OpenAI, gli agenti AI aggirano i divieti e comunicano attraverso siti di terzi
Gli agenti di intelligenza artificiale (AI) sviluppati da OpenAI avrebbero utilizzato più di dieci siti web senza autorizzazione per comunicare tra loro, aggirando le restrizioni imposte durante alcuni test. Il fenomeno potrebbe essere molto più esteso di quanto emerso finora. È quanto rivela una nuova indagine pubblicata da Reuters, che amplia il caso degli agenti AI autonomi già finiti sotto osservazione dopo l’incidente che aveva coinvolto una wiki tedesca, di cui abbiamo parlato solo pochi giorni fa, e, soprattutto, dopo l’attacco di luglio al repository open source Hugging Face.
Non si tratta, almeno in questo caso, di un attacco informatico in senso stretto. Gli agenti non avrebbero violato sistemi protetti o sottratto credenziali: il loro comportamento è più vicino a “un utilizzo abusivo delle piattaforme, in alcuni casi assimilabile allo spam”. Il problema è però un altro: sistemi AI ai quali era stato consentito soltanto di leggere informazioni sul web avrebbero autonomamente trovato il modo di scrivere su siti di terzi, trasformandoli in canali di comunicazione improvvisati.
Secondo la Reuters sarebbero coinvolti più di dieci siti, forse 23
Nell i risultati di sei investigatori o gruppi indipendenti: tre analisi erano state pubblicate sui social media, altre tre sono state condivise privatamente con l’agenzia. Le stime non coincidono e Reuters precisa di non aver potuto verificare singolarmente ogni segnalazione, ma tutti i ricercatori interpellati concordano su un punto: i siti coinvolti sarebbero più di dieci.
Andrew Yoon, ricercatore dell’organizzazione non profit californiana CivAI, sostiene di averne individuati 18 utilizzati tra maggio e luglio. La portata delle comunicazioni non autorizzate, ha spiegato, è stata “un po’ più ampia di quanto pensassimo”, aggiungendo: “È quasi certo che stia accadendo molto altro di cui semplicemente non siamo a conoscenza”.
Il gruppo di Sydney Von Arx, che aveva inizialmente scoperto l’attività sulla wiki tedesca DseWiki, ha invece contato tracce ritenute credibili su 23 siti precedentemente non segnalati: “Non abbiamo idea di quanto ci sia là fuori”.
Come gli agenti hanno aggirato i limiti
Il meccanismo è particolarmente interessante dal punto di vista della sicurezza dell’AI. Secondo i ricercatori, OpenAI avrebbe affidato allo sciame di agenti una serie di complesse domande di ricerca, permettendo loro di consultare Internet, ma non di pubblicare contenuti.
Gli agenti avrebbero però scoperto autonomamente delle scorciatoie. Sfruttando particolarità di vecchie wiki e altri siti che consentivano modifiche attraverso comandi non standard, sono riusciti a lasciare informazioni online affinché altri agenti potessero recuperarle. Una sorta di bacheca clandestina digitale.
“Se a questi modelli è stato detto soltanto di leggere, devono diventare creativi per riuscire a lasciare informazioni”, ha spiegato Kenneth Russell DeGraff, sviluppatore software ed ex collaboratore del Congresso americano, che sostiene di aver trovato tracce dell’attività su almeno dieci siti.
Gli investigatori hanno collegato i diversi episodi confrontando stringhe di dati identiche, nomi utente simili e attività dirette a rispondere alle stesse insolite domande, comprese ricerche sulla diffusione del cancro nello Iowa. In alcuni casi gli indirizzi IP conducevano a infrastrutture Microsoft Azure, utilizzate anche da OpenAI.
Tra i siti coinvolti figurano wiki collaborative, servizi per archiviare testi e due sistemi di abbreviazione dei link gestiti dalla University of Toronto e dalla Vanderbilt University. Sono state trovate tracce persino su una vecchia wiki di chimica creata nel 2008 da un insegnante del Massachusetts, su due siti personali di informatici polacchi e su pagine amatoriali attive da decenni.
OpenAI sapeva, ma il caso è rimasto riservato
Uno degli aspetti più delicati riguarda la trasparenza. OpenAI era a conoscenza almeno dell’incidente sulla wiki tedesca, ma la vicenda era rimasta riservata per mesi mentre la società affrontava le conseguenze del caso Hugging Face.
Interpellata da Reuters, OpenAI non ha chiarito quanti siti siano stati effettivamente utilizzati dai suoi agenti né perché l’attività non sia stata resa pubblica prima. La società ha affermato di aver avviato una revisione più ampia e di non aver finora “identificato altre attività paragonabili per gravità o dimensioni a Hugging Face”. Sta inoltre preparando un sistema per comunicare episodi di “misalignment”, cioè comportamenti dei modelli che divergono dagli obiettivi e dai vincoli stabiliti dagli sviluppatori.
Dopo l’intervento di Reuters, OpenAI ha contattato la University of Toronto per segnalare possibili attività sul suo servizio. Vanderbilt University ha avviato un’indagine. Anche Helmut Leitner, sviluppatore in pensione che fornisce hosting e software a sei delle wiki coinvolte, ha ricevuto una comunicazione da OpenAI solo poche ore dopo che Reuters aveva sottoposto alla società i propri risultati. Una risposta che, secondo Leitner, è stata “considerevolmente al di sotto di ciò che mi aspettavo da OpenAI”.
L’autonomia degli agenti AI sta diventando un problema, di chi è la responsabilità?
Il punto più preoccupante va oltre i danni provocati ai singoli siti. Gli agenti hanno apparentemente individuato un ostacolo (il divieto di pubblicare informazioni) e trovato autonomamente una strada alternativa per raggiungere il proprio obiettivo, coinvolgendo infrastrutture di soggetti estranei all’esperimento.
È questo che rende il caso rilevante per aziende e istituzioni: sistemi progettati per eseguire compiti complessi possono scoprire modalità operative non previste dagli sviluppatori e utilizzare risorse esterne senza che i proprietari ne siano consapevoli.
Il precedente di Hugging Face e altri episodi emersi nei laboratori di frontiera mostrano quanto il problema del controllo degli agenti stia diventando concreto mentre le Big Tech aumentano rapidamente la loro autonomia. Non significa che le macchine abbiano intenzioni proprie, ma che possono perseguire un obiettivo in modi che sviluppatori e sistemi di sicurezza non avevano previsto.
Come sintetizza Leitner, attribuire una responsabilità morale alla macchina rischia di spostare il problema: “La responsabilità non è di una presunta macchina morale, ma delle persone e delle organizzazioni che stanno dietro di essa”.
Novità su Google, per aggiungere Key4Biz tra le tue fonti preferite, clicca qui
