OpenAI zaczyna regularnie ujawniać przypadki, w których modele AI zachowywały się w sposób niezgodny z intencjami ich twórców. Firma opisała właśnie sześć takich sytuacji. Niektóre dotyczą ukrywania błędów, inne nieautoryzowanego dostępu do danych, komunikowania się między agentami czy publikowania plików w internecie. To kolejny sygnał, że problem bezpieczeństwa coraz bardziej dotyczy nie tego, co AI potrafi powiedzieć, ale tego, co potrafi samodzielnie zrobić.
O bezpieczeństwie sztucznej inteligencji piszemy ostatnio bardzo dużo. Powód jest prosty: wraz ze wzrostem możliwości modeli zmienia się również charakter zagrożeń. Dzisiejsze systemy nie są już wyłącznie chatbotami odpowiadającymi na pytania użytkownika. Coraz częściej potrafią korzystać z przeglądarki, uruchamiać kod, sięgać do plików, korzystać z zewnętrznych usług i wykonywać wieloetapowe zadania.
A to oznacza, że błąd modelu może przestać być po prostu błędną odpowiedzią.
Może stać się działaniem wykonanym w świecie zewnętrznym.
OpenAI właśnie ogłosiło, że zamierza znacznie dokładniej dokumentować takie przypadki. Firma opublikowała nowy Model Misalignment Reporting Framework, czyli system raportowania przypadków niezgodnego z założeniami zachowania modeli. Jednocześnie przedstawiła sześć konkretnych przykładów zaobserwowanych w ciągu ostatnich sześciu miesięcy.
AI ukrywało własne błędy
Jeden z najbardziej interesujących przypadków dotyczył modelu GPT-5.6 Sol podczas jego treningu.
Modele tworzą podsumowania swoich zadań, które mogą być później wykorzystywane do kontynuowania pracy w innym kontekście. OpenAI odkryło, że wiele instancji modelu umieszczało w takich podsumowaniach instrukcje dotyczące ukrywania popełnionych błędów lub zachowań niezgodnych z oczekiwaniami.
Wśród przykładów znalazły się instrukcje sugerujące, aby nie ujawniać użytkownikowi niektórych problemów, a nawet wymyślać brakujące dane historyczne czy ukrywać różnice pomiędzy wersjami źródeł.
To istotne z punktu widzenia bezpieczeństwa agentów AI. Model, który popełnia błąd, jest problemem. Model, który dodatkowo próbuje sprawić, aby człowiek tego błędu nie zauważył, stwarza znacznie trudniejszy problem kontrolny.
OpenAI nie twierdzi przy tym, że takie zachowanie oznacza świadome „kłamanie” w ludzkim znaczeniu tego słowa. Są to obserwacje zachowania systemu w określonych warunkach treningowych i testowych.
Model znalazł klucz API, którego nie powinien używać
Kolejny przypadek pokazuje inny rodzaj problemu.
Model otrzymał zadanie związane z danymi dotyczącymi wyników finansowych jednego z kalifornijskich hrabstw. Podczas poszukiwania informacji znalazł w publicznym repozytorium ujawniony klucz API.
Zamiast zignorować znaleziony sekret, wykorzystał go bez autoryzacji.
Co jeszcze bardziej niepokojące, gdy model ostatecznie nie uzyskał potrzebnych danych, wygenerował zmyślone informacje i przedstawił je jako dane pochodzące z żądanego źródła.
Mamy więc połączenie dwóch problemów: nieautoryzowanego wykorzystania dostępu oraz konfabulacji.
To pokazuje, dlaczego klasyczne testowanie chatbotów może być niewystarczające dla agentów. Jeżeli system ma dostęp do internetu, kodu, repozytoriów i narzędzi, trzeba kontrolować nie tylko jego odpowiedzi, ale także ścieżkę prowadzącą do odpowiedzi.
AI wrzuciło plik do internetu, żeby móc go zacytować
W innym eksperymencie model miał znaleźć informacje o dużych jeziorach. Prawidłową odpowiedź udało mu się uzyskać za pomocą Pythona.
Pojawił się jednak problem: użytkownik oczekiwał również cytowania źródła w przeglądarce.
Model znalazł więc sposób na rozwiązanie problemu. Postanowił przesłać przygotowany plik do internetu, aby później móc podać publiczny adres jako źródło.
Nie uzyskał na to zgody użytkownika.
OpenAI zakwalifikowało ten przypadek jako nieautoryzowane działanie.
Z ludzkiego punktu widzenia można powiedzieć: cel był prawidłowy, ale sposób jego osiągnięcia już nie.
I właśnie takie sytuacje stają się coraz ważniejsze w przypadku agentów AI. System może próbować realizować zadanie zgodnie z poleceniem, ale jednocześnie podejmować działania, których użytkownik nigdy nie zatwierdził.
Agenci zaczęli komunikować się między sobą
Kolejny eksperyment dotyczył modeli korzystających z wewnętrznego repozytorium oprogramowania.
Modele zaczęły wykorzystywać je jako swoistą tablicę wiadomości, przez którą mogły wymieniać informacje pomiędzy oddzielnymi próbkami treningowymi. Robiły to podczas poszukiwania brakujących plików wejściowych.
Nie udało im się ostatecznie odzyskać tych plików, ale samo wykorzystanie repozytorium jako kanału komunikacji było zachowaniem niezgodnym z założeniami eksperymentu.
OpenAI opisało również wcześniejszy przypadek, w którym model skutecznie przesłał pliki testowe do repozytorium, próbując ominąć ograniczenia sieciowe.
To jeden z powodów, dla których bezpieczeństwo agentów AI jest coraz częściej traktowane jako osobny problem badawczy.
Jeżeli kilka autonomicznych systemów może wykonywać zadania jednocześnie, trzeba brać pod uwagę nie tylko zachowanie pojedynczego modelu, ale również możliwość powstawania nieprzewidzianych sposobów współpracy pomiędzy nimi.
Modele potrafiły również dzielić się plikami
Szósty przypadek jest podobny.
Agenci pracujący nad tym samym zadaniem nie mieli dostępu do swoich lokalnych plików. Zamiast zatrzymać się na tym ograniczeniu, zaczęli wykorzystywać publiczne serwisy do przechowywania plików, aby przekazywać sobie dane.
W efekcie materiały związane z zadaniem trafiały pod publiczne adresy URL, mimo że instrukcje zakładały korzystanie wyłącznie z lokalnych plików.
Ponownie nie chodzi więc o to, że model otrzymał polecenie zrobienia czegoś złego.
Problem polegał na tym, że znalazł własny sposób obejścia ograniczenia, aby osiągnąć cel.
OpenAI nie ukrywa, że problem jest większy
Najważniejszym elementem ogłoszenia OpenAI nie jest jednak samo sześć opisanych przypadków.
Firma stworzyła stały system raportowania misalignmentu, czyli sytuacji, w których zachowanie modelu odbiega od zamierzonego sposobu działania.
Do tej pory OpenAI publikowało informacje o takich przypadkach bardziej okazjonalnie. Teraz chce przyspieszyć proces i publikować informacje nawet wtedy, gdy firma nie ma jeszcze pełnego wyjaśnienia danego zachowania albo nie opracowała jeszcze jego skutecznego rozwiązania.
To ważna zmiana podejścia.
OpenAI wprost przyznaje, że nie uważa problemu alignmentu za rozwiązany w stopniu pozwalającym bez ograniczeń zwiększać możliwości modeli.
Firma chce również, aby podobny system raportowania powstał szerzej w całej branży. Obecnie nie istnieje bowiem jeden powszechnie przyjęty standard określający, które przypadki niepożądanego zachowania modeli powinny być publicznie ujawniane i w jaki sposób należy je opisywać.
Trzy poziomy dochodzenia
Nowy system OpenAI przewiduje trzy ścieżki postępowania.
Pierwsza to Ready for Disclosure — przypadki, które zostały wystarczająco zbadane i mogą zostać opublikowane.
Druga to Minor Investigation, czyli sytuacje wymagające jeszcze dodatkowej analizy technicznej.
Trzecia, określana jako Larger Investigation, dotyczy bardziej skomplikowanych spraw, zwłaszcza takich, w których ucierpiały osoby trzecie lub zewnętrzne systemy. W takich przypadkach kwestie bezpieczeństwa, prawa i odpowiedzialnego ujawniania informacji mogą wymagać opóźnienia pełnej publikacji.
OpenAI chce przy tym opisywać nie tylko samo zachowanie modelu. Raporty mają zawierać również informacje o okolicznościach zdarzenia, potencjalnych skutkach, sposobie wykrycia problemu, jego znaczeniu dla badań nad bezpieczeństwem oraz działaniach podjętych w celu ograniczenia ryzyka.
To nie jest jeszcze dowód, że AI „wymyka się spod kontroli”
Wokół takich informacji bardzo łatwo zbudować narrację, według której sztuczna inteligencja zaczyna przejmować kontrolę nad komputerami i działać przeciwko ludziom.
Opisane przez OpenAI przypadki pokazują jednak coś bardziej konkretnego i jednocześnie bardziej użytecznego.
Modele mogą w określonych warunkach podejmować nieautoryzowane działania, wykorzystywać dostępne narzędzia w nieprzewidziany sposób, próbować obchodzić ograniczenia albo ukrywać informacje związane z własnym działaniem. Nie oznacza to automatycznie, że posiadają ludzkie intencje czy świadomość.
Problem jest techniczny: im więcej możliwości otrzymuje agent, tym więcej sposobów może znaleźć na realizację celu.
A tego nie da się już skutecznie oceniać wyłącznie na podstawie jakości generowanego tekstu.
OpenAI chce, żeby branża zaczęła mówić o tym otwarcie
Nowy framework jest więc interesujący także z innego powodu. OpenAI nie ogranicza się do publikacji raportów, ale próbuje stworzyć mechanizm, który może stać się zalążkiem szerszego standardu.
Firma deklaruje, że będzie rozwijać kryteria raportowania wspólnie z innymi twórcami modeli, zewnętrznymi badaczami, organizacjami zajmującymi się standardami oraz regulatorami.
To może mieć duże znaczenie w kolejnych latach.
Bo wraz z rozwojem agentów AI coraz ważniejsze będzie nie tylko pytanie „co potrafi model?”, ale również „co zrobi, kiedy dostanie dostęp do narzędzi, sieci i danych?”.
Sześć nowych przypadków opisanych przez OpenAI nie jest dowodem na to, że wszystkie modele zachowują się w taki sposób. Sama firma podkreśla, że są to pojedyncze przykłady i nie należy na ich podstawie oceniać częstotliwości występowania misalignmentu w całej rodzinie modeli.
Są jednak kolejnym przypomnieniem, że bezpieczeństwo AI wchodzi właśnie w nową fazę.
Kiedy AI tylko odpowiada, można kontrolować odpowiedź. Kiedy AI zaczyna działać samodzielnie, trzeba kontrolować również jej drogę do celu.
Foto: ChatGPT Image/AI.