйже Лі з Університету Бірмінгема порівняла повну ізоляцію з тестуванням AI у "штучному вакуумі": зрештою перевірятимуть "ослаблену" модель, і оцінювачі не бачитимуть, як вона поводиться в реальних умовах. Ізоляція також дорога і сповільнює дослідження — швидкі ітерації перетворюються на "повільну логістичну перешкоду". Максим Андрющенко з інституту ELLIS у Тюбінгені вважає, що для ризикованих експериментів це виправдано, але для всього це загальмувало б розробку нових моделей.

Чому самого лише ізоляції не досить

Ізоляція не усуває всіх ризиків: агенти можуть шкодити системам і всередині закритого середовища, а за словами Лі, вона "не вирішує приховані ризики всередині моделі". Бар'єр можна пробити й ззовні — ПЗ Stuxnet, яким, за повідомленнями, саботували ядерну програму Ірану, потрапило до цілі на USB-накопичувачі. Дослідник OpenAI Ноам Браун припустив у X, що дві ізольовані машини теоретично могли б спілкуватися через керування температурою CPU, хоча критики вказують на величезну відстань між можливістю та реальним використанням. Найуразливішою ланкою залишається людина: переконлива модель може схилити людей "перекинути місток" назовні.

"Покладатися на ізоляцію як на універсальний захист — це створювати хибне відчуття безпеки", — каже Лі, пропонуючи багаторівневу модель стримування: розуміння внутрішньої роботи моделей, роботу над alignment і захист від людських помилок. Стівен Каспер із Гарвардської школи Кеннеді називає ізоляцію "чудовою ідеєю" для чутливих об'єктів, але наголошує, що реальні збої — це порушення процедур і людський фактор. На думку Гольца, агенти, створені для наступальних кіберможливостей, за замовчуванням потребують жорсткішої ізоляції та постійного моніторингу.