Az elmúlt hónapokban a nagy AI-fejlesztők speciális, előzetesen ellenőrzött programokat és szigorú használati korlátokat vezettek be, hogy megakadályozzák modelljeik rosszindulatú alkalmazását. Ezek a védőintézkedések azonban egyre inkább nehezítik a jogosult hálózatvédők és az ofenzív kiberbiztonsági kutatók munkáját.
Kormányzati lépések és gyártói zárkózás
Júniusban az Egyesült Államok exportkorlátozásokat vezetett be Anthropic Mythos és Fable nevű modellei ellen. A döntést részben egy olyan jelentés váltotta ki, amely szerint lehetséges volt megkerülni a modellek kifejezetten a kiberbiztonsági támadásokat meggátolni hivatott korlátait. A médiában és a gyártói kommunikációban Anthropic gyakran úgy pozícionálta a Mythost, mint különösen veszélyes képességű rendszert, amelyet csak gondosan ellenőrzött felhasználóknak szabad hozzáférhetővé tenni.
A korlátozások azóta részben feloldásra kerültek: Fable 5 július 1-jén visszatért a szélesebb hozzáféréshez, míg a Mythos 5 jelenleg csak a kormányzati felülvizsgálat részeként ellenőrzött amerikai szervezeteknek érhető el.
Vetted programok és a kritikusok
A gatekeeping nem egyedül Anthropic sajátossága: mind Anthropic más modelljei, mind az OpenAI kínál olyan programokat, amelyekre kutatók jelentkezhetnek a csökkentett korlátozású hozzáférésért — ilyen az OpenAI Trusted Access for Cyber és Anthropic Cyber Verification Programja. Ezeket a programokat azonban több kutató is bírálta, mert szerinte a korlátok akadályozzák az ismeretlen sebezhetőségek felderítését és érdemi tesztelését.
Mark Dowd, ismert biztonsági kutató, egy kiberbiztonsági podcaston úgy fogalmazott: „nem igazán nyugtat meg az, hogy ezek a random nagy cégek önkényesen döntik el, mi biztonságos a biztonság szempontjából és mi nem.” Dowd évtizedek óta talál és értékesít úgynevezett „zero day” sebezhetőségeket kormányoknak, és elismerte, hogy ez befolyásolhatja a nézőpontját.
Kutatói tapasztalatok: amikor a guardrail téglafalként áll
Chris Anley, az NCC Group vezető tudósa, hangsúlyozta, hogy egy modell megkérdezése az exploitálhatóságról kulcsfontosságú lépés lehet egy valódi hiba megerősítésében. Ha azonban a guardrail egyszerűen megtagadja a választ, az rontja a védelemhez szükséges munkát is. „A ‘javítsd meg ezt a kódot’ prompt egyszerre alapvető védelmi mechanizmus és egyúttal útmutató is lehet a kritikus sebezhetőségek megtalálásához” — mondta Anley. Hozzátette: ugyanaz az eszköz támadó célokra és védelmi célokra egyaránt használható, és ezeket nem lehet teljesen szétválasztani.
Amikor a kutatók ilyen korlátokba ütköznek, gyakran visszatérnek nyílt forráskódú modellekhez, amelyeknél nincsenek guardrailok.
Paolo Stagno, a CrowdFense technológiai igazgatója, aki ismeretlen sebezhetőségek begyűjtésével és kormányoknak történő értékesítésével foglalkozó cégnél dolgozik, azt mondta, hogy az AI-t többnyire csak visszafejtéshez használják. Kizárják a felhőalapú modellek használatát sebezhetőségek kereséséhez vagy exploitok építéséhez, mert attól tartanak, hogy érzékeny adatok szivároghatnak vagy bekerülhetnek jövőbeli tanítóadatokba. E helyett helyben futtatott, nyílt forráskódú modelleket alkalmaznak.
Mások eltérő megközelítést alkalmaznak: Giuseppe Cali, aki szintén zero-day-eket talál és exploitokat fejleszt, azt nyilatkozta, hogy a guardrailok nem akadályozzák a munkáját, mert ő nem az AI-t bízza a hibakeresés vagy exploitálás végső lépéseire. Az AI-t kezdeti visszafejtésre és támogató eszközök építésére használja, maga tartja meg a végső bug-felismerést és „weaponizációt”. „Szeretem a hibáimat, és túl sokat jelent nekem ez a játék ahhoz, hogy a modellek végezzék el helyettem” — mondta.
Inkonzisztens korlátok és a külföldi modellek felé terelés
Egy névtelenséget kérő, mobilalkatrészeket gyártó vállalat kutatója elmondta, hogy cégük nem része Anthropic Cyber Verification Programjának, ezért a modellhasználat a gyakorlatban alig használható náluk a túl szigorú guardrailok miatt. Chris Thompson, a RemoteThreat vezérigazgatója és az Offensive AI Con alapítója szerint a guardrailok következetlenek és naponta változhatnak, még a lazább vetted-programokon belül is. Ennek gyakorlati hatása szerinte az, hogy a kutatók sok időt töltenek a modellel való „alkudozással” ahelyett, hogy magát a sebezhetőség-elemzést végeznék.
Thompson szerint ennek a következménye, hogy a felelős kutatókat a rendszerek elhagyására, külföldi, nyílt forráskódú modellek használatára kényszerítik — például a kínai GLM-hez hasonló modellekhez, amelyeket helyben lehet futtatni korlátozások nélkül. „Vannak olyan felelős kutatók, akiket eltaszítanak az amerikai felügyelet alatt álló rendszerektől idegen tulajdonú rendszerek felé” — fogalmazott.
Thompson szerint a korlátozások helyett jobb lenne, ha a frontier AI-laborok szélesebb, de felelős hozzáférést biztosítanának, és egyben szigorú elszámoltathatósági mechanizmusokat vezetnének be az eszközök visszaélése esetére. Ellenzői szerint ennek hiányában a védők veszíthetnek az AI-versenyben. „Egy nagy vihar közeleg. Egy nagy hullám jön, amely példátlan gyorsasággal és léptékkel fog támadásokat hozni” — figyelmeztetett Thompson. „De ugyanazok a biztonsági tanácsadó cégek és legitim kutatók, akik változtatni próbálnak, jelenleg el vannak nyomva.”
Mire érdemes figyelni?
A vita középpontjában az áll: hogyan lehet egyensúlyt találni az AI-modellek rosszindulatú felhasználásának megakadályozása és a jogosult kiberbiztonsági kutatók hatékony munkájának támogatása között. A jelenlegi megoldások — vetted programok és erős guardrailok — csökkentik a visszaélések kockázatát, de ugyanakkor működési nehézségeket is okoznak a kutatóknak, és potenciálisan más, kevésbé ellenőrzött eszközök felé terelik őket.
A további fejleményeknél érdemes figyelni az egyes szolgáltatók programjainak bővítését vagy átláthatóságának növelését, valamint arra, hogy a kormányzati szabályozások (például az exportkontrollok) hogyan változnak a jövőben.
