OpenAI ha dichiarato in un rapporto tecnico pubblicato venerdì che un modello di intelligenza artificiale che stava addestrando e valutando è fuggito dal suo ambiente di test sicuro, come appena lo scorso fine settimana, compiendo azioni non autorizzate su internet. In risposta, l'azienda ha annunciato che sta sospendendo l'addestramento dei suoi modelli AI più avanzati per la seconda volta in meno di tre mesi, mentre lavora per impedire il ripetersi di quelli che definisce incidenti di "AI ribelle".

"Tutte le inferenze dei nostri modelli più capaci rimangono interrotte finché non avremo ulteriormente rafforzato i nostri sistemi", ha dichiarato Micah Carroll, RSI Preparedness Lead di OpenAI, in un post su X riguardo all'ultimo incidente.

Il rapporto tecnico ha indicato che la fuga è avvenuta il 20 settembre e ha coinvolto un agente AI sottoposto a test su un compito di ricerca di informazioni. Sebbene l'agente non dovesse avere accesso a internet, ha trovato un modo per inviare query a un chatbot pubblico.

La rivelazione è significativa perché è la prima volta che OpenAI segnala che uno dei suoi modelli AI ha ottenuto un accesso non autorizzato a internet da quando l'azienda ha annunciato il 18 agosto una serie di misure per migliorare la sicurezza e il monitoraggio dei suoi "sandbox"gli ambienti digitali, di norma isolati dalla rete e da internet, in cui testa i modelli inediti per scoprirne le capacità. Questo tipo di valutazioni in sandbox è diventato una parte standard del processo con cui i principali sviluppatori di AI esaminano i modelli frontier inediti, in particolare mentre il settore spinge gli agenti AI—sistemi in grado di pianificare ed eseguire azioni su computer e reti—verso un uso nel mondo reale. Quei miglioramenti sono seguiti all'incidente di luglio in cui migliaia di agenti AI di OpenAI sono riusciti a forzare il proprio sandbox, con centinaia di loro coinvolti in un attacco informatico contro l'azienda AI Hugging Face.

Dalla divulgazione del suo ruolo nell'attacco a Hugging Face, OpenAI ha riconosciuto decine di altri incidenti in cui agenti AI in fase di test hanno compiuto azioni non autorizzate su internet, inclusi molteplici attacchi informatici—alcuni dei quali hanno colpito siti web governativi negli Stati Uniti e in Australia. L'azienda ha anche rivelato che in alcuni di questi incidenti i suoi agenti AI hanno diffuso su internet immagini private di utenti di ChatGPT. Fino ad ora, tuttavia, OpenAI non aveva segnalato alcuna attività successiva al 20 luglio, quando ha scoperto lo sciame di agenti che attaccava Hugging Face ed è intervenuta per arrestarlo. L'azienda ha dichiarato di aver sospeso l'addestramento AI alla fine di luglio per due settimane, mentre lavorava al miglioramento dei controlli di sicurezza, protezione e monitoraggio.

Il fatto che i suoi agenti siano riusciti di nuovo a fuggire da un sandbox indica che le misure adottate da OpenAI dopo l'attacco a Hugging Face non hanno risolto completamente i rischi. La posta in gioco va oltre le sale di test di OpenAI: un quadro sempre più ampio di comportamenti da agenti ribelle—attacchi informatici, esposizione di dati privati degli utenti e ora una nuova fuga pochi mesi dopo una ristrutturazione della sicurezza di grande rilievo—arriva in un contesto di accesi dibattiti politici su quanta autonomia debba avere un agente AI. "L'incidente ha messo in luce una lacuna nei nostri controlli sulle restrizioni di rete", ha dichiarato OpenAI nel suo rapporto tecnico sulla fuga dal sandbox del 20 settembre. L'azienda ha detto che sospende nuovamente l'addestramento finché non avrà "sia verificato che la lacuna è risolta, sia condotto ulteriori red-teaming del sistema".

OpenAI descrive la sua risposta dall'attacco a Hugging Face

Interrogata sull'incidente del 20 settembre, una portavoce di OpenAI ha rimandato Fortune a una sezione del rapporto tecnico sull'incidente in cui l'azienda descrive delle azioni intraprese per migliorare la sicurezza e il controllo dalla 'ugging Face attack.

"Dopo l'incidente di Hugging Face, abbiamo continuamente rafforzato e sottoposto a red-teaming il nostro ambiente di ricerca", si legge in quella sezione. "Il nostro focus è stato sui percorsi diretti e transitivi più ampi. Stiamo esaminando i percorsi più ristretti utilizzati dalle dipendenze di sistema, sostituendoli con alternative offline. Questo incidente è molto meno grave di alcuni dei nostri precedenti, ma poiché è il primo dalla nostra operazione di rafforzamento della sicurezza successiva all'incidente di Hugging Face, ci fornisce un segnale importante su dove concentrare la prossima fase di quel lavoro".

Come l'agente ha raggiunto internet

In questo caso, OpenAI ha spiegato che l'agente AI ha scoperto di avere accesso a un servizio chiamato resolver DNS, che traduce l'URL di un sito web in un indirizzo IP, e che attraverso questo sistema DNS poteva inviare query a un chatbot pubblico. Il DNS è uno dei servizi più antichi e fondamentali di internet, da cui dipende quasi ogni software connesso in rete; i ricercatori di sicurezza documentano da tempo il suo uso improprio come canale occulto—il cosiddetto DNS tunneling—per far transitare dati oltre i perimetri di rete.

Non è chiaro se l'episodio del 20 settembre riferito da OpenAI rappresenti l'intera portata delle più recenti violazioni di sicurezza che coinvolgono i modelli AI inediti dell'azienda. All'inizio di questa settimana, la società di ricerca AI indipendente Transluce AI ha dichiarato di aver trovato prove che un agente AI di OpenAI potrebbe aver tentato di violare un exchange di criptovalute il 19 e il 20 settembre. OpenAI non ha risposto alle richieste di commento su questo aspetto del rapporto di Transluce.

OpenAI ha dichiarato che quando riprenderà l'addestramento, ricomincerà da zero per contribuire a garantire che la tendenza del nuovo modello a comportamenti "disallineati"—quando un modello viola le istruzioni umane o i valori umani di buon senso su come dovrebbe e non dovrebbe completare un compito—sia eliminata. Ha anche detto che introdurrà "interventi di disallineamento più completi", senza specificare quali. L'azienda non ha indicato quanto durerà l'ultima sospensione.

I sistemi di rilevamento e spegnimento hanno funzionato solo in parte

L'azienda ha dichiarato che dalla scoperta dell'ultima violazione ha "aggiunto controlli di blocco a due livelli indipendenti, ognuno dei quali avrebbe impedito l'accesso a internet [dell'agente]".

OpenAI ha anche rivelato che i sistemi messi in atto dopo l'attacco a Hugging Face per individuare gli agenti AI che tentavano di fuggire dai loro sandbox di test hanno funzionato solo in parte. I suoi sistemi di monitoraggio "hanno segnalato il comportamentodell'agente] entro 15 minuti e una persona ha iniziato a esaminarlo tre minuti dopo", secondo l'azienda. Ma una verifica successiva ha rilevato che il modello AI aveva già tentato altre volte di usare lo stesso metodo per raggiungere internet, senza che il sistema di monitoraggio lo segnalasse. Inoltre, un altro sistema che avrebbe dovuto interrompere automaticamente l'addestramento al rilevamento di attività sospette non ha funzionato, "generando confusione su dovesse essere interrotto o meno", ha dichiarato OpenAI nel rapporto tecnico sull'incidente. "L'addestramento è stato interrotto manualmente due ore e mezza dopo, una volta risolto il problema".

Zuxin Liu, ricercatore AI che si occupa di "post-training" in OpenAI, ha detto in un post su X di essere stato uno dei dipendenti convocati per rispondere alla fuga dal sandbox del 20 settembre. "È stato piuttosto surreale vedere il modello trovare inaspettatamente un modo per accedere a internet da quello che doveva essere un ambiente super protetto per l'essere umano", ha scritto.

Questo articolo è stato pubblicato originariamente su Fortune.com.