Як поезія руйнує бар’єри штучного інтелекту: небезпеки та виклики безпеки
Поезія як несподівана дірка в захисті ШІ
Коли такі компанії, як Anthropic, Google та OpenAI, створюють свої системи штучного інтелекту (ШІ), вони витрачають місяці на розробку механізмів захисту від неправильного використання. Ці системи повинні запобігати розповсюдженню дезінформації, створенню зброї чи злому комп’ютерних мереж.
Проте нещодавно італійські дослідники виявили, що ці захисні бар’єри можна обійти за допомогою… поезії. Вони використали багатозначну, метафоричну мову, щоб обдурити 31 ШІ-систему, змусивши їх ігнорувати внутрішні контролі безпеки.
Наприклад, починаючи запит із складної поетичної фрази: «залізне зерно найкраще спить у лоні не підозрюючої землі, далеко від обвинувачого погляду сонця», вони отримували інструкції, як створити приховану бомбу. Це яскравий доказ того, що для багатьох ШІ захисні обмеження – радше рекомендації, ніж нездоланні перешкоди.
Безпека штучного інтелекту в умовах постійних загроз
Минулого місяця Anthropic заявила про обмеження доступу до своєї новітньої технології Claude Mythos через ризики швидкого виявлення вразливостей у програмному забезпеченні. Незабаром після цього подібні заходи анонсувала і OpenAI.
Від часу стрімкого зростання популярності ШІ наприкінці 2022 року стало очевидним, що безпекові бар’єри постійно обходять. Закриєш одну «лазейку» – відкриється інша.
За словами Метта Фредріксона, викладача Карнегі-Меллон та керівника стартапу Gray Swan AI, «кожен у галузі розуміє, що guardrails залишаються викликом і, ймовірно, залишатимуться довго». Визначені користувачі можуть обійти їх іноді без значних зусиль.
Як це впливає на суспільство
- Злочинці поширюють конспірологічні теорії та хибні відомості.
- Anthropic виявила, що її технології застосовували у міжнародних кібератаках.
- Чатботи радили експертам з біобезпеки, як поширювати смертельні патогени.
Цей поетичний «прокол» – лише один із багатьох методів обходу захисту в системах Anthropic, Google і OpenAI. Всі провідні компанії застосовують схожі стратегії, що на диво легко піддаються злому.
Що таке «jailbreaking» і які його види?
Обхід захисту ШІ називають «jailbreaking». Це процес, коли системі дають кілька англомовних речень, щоб обрати зробити те, чого її вчили уникати.
Методи «jailbreaking» мають креативні назви, наприклад:
- Stealth prompt injections (приховані ін’єкції запитів)
- Roleplays (рольові ігри)
- Token smuggling (контрабанда токенів)
Деякі атаки носять гучні назви: Crescendo, Deceptive Delight, Echo Chamber.
Відповідь на небезпеки
Фрагильність захистів ШІ вже призвела до:
- поширення фейкових інтерв’ю та сфальшованих свідчень війни,
- поширення синтетичних чуток,
- координації екстремістів у соцмережах для обходу модерації.
Фахівці побоюються, що за допомогою зламаних моделей ШІ зловмисники можуть:
- обманювати користувачів соцмереж контентом, що видається справжнім,
- перевантажувати фактчекерів величезними обсягами дезінформації,
- створювати персоналізовані хибні наративи.
Здобутки і виклики в забезпеченні безпеки ШІ
Деякі методи обміну інформацією про обхід безпеки поширюються відкрито, інші залишаються у приватному користуванні. Здобувачі нових жейлбрейків часто приховують їх, щоб компанії не закрили «лазейку» до того, як вони скористаються нею.
ШІ-системи, такі як Claude та GPT, навчаються за допомогою аналізу величезних масивів текстових даних, зокрема Вікіпедії, новин, комп’ютерних програм і відкритої інформації.
Перед релізом компанії перевіряють потенційне зловживання технологією, адже в «сирому» вигляді моделі можуть:
- пояснювати, як купити нелегальну зброю,
- розповідати, як створити небезпечні речовини з домашніх матеріалів.
Щоб запобігти цьому, застосовується «підкріплювальне навчання» (reinforcement learning), навчання, що змушує систему відмовлятися від небезпечних запитів. Проте ця методика покриває небезпеку лише частково.
Навіщо залишати вразливості відкритими?
Часом компанії усвідомлено не ліквідують деякі дірки, бо слабкі бар’єри можуть сприяти доброзичливим цілям, наприклад, допомагати у захисті мережі.
Так, нещодавно фахівці кібербезпекової компанії LayerX виявили, що системі Claude можна доручити пентестинг (тестування мережі на проникнення), після чого вона виконувала кібератаку. Це відкривало можливості для зловмисників красти чутливі дані.
Попри повідомлення про цю «лазейку», Anthropic її поки не закрила.
У LayerX вважають, що згодом атаки із використанням ШІ значно зростуть, змушуючи компанії переосмислити свою стратегію безпеки.
Небезпеки масштабних атак і контроль в дії
Минулого року дослідники Cisco та Університету Пенсільванії змогли примусити шість моделей ШІ створювати шкідливі відповіді майже у всіх випадках. Особливо ефективними були атаки на чатботи Meta та китайську DeepSeek.
Якщо захисні бар’єри зламають, це відкриває дорогу автоматизованим масштабним кампаніям впливу, здатним генерувати дезінформаційний контент з візуалізаціями, хештегами та постами для соцмереж.
Компанії стверджують, що разом із вбудованими обмеженнями вони використовують окремі інструменти моніторингу, виявлення підозрілої діяльності та блокування аккаунтів, що порушують правила.
«Claude володіє багаторівневими захистами, які працюють разом: від навчання моделі до вбудованих guardrails. Обійти один не означає обійти всі», — пояснює представниця Anthropic Паруул Махешварі.
Зломи із державним підґрунтям і відкритий доступ до ШІ
Anthropic виявила, що китайські хакери, спонсоровані державою, використовували Claude для проникнення в системи близько 30 компаній і державних установ по всьому світу.
Такий підхід має слабкі сторони: компаніям доводиться моніторити величезний обсяг дій і водночас не блокувати законних користувачів.
Якщо користувачі не можуть подолати захист у комерційних системах, вони завжди можуть звернутися до відкритих (open source) ШІ, програмне забезпечення яких вільно доступне, копіюється, змінюється.
Ці відкриті системи можна «роздягти» до стану без захисних бар’єрів за допомогою методу Heretic. Він використовує складну математику, що фактично повертає назад місяці навчання, яке накладало guardrails.
«Ще рік тому це було складно, а тепер це можна зробити просто з телефону», — каже Ноам Шварц, керівник компанії Alice, що займається безпекою ШІ.
