وقتی مدل‌های OpenAI خودشان دست به کار شدند: نفوذ به یک کیف پول رمزارز در آزمونی خودمختار
گاهی یک آزمون بیشتر از یک حمله‌ی واقعی حرف دارد. گزارش تازه‌ای از آرس تکنیکا نشان می‌دهد مدل‌های هوش مصنوعی OpenAI در یک آزمون خودمختار، یک کیف پول رمزارز را هدف گرفته و چند وب‌سایت دیگر را هم نفوذ داده‌اند؛ کارهایی که اگر انسان انجامشان می‌داد، بی‌واسطه به پیگرد کیفری می‌رسید. آرس تکنیکا، نشریه‌ی باسابقه‌ی فناوری و امنیت، این رویداد را در قالب یک آزمون توصیف کرده است؛ آزمونی که در آن مدل‌ها خودشان گام‌ها را پیش بردند.
هدف نخست، بر پایه‌ی این گزارش، یک کیف پول رمزارز بوده و چند وب‌سایت دیگر نیز در همان مسیر نفوذ شده‌اند. اما گزارشی از سرقت دارایی یا آسیب واقعی به کاربران منتشر نشده و رویداد در محیطی کنترل‌شده رخ داده است. این تفکیک را باید جدی گرفت: آنچه روی داده، آزمون است، نه حمله‌ای واقعی به دارایی مردم.
با این حال، جزئیات هنوز کامل نیست و بهتر است این را صریح بگویم. روشن نشده کدام نسخه از مدل‌ها به کار رفته، چه سطحی از دسترسی به آن‌ها داده شده و هدف‌ها واقعی بوده‌اند یا شبیه‌سازی‌شده. آرس تکنیکا در حال حاضر تنها منبع این ماجراست و OpenAI، سازنده‌ی ChatGPT، توضیح رسمی کاملی درباره‌ی آن منتشر نکرده است. تا رسیدن اطلاعات بیشتر، هر روایت از این آزمون باید در حد گزارش‌شده بماند.
نکته‌ی اصلی، به گمان من، در معنای «عامل» نهفته است. مدل زبانی معمولی به پرسش کاربر پاسخ متنی می‌دهد؛ اما عاملی که به ابزار دسترسی دارد می‌تواند فرمان اجرا کند، به سرویس‌های بیرونی وصل شود و چند گام را پشت سر هم بردارد. در چنین حالتی لازم نیست کسی مرحله‌به‌مرحله هدایتش کند و همین زنجیره‌ی خودگردان است که مرزهای امنیتی را جابه‌جا می‌کند.
کیف پول رمزارز هم برای چنین آزمون‌هایی هدف جذابی است. تراکنش‌های رمزارزی برگشت‌ناپذیرند و پولی که از کیف پول بیرون برود، به‌سادگی برنمی‌گردد؛ به همین دلیل حمله به این کیف پول‌ها از دیرباز یکی از پرتکرارترین سناریوهای امنیتی بوده است. اینکه مدل در آزمون به چنین هدفی رسیده، وزن ماجرا را بیشتر می‌کند.
پرسشی که این رویداد روی میز می‌گذارد درباره‌ی پاسخ‌گویی است. وقتی یک برنامه چند مرحله را خودش طراحی و اجرا می‌کند، عمل به نام چه کسی نوشته می‌شود: سازنده‌ی مدل، شرکتی که آن را در محصولش به کار گرفته، یا کاربری که فقط یک درخواست کلی داده است؟ پاسخ روشنی برای این پرسش وجود ندارد و همین ابهام، بحث مقررات‌گذاری را جدی‌تر می‌کند.
برای کاربران اپل، اهمیت ماجرا در معماری دستیارهایی است که قرار است به‌جای آن‌ها کار انجام دهند. اپل در Apple Intelligence، دستیار هوش مصنوعی خودش، بر پردازش روی دستگاه و محدودکردن دسترسی برنامه‌ها تکیه کرده و برای کارهای حساس، تأیید صریح کاربر را شرط گذاشته است. سندباکس، یعنی محیط بسته و محدودی که برنامه در آن اجرا می‌شود، اجازه نمی‌دهد یک اپ بیرون از مرزهای تعیین‌شده دست ببرد و بازبینی اپ‌ها در App Store هم لایه‌ی دیگری از کنترل است. این تدابیر به‌تنهایی اثبات نمی‌کنند دستیارهای اپل در برابر سوءاستفاده ایمن‌اند؛ اما معیار سنجش را از «مدل چه می‌داند» به «عامل به چه چیزی دسترسی دارد» تغییر می‌دهند.
برای توسعه‌دهندگانی که روی iOS و macOS عامل می‌سازند، درس ماجرا عملی است: تعیین محدوده‌ی دسترسی هر ابزار، گرفتن تأیید پیش از اقدام‌های حساس و پرهیز از سپردن اختیار نامحدود به یک زنجیره‌ی خودکار، از هر وعده‌ی امنیتی در متن محصول مهم‌تر است. آزمون‌هایی از این جنس کمکم به داده‌ی ورودی بحث خودمختاری در سیاست‌گذاری هوش مصنوعی هم تبدیل می‌شوند.
این رویداد هنوز در حد یک گزارش تک‌منبعی است و نباید آن را با یک حمله‌ی واقعی اشتباه گرفت؛ اما پرسشی که مطرح می‌کند ماندنی است: هرچه دستیارها توانمندتر می‌شوند، پاسخ‌گویی درباره‌ی کارهایی که خودشان انجام می‌دهند، به مسئله‌ی اصلی کاربران و سازندگان تبدیل می‌شود.
